Konfiguration von Inline-Überwachungsservices

Vorteile von Inline-Überwachungsservices

Flexibel: Mit Inline-Überwachungsservices können verschiedene Instanzen der Inline-Überwachung auf verschiedene Firewall-Filterbedingungen abgebildet werden, im Gegensatz zu herkömmlichen Sampling-Technologien, bei denen alle Instanzen dem Flexible PIC Concentrator (FPC) zugeordnet werden. Dies bietet Ihnen die Flexibilität, verschiedene Datenverkehrsströme mit unterschiedlichen Geschwindigkeiten auf einer einzigen Schnittstelle zu erfassen.

Paketformatunabhängig: Herkömmliche Datenstromerfassungstechnologien basieren auf Paketparsing und Aggregation durch das Netzwerkelement. Bei Inline-Überwachungsservices wird der Paket-Header zur weiteren Verarbeitung in den Collector exportiert, jedoch ohne Aggregation. Dadurch haben Sie den Vorteil, dass Sie beliebige Paketfelder verwenden, um die überwachten Pakete am Collector zu verarbeiten.

Inline-Überwachungsservices – Funktionsübersicht

Service Provider und Inhaltsanbieter benötigen in der Regel Visibilität der Datenverkehrsströme, um Peering-Vereinbarungen zu bewerten, Datenverkehrsanomalien und Richtlinienverstöße zu erkennen und die Netzwerkleistung zu überwachen. Um diese Anforderungen zu erfüllen, würden Sie traditionell aggregierte Datenflussstatistikinformationen mit JFlow- oder IPFIX-Varianten exportieren.

Alternativ können Sie den Paketinhalt abtasten, Metadaten hinzufügen und die überwachten Pakete in einen Collector exportieren. Die Inline-Überwachungsservices ermöglichen Ihnen dies auf Routern der MX-Serie und auf PTX-Routern, auf denen Junos OS Evolved ausgeführt wird.

Mit Inline-Überwachungsservices können Sie jedes IPv4- und IPv6-Paket sowohl auf den Eingangs- als auch auf die Ausgangsrichtung einer Schnittstelle überwachen. Die Software verkapselt den überwachten Datenverkehr in einem IPFIX-Format und exportiert das eigentliche Paket in die konfigurierte Cliplänge zur weiteren Verarbeitung in einen Collector. Standardmäßig unterstützt Junos OS eine maximale Cliplänge von 126 Bytes, beginnend mit dem Ethernet-Header, und Junos OS Evolved unterstützt eine maximale Cliplänge von 256 Bytes, beginnend mit dem Ethernet-Header.

Abbildung 1 veranschaulicht die IPFIX-Formatspezifikation.

Abbildung 1: Ipfix-Spezifikation für Inline-Überwachung

Der IPFIX-Header und die IPFIX-Payload werden mithilfe der IP- oder UDP-Transportschicht gekapselt. Das exportierte IPFIX-Format umfasst zwei Datensätze und zwei Datenvorlagen, die in jeden Collector exportiert werden:

• Datensatz: Umfasst ein- und ausgehende Schnittstelle, Flussrichtung, Datenlink-Frame-Abschnitt und Größe des Datenlink-Frames. Diese Informationen werden nur an den Collector gesendet, wenn die Stichprobenpakete exportiert werden.

  Abbildung 2 ist eine Beispiel veranschaulichung des IPFIX-Datensatzpakets.

• Optionsdatensatz: Enthält Informationen auf Systemebene, wie z. B. Den Export der Prozess-ID und das Sampling-Intervall. Diese Informationen werden in regelmäßigen Abständen an den Collector gesendet, unabhängig davon, ob Sampling-Pakete exportiert werden.

  Abbildung 3 ist eine Beispiel veranschaulichung des IPFIX-Optionsdatensatzpakets.

  Tabelle 1: Informationselementfelder im IPFIX Optionsdatenpaket

  Anzahl	Informationselement-ID	Länge des Informationselements	Details
  1	144	4 Mrd.	Beobachtungsdomänen-ID: Eine eindeutige Kennung für den Exportvorgang pro IPFIX-Gerät. Zweck dieses Feldes ist es, den Umfang anderer Informationselementfelder einzuschränken.
  2	34	4 Mrd.	Sampling-Intervall, in dem die Pakete samplet werden. 1000 bedeutet, dass eines von 1000 Paketen stichprobeniert wird.

• Datenvorlage– Enthält fünf Informationselemente:

  • Eingangsschnittstelle

  • Ausgangsschnittstelle

  • Ablaufrichtung

  • Größe des Datenverbindungsrahmens

  • Auswahl variabler Datenverbindungsrahmen

  Abbildung 4 ist eine Beispiel veranschaulichung des IPFIX-Datenvorlagenpakets.

• Optionsdatenvorlage– Enthält Datenstromexporter- und Sampling-Intervallinformationen.

  Abbildung 5 ist eine Beispieldarstellung des Datenvorlagenpakets der IPFIX-Option.

Wenn eine neue oder geänderte Konfiguration der Inline-Überwachungsservices vorhanden ist, wird der regelmäßige Export von Datenvorlagen und Optionsdatenvorlagen sofort an die jeweiligen Collectors gesendet.

Abbildung 2: IPFIX-Datensatz

Abbildung 3: IPFIX-Optionsdatensatz

Abbildung 4: IPFIX-Datenvorlage

Abbildung 5: IPFIX-Optionsdatenvorlage

Konfigurationsübersicht für Inline-Überwachungsservices

Sie können maximal sechzehn (Junos OS) oder sieben (Junos OS Evolved) Inline-Überwachungsinstanzen konfigurieren, die vorlagen- und collectorspezifische Konfigurationsparameter unterstützen. Jede Inline-Überwachungsinstanz unterstützt bis zu vier Kollektoren (insgesamt maximal 64 Kollektoren), und nur für Junos OS können Sie unterschiedliche Samplingraten in jeder Kollektorkonfiguration angeben. Aufgrund dieser Flexibilität überwinden die Inline-Überwachungsservices die Einschränkungen herkömmlicher Sampling-Technologien wie JFlow, sFlow und Port-Spiegelung.

So konfigurieren Sie die Inline-Überwachung:

1. Sie müssen die inline-monitoring Anweisung auf [edit services] Hierarchieebene einschließen. Hier geben Sie die Vorlagen- und Inline-Überwachungsinstanzparameter an. Sie müssen die Kollektorparameter unter der Instanz zur Inline-Überwachung angeben.

2. Geben Sie beliebige Übereinstimmungsbedingungen mithilfe eines Firewall-Filterbegriffs und einer Aktion zur Annahme der konfigurierten Inline-Überwachungsinstanz an. Dies ordnet die Inline-Überwachungsinstanz dem Firewall-Begriff zu.

3. Ordnen Sie den Firewall-Filter unter der Familie inet oder inet6 Anweisung mit der inline-monitoring-instance Anweisung auf der Hierarchieebene [Firewall-Filter name bearbeiten dann] zu. Ab Junos OS Version 21.1R1 können Sie den Firewall-Filter auch unter der Familie any, bridge, ccc, mpls, oder vpls den Anweisungen zuordnen. Für Junos OS Evolved werden die bridge Und-Familien vplsnicht unterstützt. Verwenden Sie stattdessen die ethernet-switch Familie. Junos OS Evolved unterstützt auch die anyFamilien , ccc, , inet, inet6und mpls . Alternativ können Sie den Firewall-Filter auch auf einen Weiterleitungstabellenfilter mit Ein- oder Ausgabeaussage anwenden, um eingehende bzw. ausgehende Pakete zu filtern.

Merken:

• Das Gerät muss eine maximale Paketlänge (Cliplänge) von 126 Bytes (Junos OS) oder 256 Bytes (Junos OS Evolved) unterstützen, um Inline-Überwachungsservices zu ermöglichen.

• Aufgrund der knappen Bits, die im Paket im Weiterleitungspfad verfügbar sind, können Sie nicht mehr als 16 (Junos OS) oder 7 (Junos OS Evolved) Inline-Überwachungsinstanzen konfigurieren.

• Wenden Sie Inline-Überwachungsservices nur auf einer Collector-Schnittstelle an, also der Schnittstelle, auf der der Collector erreichbar ist. Sie dürfen keine Inline-Überwachung auf IPFIX-Datenverkehr anwenden, da dadurch ein weiteres IPFIX-Paket für die Sampling generiert wird, wodurch eine Schleife erstellt wird. Dazu gehören Inline-Überwachung servicegenerierten Datenverkehr, wie Vorlagen- und Aufzeichnungspakete, Optionsvorlagen und Optionssatzpakete.

• Wenn der Inline-Überwachungsservice auf aggregierten Ethernet-Schnittstellen (AE) aktiviert ist, sind die Werte der Informationselemente wie folgt:

  Tabelle 2: Werte der Informationselemente für aggregierte Ethernet-Schnittstellen

  Richtung des Inline-Überwachungsservice auf der AE-Schnittstelle	Informationselement-10 (Eingangsschnittstelle)	Informationselement-14 (Ausgehende Schnittstelle)
  Eindringen	SNMP-ID von AE	0
  Ausstieg	SNMP-ID von AE	SNMP-ID des Mitgliedslinks

• Wenn der Inline-Überwachungsservice auf IRB-Schnittstellen aktiviert ist, sind die Werte des Informationselements wie folgt:

  Tabelle 3: Werte der Informationselemente für IRB-Schnittstellen

  Richtung des Inline-Überwachungsservices auf der IRB-Schnittstelle	Informationselement-10 (Eingangsschnittstelle)	Informationselement-14 (Ausgehende Schnittstelle)
  Eindringen	SNMP-ID der IRB	0
  Ausstieg	SNMP-ID der IRB	SNMP-ID der gekapselten Vlan-Bridge-Schnittstelle

• Bei XL-XM-basierten Geräten (mit Lookup-Chip (XL) und Puffer-ASIC (XM)) kann die Länge des Data Link Frame Section-Informationselements in einem exportierten Paket kürzer sein als die Cliplänge, auch wenn die Ausgangspaketlänge größer ist als die Cliplänge.

  Die Länge des Data Link Frame Section-Informationselements wird um die Anzahl der Bytes reduziert, wobei 'N' = (Eingangspaket layer 2 Kapselungslänge – Ausgangspaket Layer 2 Kapselungslänge).

  Beispielsweise ist die Layer-2-Kapselungslänge für das Eingangspaket größer als die des Ausgangspakets, wenn das eingangse Paket MPLS-Label hat und das Ausgangspaket vom IPv4- oder IPv6-Typ ist. Wenn der Datenverkehr vom Provider-Edge-Gerät (PE) zum Kunden-Edge-Gerät (CE) fließt, enthält das Eingangspaket VLAN-Tags und das Ausgangspaket wird nicht getaggt.

  In solchen Fällen kann die Länge des Clips über die letzte Adresse des Paketkopfs hinausgehen und eine PKT_HEAD_SIZE Systemprotokollnachricht generieren. Dies kann zu einer Verschlechterung der Paketweiterleitung für das Gerät führen.

• Bei Inline-Überwachungsservices in Eingangsrichtung meldet das egressInterface (Informationselement-ID 14) keinen SNMP-Index der Ausgabeschnittstelle. Diese Informationselement-ID meldet bei Eingangsrichtung immer den Wert Null. Der empfangende Collector-Prozess sollte die Gültigkeit dieses Feldes basierend auf dem flowDirection (Informationselement-ID 61) identifizieren.

Unterstützte und nicht unterstützte Funktionen mit Inline-Überwachungsservices

Inline-Überwachungsservices unterstützen:

• Graceful Routing Engine Switchover

• In-Service Software Upgrade (ISSU), Nonstop Software Upgrade (NSSU) und Nonstop Active Routing (NSR)

• Ethernet-Schnittstellen und integrierte Routing- und Bridging-Schnittstellen (IRB)

• Junos Node Slicing

• Ab Junos OS Evolved Version 22.4R1 konfigurieren Sie DSCP, Weiterleitungsklasse oder Routing-Instanzen für Collectoren.

• Ab Junos OS Evolved Version 22.4R1 konfigurieren Sie Vorlagen-IDs oder Optionsvorlagen-IDs.

Inline-Überwachungsservices unterstützen derzeit nicht:

• Konfiguration von mehr als 16 (Junos OS) oder 7 (Junos OS Evolved) Inline-Überwachungsinstanzen.

• Junos Traffic Vision

• Vor Junos OS Version 21.1R1 wird die Inline-Überwachungsinstanz-Aktion nur für inet Firewall-Filter und inet6 Firewall-Filter der Familie unterstützt. Ab Junos OS Version 21.1R1 wird es für die Firewall-Filter der any, bridge, ccc, mpls, Familie vpls unterstützt.

• Adressierbarer IPv6-Collector

• Virtuelle Plattformen

• Logische Systeme

• Konfiguration sowohl der Beobachtungsdomänen-ID als auch der Beobachtungs-Cloud-ID. Sie müssen nur eine davon auswählen.

• Eine Inline-Überwachungsinstanzaktion, die für die Ausnahmeberichterstattung verwendet wird, kann für keinen anderen Zweck verwendet werden, z. B. für eine Firewall-Re-Direct-Aktion oder eine regelmäßige Inline-Überwachung.

• Eine Inline-Überwachungsinstanz, die für eine Firewall-Re-Direct-Aktion verwendet wird, kann für keinen anderen Zweck verwendet werden, z. B. für Ausnahmeberichte oder eine regelmäßige Inline-Überwachung.

• Konfigurieren Sie vor Junos OS Evolved Version 22.4R1 DSCP, Weiterleitungsklasse oder Routing-Instanzen für Collectoren.

• Konfigurieren Sie vor Junos OS Evolved Version 22.4R1 Vorlagen-IDs oder Optionsvorlagen-IDs. Diese generiert das System für Sie.

• Konfigurieren von Portspiegelungs- und Inline-Überwachungsservices unter demselben Firewall-Filterbegriff (Junos OS Evolved).

• In Ausgangsrichtung konfigurieren Sie sowohl SFlow als auch Ausnahmeberichte; müssen Sie nur eine davon auswählen (Junos OS Evolved).