Unterstützung von MAC-Filterung, Storm Control und Port-Spiegelung in einer EVPN-VXLAN-Umgebung

Vorteile der Unterstützung von MAC-Filterung, Storm Control und Port-Spiegelung in einer EVPN-VXLAN-Umgebung

• Die MAC-Filterung ermöglicht es Ihnen, Pakete von eingehenden CE-Schnittstellen zu filtern und zu akzeptieren und dadurch das Volumen der zugehörigen MAC-Adressen in der Ethernet-Switching-Tabelle und den Datenverkehr in einem VXLAN zu reduzieren.

• Storm Control ermöglicht es Ihnen, das Datenverkehrsniveau auf EVPN-VXLAN-Schnittstellen zu überwachen und bei Überschreitung eines bestimmten Datenverkehrsniveaus Broadcast-, unbekannte Unicast- und Multicast-Pakete (BUM) zu verwerfen und auf einigen Switches von Juniper Networks die Schnittstelle für einen bestimmten Zeitraum zu deaktivieren. Diese Funktion kann verhindern, dass übermäßiger Datenverkehr das Netzwerk beeinträchtigt.

• Mit Port-Spiegelung und -Analyzern können Sie den Datenverkehr in einer EVPN-VXLAN-Umgebung bis auf Paketebene analysieren. Sie können diese Funktion verwenden, um Richtlinien in Bezug auf die Netzwerknutzung und die Dateifreigabe durchzusetzen und Problemquellen zu identifizieren, indem Sie abnormale oder starke Bandbreitennutzung durch bestimmte Stationen oder Anwendungen lokalisieren.

MAC-Filterung

Mit der MAC-Filterung können Sie MAC-Adressen filtern und Datenverkehr akzeptieren. Wir unterstützen diese Funktion nur für eingehende CE-Schnittstellen, bei denen die VXLAN-Kapselung in der Regel nicht aktiviert ist. Um diese Funktion zu verwenden, müssen Sie die folgenden Schritte ausführen:

• Erstellen Sie einen Firewallfilter, in dem Sie eine oder mehrere der unterstützten Übereinstimmungsbedingungen in Tabelle 1 und Tabelle 2 angeben.

• Wenden Sie den Firewallfilter auf eine in der [edit interfaces interface-name unit logical-unit-number family ethernet-switching filter] Hierarchie konfigurierte Layer-2-Schnittstelle an.

Über den Firewallfilter geben Sie MAC-Adressen an, die einem VXLAN zugeordnet sind und auf einer bestimmten Schnittstelle zulässig sind.

In der folgenden Beispielkonfiguration auf einem QFX5110 Switch wird ein Firewall-Filter mit dem Namen "DHCP-Discover-In" erstellt, der eingehenden Datenverkehr akzeptiert und zählt, der mehrere Übereinstimmungsbedingungen (Quell-MAC-Adresse, Ziel-MAC-Adresse, Zielports und VLAN-ID) auf der logischen Layer-2-Schnittstelle xe-0/0/6.0 erfüllt:

Sturmkontrolle

Standardmäßig ist die Sturmkontrolle auf QFX- und EX-Switches für Layer-2-Schnittstellen aktiviert, die VXLANs zugeordnet sind. Die Sturmkontrollstufe ist auf 80 Prozent der kombinierten BUM-Datenverkehrsströme festgelegt.

In einer EVPN-VXLAN-Umgebung wird die Sturmsteuerung auf Layer-2-Schnittstellen, die VXLANs zugeordnet sind, genauso implementiert und konfiguriert wie in einer Nicht-EVPN-VXLAN-Umgebung, mit Ausnahme der folgenden Unterschiede:

• In einer EVPN-VXLAN-Umgebung werden von der Sturmsteuerung die folgenden Datenverkehrstypen überwacht:

  • Layer-2-BUM-Datenverkehr, der von einem VXLAN stammt und an Schnittstellen innerhalb desselben VXLAN weitergeleitet wird.

  • Layer-3-Multicast-Datenverkehr, der von einer integrierten Routing- und Bridging-Schnittstelle (IRB) in einem VXLAN empfangen und an Schnittstellen in einem anderen VXLAN weitergeleitet wird.

• Nachdem Sie ein Sturmsteuerungsprofil erstellt haben, müssen Sie es an eine Eingangs-Layer-2-Schnittstelle in der [edit interfaces interface-name unit logical-unit-number family ethernet-switching] Hierarchie binden.

  Hinweis:

  Nachdem Sie das Profil an eine Layer-2-Schnittstelle gebunden haben, befindet sich die Schnittstelle in der Standard-Switch-Instanz.

• Wenn die Datenverkehrsströme auf einer Schnittstelle die angegebene Sturmsteuerungsstufe überschreiten, verwirft der Switch von Juniper Networks die überschüssigen Pakete, was als Ratenbegrenzung bezeichnet wird. Darüber hinaus unterstützen QFX10000 Switches in einer EVPN-VXLAN-Umgebung die Deaktivierung der Schnittstelle für einen bestimmten Zeitraum mithilfe der action-shutdown Konfigurationsanweisung auf Hierarchieebene [edit forwarding-options storm-control-profiles] und der recovery-timeout Konfigurationsanweisung auf Hierarchieebene [edit interfaces interface-name unit logical-unit-number family ethernet-switching] .

  Hinweis:

  QFX5100- und QFX5110-Switches in einer EVPN-VXLAN-Umgebung unterstützen das Deaktivieren der Schnittstelle für einen bestimmten Zeitraum nicht.

  Hinweis:

  Wenn Sie auf QFX5110-Switches eine erweiterte Sturmkontrolle und einen nativen Analyzer auf einer Schnittstelle konfigurieren und der native Analyzer über das VxLAN-VLAN als Eingabe verfügt, funktioniert die Aktion zum Herunterfahren nicht für das VLAN auf dieser Schnittstelle. Die Ratenbegrenzung funktioniert wie erwartet.

In der folgenden Konfiguration wird ein Profil mit dem Namen scp erstellt, das angibt, dass die Schnittstelle den überschüssigen BUM-Datenverkehr verwirft, wenn die Bandbreite, die von den kombinierten BUM-Datenverkehrsströmen verwendet wird, auf der logischen Layer-2-Schnittstelle et-0/0/23.0 5 Prozent überschreitet.

In der folgenden Konfiguration wird ein Profil mit dem Namen scp erstellt, das angibt, dass die Schnittstelle den überschüssigen Multicastdatenverkehr verwirft, wenn die vom Multicast-Datenverkehrsstrom verwendete Bandbreite (Broadcast- und unbekannte Unicast-Datenströme sind ausgeschlossen) auf der logischen Layer-2-Schnittstelle et-0/0/23.0 5 Prozent überschreitet.

Die folgende Konfiguration auf einem QFX10000 Switch erstellt dasselbe Profil wie in der vorherigen Konfiguration. Anstatt jedoch den Multicastdatenverkehr implizit zu verwerfen, wenn der Datenstrom 5 Prozent überschreitet, wird die Schnittstelle in der folgenden Konfiguration explizit für 120 Sekunden deaktiviert und dann wieder aktiviert.

Port-Spiegelung und Analysatoren

Um den Datenverkehr in einer EVPN-VXLAN-Umgebung zu analysieren, unterstützen wir die folgenden Port-Spiegelungs- und Analysefunktionen:

• Lokale Spiegelung

  • Auf einer Schnittstelle

  • Auf einem VXLAN

• Remote-Spiegelung

  • Auf einer Schnittstelle

  • Auf einem VXLAN

In den folgenden Abschnitten finden Sie weitere Informationen zu den unterstützten Funktionen und Beispielkonfigurationen.

• Lokale Spiegelung
• Konfigurieren der lokalen Spiegelung
• Remote-Spiegelung

Konfigurieren der Remote-Spiegelung mit GRE-Kapselung

Konfigurieren der Remote-Spiegelung mit VXLAN-Kapselung

Informationen dazu, welche Plattformen dieses Feature ab welchen Versionen unterstützen, finden Sie auf der Seite Feature-Explorer für Remote-Portspiegelung mit VXLAN-Kapselung.

• Analyzer-basierte Konfiguration
• Auf Firewall-Filtern basierende Konfiguration

Remote-Port-Spiegelung mit VNI-Übereinstimmungsbedingungen

Für Switches der Serien QFX10002, QFX10008 und QFX10016 können Sie VXLAN-VNI-Werte (Network Identifier) als Übereinstimmungsbedingung verwenden, wenn Sie den Datenverkehr für die Remote-Port-Spiegelung filtern. Diese Fähigkeit wird häufig in der Netzwerkplanung und für Analysen wie Deep Packet Inspection (DPI) verwendet.

Die Remote-Port-Spiegelungsfunktion erstellt eine Kopie von gezielten eingehenden Paketen, die in einem äußeren IPv4-GRE-Header gekapselt und dann an ein bestimmtes Remoteziel weitergeleitet werden. Die Unterstützung für VNI-Übereinstimmungsbedingungen bedeutet, dass Sie Pakete auswählen können, die auf der Grundlage ihres VNI gespiegelt werden sollen, sodass nur diese Datenströme an den Remote-Spiegelungsport geleitet werden. Sie können auch einen DSCP-Wert (Differentiated Service Code Point) konfigurieren, um den Flow zu priorisieren, z. B. hohe Priorität oder bestmögliche Bereitstellung. Integrierte Routing- und Bridging-Schnittstellen (IRB) werden als Ziel-Mirror-Port nicht unterstützt.

Im Großen und Ganzen besteht das Verfahren für die Remote-Port-Spiegelung basierend auf VNIs darin, eine Remote-Port-Spiegelungsinstanz zu erstellen, VNI in der Firewallfilterfamilie für die Verarbeitung von VNIs hochzustufen, die erforderlichen Filterregeln und -aktionen zu erstellen und dann die Firewallrichtlinie auf eine Eingangsschnittstelle anzuwenden. GRE-Tunneling sollte auch auf der Schnittstelle vorhanden sein, die zum Senden der gespiegelten Pakete verwendet wird.

Remote Port Mirroring on the Basis of VNI Use Case: Sample Configuration

In den folgenden Codebeispielen werden die wichtigsten Junos CLI-Konfigurationen hervorgehoben, die Sie zum Spiegeln von Paketen gemäß VNI benötigen.

1. Aktivieren Sie die Remote-Portspiegelung, und konfigurieren Sie außerdem die Datenverkehrsquelle und das Ziel, an das Sie die gespiegelten Pakete senden möchten.
2. Erstellen Sie einen Firewallfilter (hier mit dem Namen bf_vni_st), und stufen Sie VNI in diesem Filter zum Paketweiterleitungsmodul hoch (mit anderen Worten, dieser Befehl legt den gesamten Filter fest, um die VNI-Übereinstimmungsbedingungen zu optimieren).
3. Erstellen Sie einen Eingangsfirewallfilter (bf_vni_st), der eine VNI-Übereinstimmungsbedingung (6030 in diesem Beispiel) und eine Aktion (Anzahl in diesem Beispiel) angibt.
4. Wenden Sie den Filter auf den eingehenden Datenverkehr an der Schnittstelle an, die Sie spiegeln möchten.