Verwaltungsschnittstelle in einer nicht standardmäßigen Instanz
Warum eine nicht standardmäßige VRF-Instanz verwenden?
Standardmäßig stellt die Management-Ethernet-Schnittstelle (normalerweise fxp0 oder em0 für Junos OS oder re0:mgmt-* oder re1:mgmt-* für Junos OS Evolved) das Out-of-Band-Verwaltungsnetzwerk für das Gerät bereit. Out-of-Band-Management-Datenverkehr ist nicht klar vom In-Band-Protokollsteuerungsverkehr getrennt. Stattdessen passiert der gesamte Datenverkehr die Standard-Routing-Instanz und teilt sich die Standard-Routingtabelle inet.0. Bei diesem System der Datenverkehrsverarbeitung gibt es Bedenken hinsichtlich Sicherheit, Leistung und Fehlerbehebung.
Sie (der Netzwerkadministrator) können die Verwaltungsschnittstelle auf eine nicht standardmäßige virtuelle Routing- und Weiterleitungsinstanz (VRF) beschränken. Nachdem Sie die nicht standardmäßig verwaltete VRF-Instanz konfiguriert haben, muss der Verwaltungsdatenverkehr keine Routingtabelle mehr mit anderen Steuerungs- oder Protokolldatenverkehr teilen. Diese Konfiguration verbessert die Sicherheit und erleichtert die Fehlerbehebung über die Managementschnittstelle.
-
Für Junos OS unterstützt die nicht standardmäßig verwaltete VRF-Instanz nur die Schnittstellen em0 und fxp0. Die nicht standardmäßige VRF-Instanz unterstützt keine anderen Verwaltungsschnittstellen wie em1.
-
Die nicht standardmäßige VRF-Instanz unterstützt die VME-Schnittstelle (Virtual Management Ethernet) auf Geräten der EX-Serie. Die VME-Schnittstelle wird zur Verwaltung von Virtual Chassis verwendet. Weitere Informationen finden Sie unter Grundlegendes zur globalen Verwaltung eines Virtual Chassis.
Konfigurieren der mgmt_junos VRF-Instanz
Der Name der dedizierten Verwaltungs-VRF-Instanz ist reserviert und festcodiert als mgmt_junos; Sie können keine andere Routing-Instanz mit dem Namen mgmt_junoskonfigurieren. Da einige Anwendungen davon ausgehen, dass die Verwaltungsschnittstelle immer in der Routingtabelle "default inet.0" vorhanden ist, wird die dedizierte Verwaltungs-VRF-Instanz standardmäßig nicht instanziiert.
Sie müssen statische Routen mit einem nächsten Hop über die Verwaltungsschnittstelle zur mgmt_junos VRF-Instanz hinzufügen. Bei Bedarf müssen Sie auch die entsprechenden Prozesse oder Anwendungen konfigurieren, die verwendet werden sollen mgmt_junos. Alle diese Änderungen müssen in einem einzigen Commit vorgenommen werden. Andernfalls gehen die vorhandenen Sitzungen möglicherweise verloren und müssen neu verhandelt werden.
Sobald Sie die mgmt_junos VRF-Instanz bereitgestellt haben, teilt sich der Verwaltungsdatenverkehr nicht mehr eine Routing-Tabelle (d. h. die Standard-Routing-Tabelle) mit anderen Steuerungs- oder Protokolldatenverkehr im System. Der Datenverkehr in der mgmt_junos VRF-Instanz verwendet private IPv4- und IPv6-Routing-Tabellen. Nach der Konfiguration mgmt_junoskönnen Sie keine dynamischen Protokolle auf der Verwaltungsschnittstelle konfigurieren.
Bevor Sie beginnen: Festlegen statischer Routen
Einige statische Routen haben einen nächsten Hop über die Verwaltungsschnittstelle. Bei der Konfiguration der mgmt_junos VRF-Instanz müssen Sie all diese statischen Routen hinzufügen, damit mgmt_junos sie die Verwaltungsschnittstelle erreichen können. Jedes Setup ist anders. Zuerst müssen Sie die statischen Routen identifizieren, die über die Verwaltungsschnittstelle einen nächsten Hop haben.
-
Verwenden Sie den
show interfaces interface-name terseBefehl, um die IP-Adresse der Standardverwaltungsschnittstelle zu finden. Die Standardverwaltungsschnittstelle ist fxp0 oder em0 für Junos OS oder re0:mgmt-0 oder re1:mgmt-0 für Junos OS Evolved.user@host> show interfaces fxp0 terse Interface Admin Link Proto Local Remote fxp0 up up fxp0.0 up up inet 10.102.183.152/20
-
Verwenden Sie den
show route forwarding-tableBefehl, um die Weiterleitungstabelle auf Next-Hop-Informationen für statische Routen zu sehen. Statische Routen werden als Typuserangezeigt. Der nächste Hop für jede statische Route, die betroffen ist, hat eine IP-Adresse, die unter das Subnetz der für die Verwaltungsschnittstelle konfigurierten IP-Adresse fällt.user@host> show route forwarding-table Routing table: default.inet Internet: Enabled protocols: Bridging, Destination Type RtRef Next hop Type Index NhRef Netif default perm 0 rjct 36 1 0.0.0.0/32 perm 0 dscd 34 1 10.0.0.0/8 user 0 0:0:5e:0:1:d0 ucst 341 6 fxp0.0 10.0.1.0/24 intf 0 rslv 584 1 ge-0/0/0.0 10.0.1.0/32 dest 0 10.0.1.0 recv 582 1 ge-0/0/0.0 10.0.1.1/32 intf 0 10.0.1.1 locl 583 2 10.0.1.1/32 dest 0 10.0.1.1 locl 583 2 10.0.1.255/32 dest 0 10.0.1.255 bcst 581 1 ge-0/0/0.0 10.102.176.0/20 intf 0 rslv 340 1 fxp0.0 10.102.176.0/32 dest 0 10.102.176.0 recv 338 1 fxp0.0 10.102.176.3/32 dest 1 0:50:56:9f:1b:2e ucst 350 2 fxp0.0 10.102.183.152/32 intf 0 10.102.183.152 locl 339 2 10.102.183.152/32 dest 0 10.102.183.152 locl 339 2 10.102.191.253/32 dest 0 10:e:7e:b1:b0:80 ucst 348 1 fxp0.0 10.102.191.254/32 dest 0 0:0:5e:0:1:d0 ucst 341 6 fxp0.0 10.102.191.255/32 dest 0 10.102.191.255 bcst 337 1 fxp0.0 172.16.0.0/12 user 0 10.102.191.254 ucst 341 6 fxp0.0 192.168.0.0/16 user 0 10.102.191.254 ucst 341 6 fxp0.0 224.0.0.0/4 perm 0 mdsc 35 1 224.0.0.1/32 perm 0 224.0.0.1 mcst 31 1 255.255.255.255/32 perm 0 bcst 32 1
-
Eine weitere Möglichkeit, die statischen Routen für Ihr Verwaltungsnetzwerk zu finden, besteht in der Verwendung des
show route protocol static next-hop <management-network-gateway-address>Befehls.user@host> show route protocol static next-hop 10.102.191.254 inet.0: 10 destinations, 10 routes (10 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 10.0.0.0/8 *[Static/5] 2d 21:48:36 > to 10.102.191.254 via fxp0.0 172.16.0.0/12 *[Static/5] 2d 21:48:36 > to 10.102.191.254 via fxp0.0 192.168.0.0/16 *[Static/5] 2d 21:48:36 > to 10.102.191.254 via fxp0.0match, um schnell alle statischen Routen zu lokalisieren, die auf das Standard-Gateway des Verwaltungsnetzwerks verweisen.user@host> show configuration routing-options static | match 10.102.191.254 route 10.0.0.0/8 next-hop 10.102.191.254; route 172.16.0.0/12 next-hop 10.102.191.254; route 192.168.0.0/16 next-hop 10.102.191.254;
Aktivieren der mgmt_junos VRF-Instanz
Wir empfehlen, für diese Vorgänge den Gerätekonsolen-Port zu verwenden. Wenn Sie SSH oder Telnet verwenden, wird die Verbindung zum Gerät unterbrochen, wenn Sie die Konfiguration bestätigen, und Sie müssen es erneut herstellen. Wenn Sie SSH oder Telnet verwenden, verwenden Sie commit confirm.
So aktivieren Sie die dedizierte Management-VRF-Instanz:
Konfiguration von Prozessen für die Verwendung mgmt_junos
Viele Prozesse kommunizieren über die Verwaltungsschnittstelle. Ein Prozess muss eine Verwaltungs-VRF-Instanz unterstützen, um mgmt_junos. Diese Prozesse werden standardmäßig nicht für alle Verwendetmgmt_junos, es sei denn, die Verwaltungsinstanz ist aktiviert. Sie müssen diese Prozesse konfigurieren, um .mgmt_junos
Die folgenden Prozesse erfordern diese zusätzliche Konfiguration:
| Prozess |
Erste Version zur Unterstützung der Management-VRF |
Weitere Informationen |
|---|---|---|
| Automation scripts |
Junos OS-Version 18.1R1 |
Verwenden eines alternativen Quellortes für ein Skript Konfigurieren und Verwenden eines Master-Quellspeicherorts für ein Skript |
| BGP Monitoring Protocol (BMP) |
Junos OS-Version 18.3R1 |
Konfigurieren des BGP-Überwachungsprotokolls für die Ausführung über eine andere Routing-Instanz |
| NTP |
Junos OS-Version 18.1R1 |
|
| Outbound SSH |
Junos OS-Version 19.3R1 |
Konfigurieren des ausgehenden SSH-Service |
| RADIUS |
Junos OS-Version 18.1R1 |
|
| REST API |
Junos OS-Version 20.3R1 |
|
| System Logging |
Junos OS-Version 18.1R1 |
|
| Junos OS-Version 18.4R1 |
||
| TACACS+ |
Junos OS-Version 17.4R1 |
|
| Junos OS-Version 18.2R1 |
Die Konfiguration dieser Prozesse für die Verwendung der mgmt_junos VRF-Instanz ist optional. Wenn Sie diesen Schritt überspringen, senden diese Prozesse Pakete weiterhin nur mit der Standard-Routing-Instanz.
So deaktivieren Sie die mgmt_junos VRF-Instanz
Wenn Sie die mgmt_junos VRF-Instanz deaktivieren, müssen Sie auch die anderen Konfigurationsänderungen entfernen, die Sie vorgenommen haben.