Beispiele: Konfigurieren des PIM-Sparse-Modus

Eine PIM-Sparse-Mode-Domäne (Protocol Independent Multicast) verwendet RPF (Reverse Path Forwarding), um einen Pfad von einer Datenquelle zum Empfänger zu erstellen, der die Daten anfordert. Wenn ein Empfänger eine explizite Join-Anforderung ausgibt, wird eine RPF-Prüfung ausgelöst. Eine PIM-Join-Nachricht (*,G) wird vom designierten Router (DR) des Empfängers an die RP gesendet. (Definitionsgemäß wird diese Nachricht tatsächlich als Join/Prune-Nachricht bezeichnet, aber aus Gründen der Übersichtlichkeit in dieser Beschreibung wird sie je nach Kontext entweder als Join oder Prune bezeichnet.) Die Join-Nachricht wird Hop für Hop Upstream zur ALL-PIM-ROUTERS-Gruppe (224.0.0.13) mittels der RPF-Schnittstelle jedes Routers multicast, bis sie die RP erreicht. Der RP-Router empfängt die PIM-Join-Nachricht (*,G) und fügt die Schnittstelle, auf der sie empfangen wurde, der ausgehenden Schnittstellenliste (OIL) des RPT-Weiterleitungsstatuseintrags (Rendezvous-Point Tree) hinzu. Dadurch wird das RPT aufgebaut, das den Empfänger mit dem RP verbindet. Das RPT bleibt auch dann wirksam, wenn keine aktiven Quellen Datenverkehr generieren.

Anmerkung:

State – die Einträge (*,G) oder (S,G) – sind die Informationen, die für die Weiterleitung von Unicast- oder Multicast-Paketen verwendet werden. S ist die Quell-IP-Adresse, G ist die Multicast-Gruppenadresse und * steht für jede Quelle, die an Gruppe G sendet. Router verfolgen den Multicast-Weiterleitungsstatus für die eingehenden und ausgehenden Schnittstellen für jede Gruppe.

Wenn eine Quelle aktiv wird, kapselt die Quell-DR Multicast-Datenpakete in eine PIM-Registernachricht und sendet sie mittels Unicast an den RP-Router.

Wenn der RP-Router über interessierte Empfänger in der PIM-Sparse-Mode-Domäne verfügt, sendet er eine PIM-Join-Nachricht an die Quelle, um einen Baum mit dem kürzesten Pfad (SPT) zurück zur Quelle zu erstellen. Die Quelle sendet Multicastpakete über das LAN, und die Quell-DR kapselt die Pakete in einer PIM-Registernachricht und leitet die Nachricht mittels Unicast an den RP-Router weiter. Der RP-Router empfängt PIM-Registernachrichten von der Quelle zurück und fügt somit dem Verteilungsbaum eine neue Quelle hinzu, wobei die Quellen in einer PIM-Tabelle verfolgt werden. Sobald ein RP-Router Pakete nativ (mit S,G) empfängt, sendet er eine Registerstoppnachricht, um den Empfang der Registernachrichten mittels Unicast zu beenden.

In der Praxis sind viele Empfänger mit mehreren SPTs an einem Multicast-Datenverkehrsfluss beteiligt. Um den Prozess zu veranschaulichen, verfolgen wir den Multicast-Datenverkehr vom RP-Router zu einem Empfänger. In einem solchen Fall beginnt der RP-Router mit dem Senden von Multicast-Paketen über das RPT an die DR des Empfängers, die an die interessierten Empfänger übermittelt werden. Wenn der DR des Empfängers das erste Paket vom RPT empfängt, sendet der DR eine PIM-Join-Nachricht an den Quell-DR, um mit dem Aufbau eines SPT zurück zur Quelle zu beginnen. Wenn der Quell-DR die PIM-Beitrittsnachricht vom DR des Empfängers empfängt, beginnt er mit dem Senden von Datenverkehr über alle SPTs. Wenn das erste Multicast-Paket von der Notfallwiederherstellung des Empfängers empfangen wird, sendet die Notfallwiederherstellung des Empfängers eine PIM-Bereinigungsnachricht an den RP-Router, um zu verhindern, dass doppelte Pakete über den RPT gesendet werden. Im Gegenzug beendet der RP-Router das Senden von Multicast-Paketen an die Notfallwiederherstellung des Empfängers und sendet eine PIM-Bereinigungsnachricht für diese Quelle über die RPT an die Quell-Notfallwiederherstellung, um die Multicast-Paketübermittlung an den RP-Router von dieser bestimmten Quelle zu stoppen.

Wenn der RP-Router eine PIM-Registernachricht von einer aktiven Quelle empfängt, aber keine interessierten Empfänger in der PIM-Sparse-Mode-Domäne hat, fügt er die aktive Quelle dennoch der PIM-Tabelle hinzu. Nach dem Hinzufügen der aktiven Quelle zur PIM-Tabelle sendet der RP-Router jedoch eine Registerstoppnachricht. Der RP-Router erkennt die Existenz der aktiven Quelle und muss keine Ankündigung der Quelle (die Ressourcen verbraucht) mehr empfangen.

Anmerkung:

Wenn die Anzahl der PIM-Join-Nachrichten die konfigurierte MTU überschreitet, werden die Nachrichten im IPv6-PIM-Sparse-Modus fragmentiert. Um die Fragmentierung von PIM-Join-Nachrichten zu vermeiden, erhält der Multicast-Datenverkehr die Schnittstellen-MTU anstelle der Pfad-MTU.

Die Hauptmerkmale des PIM-Sparse-Modus sind wie folgt:

• Router mit nachgeschalteten Empfängern treten einer PIM-Sparse-Mode-Struktur über eine explizite Join-Nachricht bei.

• PIM-Sparse-Mode-RPs sind die Router, bei denen Empfänger auf Quellen treffen.

• Absender kündigen ihre Existenz einem oder mehreren RPs an, und Empfänger fragen RPs ab, um Multicastsitzungen zu finden.

• Sobald Empfänger Inhalte von Quellen über die RP erhalten, kann der Last-Hop-Router (der Router, der dem Empfänger am nächsten ist) die RP optional aus der freigegebenen Verteilungsstruktur (*,G) entfernen, wenn die neue quellenbasierte Struktur (S,G) kürzer ist. Empfänger können dann Inhalte direkt von der Quelle abrufen.

  Der Übergangsaspekt des PIM-Sparse-Modus vom freigegebenen zum quellenbasierten Baum ist eines der Hauptmerkmale von PIM, da er eine Überlastung der RP oder der umgebenden Core-Links verhindert.

Es gibt verwandte Probleme in Bezug auf Quelle, RPs und Empfänger, wenn Multicast im Sparse-Modus verwendet wird:

• Quellen müssen in der Lage sein, an alle RPs zu senden.

• RPs müssen sich alle kennen.

• Empfänger müssen explizite Verknüpfungsnachrichten an eine bekannte RP senden.

• Empfänger müssen zunächst nur eine RP kennen (später erfahren sie von anderen).

• Empfänger können sich explizit von einem Baum beschneiden.

• Empfänger, die nie zu einem quellenbasierten Baum übergehen, führen effektiv Core Based Trees (CBT) aus.

Der PIM-Sparse-Modus verfügt über Standardfunktionen für all diese Probleme.

• Treffpunkt
• RP-Mapping-Optionen

In einer PIM-Sparse-Mode-Domäne (PIM-SM) gibt es zwei Arten von designierten Routern (DRs):

• Der Empfänger-DR sendet PIM-Join- und PIM-Bereinigungsnachrichten vom Empfängernetzwerk an die RP.

• Die Quell-DR sendet PIM-Registernachrichten vom Quellnetzwerk an die RP.

Benachbarte PIM-Router übertragen alle 30 Sekunden (Standardeinstellung) regelmäßig PIM-Hello-Nachrichten aneinander. Die PIM-Hallo-Nachricht enthält in der Regel einen Holdtime-Wert, den der Nachbar verwenden kann, dies ist jedoch keine Voraussetzung. Wenn die PIM-Begrüßungsnachricht keinen Haltezeitwert enthält, wird ein Standardwert für das Zeitlimit (in Junos OS 105 Sekunden) verwendet. Beim Empfang einer PIM-Hallo-Nachricht speichert ein Router die IP-Adresse und die Priorität für diesen Nachbarn. Wenn die DR-Prioritäten übereinstimmen, wird der Router mit der höchsten IP-Adresse als DR ausgewählt.

Wenn eine Notfallwiederherstellung fehlschlägt, wird eine neue ausgewählt, wobei der gleiche Prozess wie beim Vergleich von IP-Adressen verwendet wird.

Anmerkung:

Die DR-Priorität ist spezifisch für den PIM-Sparse-Modus. Gemäß RFC 3973 kann die PIM-DR-Priorität nicht explizit im PIM-Dense-Modus (PIM-DM) in IGMPv2 konfiguriert werden – PIM-DM unterstützt nur DRs mit IGMPv1.

Auf Routern von Juniper Networks werden Datenpakete mittels Hardware und nicht der Software, die auf dem Router-Prozessor ausgeführt wird, in Tunnel gekapselt und entkapselt. Die Hardware, die zum Erstellen von Tunnelschnittstellen auf Routern der M- und T-Serie verwendet wird, ist ein Tunnel Services PIC. Wenn Juniper Networks Multiservice-Edge-Router der M-Serie und Juniper Networks Core-Router der T-Serie als Rendezvouspunkte oder IP Version 4 (IPv4) PIM-Sparse-Mode-DRs konfiguriert sind, die mit einer Quelle verbunden sind, ist ein Tunnel Services PIC erforderlich. Für die Ethernet-Service-Router der MX-Serie von Juniper Networks sind keine Tunnelservice-PICs erforderlich. Auf Routern der MX-Serie müssen Sie jedoch Tunneldienste mit der tunnel-services Anweisung für eine oder mehrere Online-FPC- und PIC-Kombinationen auf Hierarchieebene [edit chassis fpc number pic number] aktivieren.

VORSICHT:

Aus Redundanzgründen wird dringend empfohlen, dass jedes Routing-Gerät über mehrere Tunnel Services PICs verfügt. Bei Routern der MX-Serie wird empfohlen, mehrere tunnel-services Anweisungen zu konfigurieren.

Es wird außerdem empfohlen, die Tunnel-PICs auf verschiedenen FPCs zu installieren (oder zu konfigurieren). Wenn Sie nur einen Tunnel-PIC haben oder wenn Sie mehrere Tunnel-PICs auf einem einzelnen FPC installiert haben und dieser FPC dann entfernt wird, wird die Multicast-Sitzung nicht gestartet. Mit redundanten Tunnel-PICs auf separaten FPCs kann sichergestellt werden, dass mindestens ein Tunnel-PIC verfügbar ist und Multicast weiterhin funktioniert.

Bei Routern der MX-Serie sieht die redundante Konfiguration wie im folgenden Beispiel aus:

Im PIM-Sparse-Modus nimmt die Quell-DR die anfänglichen Multicastpakete entgegen und kapselt sie in PIM-Registermeldungen. Die Quell-DR leitet die Pakete dann per Unicast an den PIM-RP-Router im Sparse-Mode-Modus weiter, wo die PIM-Registernachricht entkapselt wird.

Wenn ein Router als PIM-RP-Router im Sparse-Mode-Modus konfiguriert ist (durch Angabe einer Adresse mithilfe der address Anweisung auf Hierarchieebene [edit protocols pim rp local] ) und ein Tunnel-PIC auf dem Router vorhanden ist, wird automatisch eine PIM-Register-Entkapselungsschnittstelle oder PD-Schnittstelle erstellt. Die PD-Schnittstelle empfängt PIM-Registermeldungen und entkapselt diese über die Hardware.

Wenn der PIM-Sparse-Modus aktiviert ist und ein Tunnel Services-PIC auf dem Router vorhanden ist, wird für jede RP-Adresse automatisch eine PIM-Registerkapselungsschnittstelle (PE-Schnittstelle ) erstellt. Die PE-Schnittstelle wird verwendet, um Quelldatenpakete zu kapseln und die Pakete an RP-Adressen auf dem PIM-DR und dem PIM-RP zu senden. Die PE-Schnittstelle empfängt PIM-Registermeldungen und kapselt die Pakete über die Hardware.

Verwechseln Sie die konfigurierbaren PE- und PD-Hardwareschnittstellen nicht mit den nicht konfigurierbaren PIME- und PIMD-Softwareschnittstellen. Beide Paare kapseln und entkapseln Multicastpakete und werden automatisch erstellt. Die PE- und PD-Schnittstellen werden jedoch nur angezeigt, wenn ein Tunnel Services-PIC vorhanden ist. Die Schnittstellen pime und pimd sind in Situationen, in denen die Schnittstellen pe und pd erforderlich sind, nicht sinnvoll.

Wenn es sich bei der Quell-DR um die RP handelt, sind keine PIM-Registrierungsmeldungen und folglich auch kein Tunnel Services PIC erforderlich.

Wenn der PIM-Sparse-Modus mit IP-Version 6 (IPv6) verwendet wird, ist ein Tunnel-PIC auf dem RP erforderlich, aber nicht auf dem IPv6-PIM-DR. Das Fehlen einer Tunnel-PIC-Anforderung für die IPv6-Notfallwiederherstellung gilt nur für den IPv6-PIM-Sparse-Mode und ist nicht zu verwechseln mit den IPv4-PIM-Sparse-Mode-Anforderungen.

Tabelle 1 zeigt die vollständige Matrix der IPv4- und IPv6-PIM-Tunnel-PIC-Anforderungen.

Tabelle 1: Tunnel-PIC-Anforderungen für IPv4- und IPv6-Multicast

IP-Version	Tunnel-PIC auf RP	Tunnel-PIC auf DR
IPv4	Ja	Ja
IPv6	Ja	Nein

In diesem Beispiel wird beschrieben, wie Sie die PIM-Verknüpfungsunterdrückung aktivieren.

IPsec-VPNs stellen sichere Punkt-zu-Punkt-Verbindungen zwischen Standorten über das Internet her. Die Junos OS-Implementierung von IPsec-VPNs unterstützt Multicast- und Unicast-Datenverkehr. Im folgenden Beispiel wird gezeigt, wie der PIM-Sparse-Modus für die Multicastlösung konfiguriert wird und wie IPsec konfiguriert wird, um den Datenverkehr zu schützen.

Die in diesem Beispiel gezeigte Konfiguration funktioniert auf den folgenden Plattformen:

• Router der M- und T-Serie mit einem der folgenden PICs:

  • Adaptive Services (AS) PIC

  • Multiservices (MS) PIC

• JCS1200-Plattform mit einem Multiservices-PIC (MS-500)

Die Tunnelendpunkte müssen nicht vom gleichen Plattformtyp sein. Beispielsweise kann das Gerät an einem Ende des Tunnels ein JCS1200-Router sein, während das Gerät am anderen Ende ein eigenständiger Router der T-Serie sein kann. Die beiden Router, die die Tunnelendpunkte darstellen, können sich im selben autonomen System oder in verschiedenen autonomen Systemen befinden.

In der in diesem Beispiel gezeigten Konfiguration wird OSPF zwischen den Tunnelendpunkten konfiguriert. In Abbildung 3 sind die Tunnelendpunkte R0 und R1. Das Netzwerk, das die Multicastquelle enthält, ist mit R0 verbunden. Das Netzwerk, das die Multicastempfänger enthält, ist mit R1 verbunden. R1 dient als statisch konfigurierter Rendezvous Point (RP).

So konfigurieren Sie den PIM-Sparse-Modus mit IPsec:

1. Konfigurieren Sie auf R0 die eingehende Gigabit-Ethernet-Schnittstelle.

2. Konfigurieren Sie auf R0 die ausgehende Gigabit-Ethernet-Schnittstelle.

3. Konfigurieren Sie auf R0 Einheit 0 auf der sp- -Schnittstelle. Das Junos-Betriebssystem verwendet Einheit 0 für die Serviceprotokollierung und andere Kommunikation von den Services PIC.

4. Konfigurieren Sie auf R0 die logischen Schnittstellen, die an den IPsec-Diensten beteiligt sind. In diesem Beispiel ist Einheit 1 die nach innen gerichtete Schnittstelle. Einheit 1001 ist die Schnittstelle, die dem Remote-IPsec-Standort zugewandt ist.

5. Leiten Sie auf R0 OSPF-Datenverkehr in den IPsec-Tunnel.

6. Konfigurieren Sie auf R0 den PIM-Sparse-Modus. In diesem Beispiel wird die statische RP-Konfiguration verwendet. Da es sich bei R0 um einen Nicht-RP-Router handelt, konfigurieren Sie die Adresse des RP-Routers, bei der es sich um die routingfähige Adresse handelt, die der Loopback-Schnittstelle auf R1 zugewiesen ist.

7. Erstellen Sie auf R0 eine Regel für eine bidirektionale dynamische IKE-Sicherheitszuordnung (SA), die auf die IKE-Richtlinie und die IPsec-Richtlinie verweist.

8. Konfigurieren Sie auf R0 den IPsec-Vorschlag. In diesem Beispiel wird das AH-Protokoll (Authentication Header) verwendet.

9. Definieren Sie auf R0 die IPsec-Richtlinie.

10. Konfigurieren Sie auf R0 die IKE-Authentifizierungs- und Verschlüsselungsdetails.

11. Definieren Sie auf R0 die IKE-Richtlinie.

12. Erstellen Sie auf R0 einen Dienstsatz, der IPsec-spezifische Informationen definiert. Der erste Befehl ordnet die IKE-SA-Regel IPsec zu. Der zweite Befehl definiert die Adresse des lokalen Endes des IPsec-Sicherheitstunnels. Mit den letzten beiden Befehlen werden die logischen Schnittstellen konfiguriert, die an den IPsec-Diensten beteiligt sind. Einheit 1 ist für den nach innen gerichteten IPsec-Datenverkehr vorgesehen. Einheit 1001 ist für den nach außen gerichteten IPsec-Datenverkehr vorgesehen.

13. Konfigurieren Sie auf R1 die eingehende Gigabit-Ethernet-Schnittstelle.

14. Konfigurieren Sie auf R1 die ausgehende Gigabit-Ethernet-Schnittstelle.

15. Konfigurieren Sie auf R1 die Loopback-Schnittstelle.

16. Konfigurieren Sie auf R1 Einheit 0 auf der sp- -Schnittstelle. Das Junos-Betriebssystem verwendet Einheit 0 für die Serviceprotokollierung und andere Kommunikation von den Services PIC.

17. Konfigurieren Sie auf R1 die logischen Schnittstellen, die an den IPsec-Diensten beteiligt sind. In diesem Beispiel ist Einheit 1 die nach innen gerichtete Schnittstelle. Einheit 1001 ist die Schnittstelle, die dem Remote-IPsec-Standort zugewandt ist.

18. Leiten Sie auf R1 OSPF-Datenverkehr in den IPsec-Tunnel.

19. Konfigurieren Sie auf R1 den PIM-Sparse-Modus. R1 ist ein RP-Router. Wenn Sie die lokale RP-Adresse konfigurieren, verwenden Sie die freigegebene Adresse, bei der es sich um die Adresse der Loopbackschnittstelle von R1 handelt.

20. Erstellen Sie auf R1 eine Regel für eine bidirektionale dynamische Internet Key Exchange (IKE)-Sicherheitszuordnung (Security Association, SA), die auf die IKE-Richtlinie und die IPsec-Richtlinie verweist.

21. Definieren Sie auf R1 den IPsec-Vorschlag für die dynamische Sicherheitszuordnung.

22. Definieren Sie auf R1 die IPsec-Richtlinie.

23. Konfigurieren Sie auf R1 die IKE-Authentifizierungs- und Verschlüsselungsdetails.

24. Definieren Sie auf R0 die IKE-Richtlinie.

25. Erstellen Sie auf R1 einen Dienstsatz, der IPsec-spezifische Informationen definiert. Der erste Befehl ordnet die IKE-SA-Regel IPsec zu. Der zweite Befehl definiert die Adresse des lokalen Endes des IPsec-Sicherheitstunnels. Mit den letzten beiden Befehlen werden die logischen Schnittstellen konfiguriert, die an den IPsec-Diensten beteiligt sind. Einheit 1 ist für den nach innen gerichteten IPsec-Datenverkehr vorgesehen. Einheit 1001 ist für den nach außen gerichteten IPsec-Datenverkehr vorgesehen.

Führen Sie die folgenden Befehle aus, um die Konfiguration zu überprüfen:

Überprüfen Sie, welche RPs die verschiedenen Router kennengelernt haben.

Überprüfen Sie, ob die IPsec-SA-Aushandlung erfolgreich ist.

Überprüfen Sie, ob die IKE SA-Aushandlung erfolgreich ist.

Überprüfen Sie, ob der Datenverkehr über den IPsec-Tunnel geleitet wird.

Ein virtueller Router ist eine Art vereinfachte Routing-Instanz, die über eine einzelne Routing-Tabelle verfügt. Dieses Beispiel zeigt, wie PIM in einem virtuellen Router konfiguriert wird.