Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

了解 IPv4 网络的基于筛选器的隧道

了解 IPv4 网络的基于筛选器的隧道

通用路由封装(GRE)的最简单形式是任何其他网络层协议上的任何网络层协议的封装,用于连接在它们之间缺少本机路由路径的脱节网络。这是一种无连接、无状态第 3 层封装协议,没有可靠性、流控制或顺序机制。

使用标准防火墙过滤器操作启动 GRE 隧道。流经隧道的流量(假设隧道目标可路由)。对于 MX 系列路由器,逻辑系统中也支持此功能。

对于 MX 系列5G 通用路由平台,当使用防火墙过滤器配置 GRE 隧道时,无需在隧道服务物理接口卡(pic)或 MPC3E 模块化端口集中器(Mpc)上创建通道接口。相反,模块化接口卡(Mic)或 Mpc 处理 GRE 负载封装和和解封装的 Pfe,并为相关接口提供通道服务。因此,可以将一对 MX 系列路由器作为提供商边缘(PE)路由器安装,以便在两个不相交的网络上提供与客户边缘(CE)路由器的连接。

对于 PTX 系列路由器,网络服务必须设置为enhanced-mode ,基于过滤器的 GRE 通道才能正常工作。有关 PTX 上基于过滤器的通道的详细信息,请tunnel-end-point 参阅。

入口 PE 路由器上的入口防火墙过滤器

在入口 PE 路由器上,配置指定单向 GRE 通道的通道定义。对于带有 MIC 或 MPC 入口逻辑接口的 MX 系列路由器,可附加封装式防火墙过滤器。防火墙过滤器操作将引用通道定义,并启动匹配数据包的封装。封装进程将 IPv4 标头和 GRE 标头附加到有效载荷数据包,然后将结果 GRE 数据包转发至过滤指定的通道。

出口 PE 路由器上的入口防火墙过滤器

在出口 PE 路由器上,将反封装防火墙过滤器连接到为路由器通告地址的所有 MIC 或 MPC 逻辑接口的输入。防火墙过滤器会启动对 GRE 协议数据包的反封装。解除封装会删除内部 GRE 标头,然后将原始有效负载数据包转发到目标客户网络上的原始目的地。如果操作指定可选路由实例,则使用该辅助表代替主表执行路由查找。

IPv4 网络基于过滤的隧道的特征

基于过滤器的 IPv4 网络上的隧道是单向的。它们仅传输传输数据包,不需要通道接口。

单向隧道

要使用基于过滤器的 GRE 隧道,请先在每个通道端点(入口 PE 路由器和出口 PE 路由器)的输入上附加标准防火墙过滤器。在入口 PE 路由器的输入上,应用封装式防火墙过滤器。在向出口 PE 路由器输入时,应用反封装防火墙过滤器。

双向隧道

对于双向 GRE 隧道,您可以使用相同的 PE 路由器对,但必须反向配置第二个通道。

传输流量负载

基于过滤器的 GRE IPv4 隧道只能传输单播或多播传输流量负载。针对以太网逻辑接口和聚合以太网接口,在 Pfe 上执行过滤器启动的封装和和解封装操作。与使用通道接口的 GRE 隧道相比,这种设计可以更有效地使用 PFE 带宽。不能在基于防火墙的隧道顶部配置路由协议会话。

Pfe 在转发平面上操作以处理数据包,方法是使用本地存储的转发表在输入和输出接口之间转发包,这是路由引擎(RE)的信息的本地副本。

另一方面,REs 在控制平面上运行,以处理系统管理、用户对路由器的访问以及路由协议、路由器接口控制和某些机箱组件控制的进程。Junos OS 架构将这些平面的功能分开,从而能够灵活地满足平台的平台支持和可扩展性。入口控制数据包被定向到控制平面,其中 GRE 封装和反封装 Pfe 的进程不可用。

虽然您可以将防火墙过滤器应用于回传地址,但路由器回传接口上不支持 GRE 封装和反封装防火墙筛选器操作。

多个 GRE 隧道的紧凑型配置

防火墙过滤器支持各种匹配标准,并且通过扩展功能,能够终止多个与单个防火墙过滤器定义中指定的标准相匹配的 GRE 隧道。通过创建多个隧道,每个都有自己的匹配条件集,您可以创建不会干扰客户 GRE 数据包或另一个的隧道,并在解除封装后将数据包重新注入到单独的路由表。

使用防火墙过滤器和通道接口进行隧道传输

隧道接口的隧道支持路由器控制流量和传输流量以及加密。带防火墙过滤器的通道不会。但是,具有防火墙过滤器的通道提供了性能和扩展方面的优势。

转发性能

与使用通道接口的 GRE 隧道相比,通过 IPv4 网络的基于过滤器的隧道可更有效地使用 PFE 带宽。封装、反封装和路由查找是数据包标头处理活动,用于基于防火墙过滤器的隧道在 PFE 上执行。因此,encapsulator 从不需要将负载数据包发送至单独的通道接口(可能驻留在不同插槽中的 PIC 上,而不是接收有效载荷数据包的接口)。