NDP-Proxy und DAD-Proxy

NDP- und DAD-Proxy (Interface Restricted Mode)

Die NDP-Proxyfunktionalität (Interface Restricted Mode) ermöglicht die Paketweiterleitung zwischen den Hosts, die sich im selben Subnetz befinden und nur eingeschränkt direkt miteinander kommunizieren können. Diese Funktion wird vor allem in einem Szenario verwendet, in dem der Proxyknoten Zugriffssteuerung anwenden und den Datenverkehr zwischen den Hosts abfangen muss. Wenn Sie NDP-Proxy auf einer Firewall der SRX-Serie konfigurieren, sendet das Gerät NA und antwortet auf Anfragen von Geräten, die MAC-Adressen von IPv6-Präfixen suchen, die Hosts innerhalb der Firewall der SRX-Serie zugewiesen sind.

Die DAD-Funktion erkennt die Verwendung doppelter Adressen auf einem lokalen Link mithilfe von NS-Nachrichten (Neighbor Solicitation). Die DAD-Funktion ist für IPv6-Adressen gedacht und funktioniert ähnlich wie unentgeltliches ARP in IPv4.

NDP- und DAD-Proxy (Interface Unrestricted Mode)

Ab Junos OS Version 22.1R1 unterstützen wir NDP- und DAD-Proxy-Funktionen über mehrere Proxy-konfigurierte Schnittstellen hinweg (nicht eingeschränkter Schnittstellenmodus). Der uneingeschränkte Proxy der NDP-Schnittstelle funktioniert innerhalb der vorhandenen IPv6-ND-Funktionalität und wird nur aufgerufen, wenn er aktiviert ist. Schnittstellenfreier Modus: Die ND-Funktionalität arbeitet mit allen konfigurierten Schnittstellen für NDP- und DAD-Proxy zusammen.

In früheren Versionen war die NDP- und DAD-Proxyfunktionalität beschränkt und beschränkte sich nur auf die konfigurierte Schnittstelle. Derzeit funktioniert die NDP- und DAD-Proxyfunktionalität über mehrere konfigurierte Schnittstellen hinweg (uneingeschränkter Schnittstellenmodus).

Mit der NDP- und DAD-Proxyfunktionalität im schnittstellenuneingeschränkten Modus arbeiten die konfigurierten Schnittstellen zusammen, um NA-Antworten (Neighbor Advertisement) an Neighbor Solicitation (NS) im Namen von Knoten in einem anderen physischen Segment zu senden, die von den Knoten im Ursprungssegment ohne den Overhead einer zusätzlichen Präfixzuweisung nicht direkt erreichbar sind.

Wenn Sie NDP-Proxy im Modus "Schnittstellenbeschränkungen" auf Schnittstellen mit dem set interfaces interface-name unit number family inet6 ndp-proxy interface-unrestricted Befehl aktivieren, gehen die Proxyschnittstellen wie folgt vor:

• Generiert NA für NS-Anforderungen. Anforderungen werden dann von Hosts im Namen anderer Hosts gesendet, die im Subnetz über die Proxyschnittstellen erreichbar sind.

• Erzeugt NS und sendet an alle Proxyschnittstellen für das Subnetz, wenn die angeforderte Adresse in NS in der Nachbartabelle nicht verfügbar ist.

  Sucht in der Routing-Tabelle, die zur Eingangsschnittstelle des NS-Pakets gehört, nach weiterleitenden Routen für die Zieladresse. Die Routensuche stellt eine Liste der Routen bereit, die auf die Auflösung der nächsten Hops verweisen. Der Proxy verwendet diese Next Hops, um NS auf verschiedenen konfigurierten Ports zu senden.

  Anmerkung:

  Wenn der Proxy die Routensuche durchführt und der resultierende Route-Next-Hop auf dieselbe Schnittstelle verweist, an der der NS angekommen ist, löscht der Proxy diesen NS.

• Hiermit können Sie die Neighbor Unreachability Detection (NUD) auch dann erzwingen, wenn die angeforderte Zieladresse im Nachbarcache verfügbar und erreichbar ist. Die Funktion "ND erzwingen" ist nützlich, wenn die Hosts von einem Segment in ein anderes verschoben werden. Verwenden Sie den set protocols neighbor-discovery ndp-proxy proxy-force-resolve Befehl, um die NDP-Proxy-Auflösungsfunktion zu aktivieren.

• Leitet Pakete zwischen Hosts weiter, die es als Proxy verwendet, und ermöglicht so die Kommunikation zwischen den Hosts, sobald die Nachbarn aufgelöst sind.

Die DAD-Funktion erkennt die Verwendung doppelter Adressen auf einem lokalen Link mithilfe von NS-Nachrichten (Neighbor Solicitation).

Wenn Sie den DAD-Proxy auf mehreren Schnittstellen mit dem set interfaces interface-name unit <number> family inet6 dad-proxy interface-unrestricted folgenden Befehl aktivieren:

• Der DAD-Proxy generiert eine NA-Antwort für die DAD-NS-Anforderungen im Namen anderer Hosts, wenn die vorläufige NS-Adresse über eine andere Proxyschnittstelle erreichbar ist.

• Wenn eine DAD-NS-Anforderung eintrifft und die vorläufige Adresse im Nachbarcache nicht verfügbar oder veraltet ist, initiiert der DAD-Proxy NUD auf allen anderen Proxy-Schnittstellen mit Ausnahme der empfangenen.

• Wenn eine DAD-Anforderung von einem Host für eine vorläufige Adresse stammt, die sich bereits in der Mitte eines DAD-Prozesses von einem anderen Host befindet, antwortet der DAD-Proxy für beide Hosts mit NA.