Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
AUF DIESER SEITE
 

Anforderungen für die Virtuelle Firewall vSRX auf KVM

Dieser Abschnitt enthält einen Überblick über die Anforderungen für die Bereitstellung einer Instanz der Virtuelle Firewall vSRX auf KVM.

Software – Spezifikationen

In der folgenden Tabelle sind die Systemsoftwareanforderungen für die Bereitstellung der Virtuelle Firewall vSRX in einer KVM-Umgebung aufgeführt. Die Tabelle beschreibt die Version von Junos OS, in der eine bestimmte Softwarespezifikation für die Bereitstellung der Virtuelle Firewall vSRX auf KVM eingeführt wurde. Sie müssen eine bestimmte Version von Junos OS herunterladen, um bestimmte Funktionen nutzen zu können.

VORSICHT:

Ein PML-Problem (Page Modification Logging) im Zusammenhang mit dem KVM-Hostkernel kann dazu führen, dass die Virtuelle Firewall vSRX nicht erfolgreich gestartet wird. Wenn dieses Verhalten bei der Virtuelle Firewall vSRX auftritt, empfehlen wir, die PML auf Host-Kernel-Ebene zu deaktivieren. Weitere Informationen zum Deaktivieren der PML im Rahmen der Aktivierung der verschachtelten Virtualisierung finden Sie unter Vorbereiten des Servers für die vSRX-Installation .
Tabelle 1: Funktionsunterstützung der Virtuelle Firewall vSRX
Eigenschaften Spezifikation Version von Junos OS eingeführt
vCPUs/Arbeitsspeicher

2 vCPU/4 GB RAM

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1 (Virtuelle Firewall vSRX)

5 vCPU/8 GB RAM

Junos OS Version 15.1X49-D70 und Junos OS Version 17.3R1 (Virtuelle Firewall vSRX)

9 vCPU/16 GB RAM

Junos OS Version 18.4R1 (Virtuelle Firewall vSRX)

Junos OS Version 19.1R1 (Virtuelle Firewall vSRX 3.0)

17 vCPU/32 GB RAM

Junos OS Version 18.4R1 (Virtuelle Firewall vSRX)

Junos OS Version 19.1R1 (Virtuelle Firewall vSRX 3.0)

Flexible Flow-Session-Kapazitätskalierung durch zusätzlichen vRAM

 NA

Junos OS Version 19.1R1 (Virtuelle Firewall vSRX)

Junos OS Version 19.2R1 (Virtuelle Firewall vSRX 3.0)

Unterstützung für Multicore-Skalierung (Software-RSS)

 NA Junos OS Version 19.3R1 (nur Virtuelle Firewall vSRX 3.0)

Reservieren zusätzlicher vCPU-Kerne für die Routing-Engine (Virtuelle Firewall vSRX und Virtuelle Firewall vSRX 3.0)

 NA  

Virtio (virtio-net, vhost-net) (Virtuelle Firewall vSRX und Virtuelle Firewall vSRX 3.0)

 NA  
Unterstützte Hypervisoren

Linux KVM Hypervisor-Unterstützung

Hinweis:

Beginnend mit den hier genannten Junos OS-Versionen unterstützen alle nachfolgenden Junos OS-Versionen auch diese RHEL-Versionen und neuere Versionen.

Ubuntu 14.04.5, 16.04 und 16.10

 Junos OS Version 18.4R1
Ubuntu 18.04 und 20.04 Junos OS Version 20.4R1
Red Hat Enterprise Linux (RHEL) 7.3, 7.6 und 7.7 Junos OS Version 18.4R1
Red Hat Enterprise Linux (RHEL) 8.2 Junos OS Version 19.2R1
Red Hat Enterprise Linux (RHEL) 9 Junos OS Version 23.4R1
CentOS 7.1, 7.2, 7.6 und 7.7 Junos OS Version 20.4R1
Weitere Funktionen

Cloud-init

 NA Ja (Junos OS Version 15.1X49-D100 und Junos OS Version 17.4R1 aufwärts)

Powermode IPSec (PMI)

 NA  

Chassis-Cluster

 NA Ja (Junos OS 12.1X46-D10 und höher)

GTP TEID-basierte Sitzungsverteilung mit Software-RSS

 NA Ja (Junos OS Version 19.3R1 und höher)

Antiviren-Scan-Engine auf dem Gerät (Avira)

 NA Ja (Junos OS Version 19.4R1 und höher)

LLDP

 NA Ja (Junos OS Version 21.1R1 und höher)

Junos Telemetry Interface

 NA Ja (Junos OS Version 20.3R1 und höher)
Systemanforderungen

Hardwarebeschleunigung/aktiviertes VMX-CPU-Flag im Hypervisor

 NA  

Speicherplatz

16 GB (IDE- oder SCSI-Laufwerke) (Virtuelle Firewall vSRX)

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1

18 GB (Virtuelle Firewall vSRX 3.0)

  
Tabelle 2: vNIC-Unterstützung auf der Virtuelle Firewall vSRX
vNICs Version eingeführt
Virtio SA und Hohe Verfügbarkeit  
SR-IOV SA und Hohe Verfügbarkeit über Intel 82599/X520-Serie Junos OS Version 15.1X49-D90 und Junos OS Version 17.3R1
SR-IOV SA und Hohe Verfügbarkeit über Intel X710/XL710/XXV710-Serie Junos OS Version 15.1X49-D90
SR-IOV SA und Hohe Verfügbarkeit über Intel E810-Serie Junos OS Version 21.2R1
Hinweis:

Ab Junos OS Version 23.2R2 ist nur der ICE-Treiber 1.12.7 für E810 mit vSRX 3.0 kompatibel. Version unter 1.12.7 verursacht Kompatibilitätsprobleme und bringt den FPC nicht online.
SR-IOV SA und Hohe Verfügbarkeit über Mellanox ConnectX-3 Nicht unterstützt
SR-IOV SA und Hohe Verfügbarkeit über Mellanox ConnectX-4/5/6 (nur MLX5-Treiber)

Junos OS Version 18.1R1 (Virtuelle Firewall vSRX)

Junos OS Version 21.2R1 und höher auf Virtuelle Firewall vSRX 3.0

Intel NIC Physical Function (PF) PCI-Passthrough-Support

PF-PCI-Passthrough weist einen gesamten physischen NIC-Port direkt einer vSRX3.0 Virtual Machine (VM) auf Kernel-based Virtual Machine (KVM) und VMware ESXi-Hypervisoren zu. Bei PF-Passthrough greift die vSRX3.0-Datenebene direkt auf die NIC Hardware zu und umgeht den virtuellen Switching Stack des Hypervisor. VMs mit PF-Passthrough-NICs unterstützen keine Livemigration. Über PF-Passthrough zugewiesene NICs sind einer einzelnen VM zugewiesen und können nicht freigegeben werden.

Dieses Bereitstellungsmodell verändert die Leistungsmerkmale und das Betriebsverhalten im Vergleich zu paravirtualisierten NICs und SR-IOV Virtual Function (VF)-Passthrough. Verwenden Sie PF-Passthrough nur mit qualifizierten Kombinationen aus Hypervisor, NIC und Treiber.

Unterstützte NIC-Kategorien werden DPDK PF-Treibern zugeordnet, wobei eine repräsentative NIC pro Kategorie ausgewählt wird.

Tabelle 2: Unterstützte NIC DPDK PF-Treiber zugeordnet
PF-Treiber NIC
Eis E810
i40e XL710
ixgbe 82599
IGC* I225
IGB/E1000* I350

Tabelle 3: Plattformunterstützung
Hypervisor Eis i40e ixgbe IGC IGB/E1000
KVM Y Y Y N N
Junos OS Version 26.2R1

Data Plane Development Kit (DPDK) Version 17.05

 Junos OS Version 18.2R1

Data Plane Development Kit (DPDK) Version 18.11

DPDK Version 18.11 wird auf der Virtuelle Firewall vSRX unterstützt. Mit dieser Funktion unterstützt die Mellanox Connect Network Interface Card (NIC) auf der Virtuelle Firewall vSRX jetzt OSPF, Multicast und VLANs.

 Junos OS Version 19.4R1

Data Plane Development Kit (DPDK) Version 20.11

Wir haben das Data Plane Development Kit (DPDK) von Version 18.11 auf Version 20.11 aktualisiert. Die neue Version unterstützt den ICE Poll Mode Driver (PMD), der die physische Unterstützung der Intel E810 Serie 100G NIC auf der Virtuelle Firewall vSRX 3.0 ermöglicht.		 Junos OS Version 21.2R1
Hinweis:

Eine Virtuelle Firewall vSRX auf KVM-Bereitstellung erfordert, dass Sie die hardwarebasierte Virtualisierung auf einem Hostbetriebssystem aktivieren, das einen VT-fähigen Prozessor (Intel Virtualization Technology) enthält. Die CPU-Kompatibilität können Sie hier überprüfen: http://www.linux-kvm.org/page/Processor_support

In der folgenden Tabelle sind die Spezifikationen für die Virtuelle Firewall vSRX VM aufgeführt.

Ab Junos OS Version 19.1R1 unterstützt die Virtuelle Firewall vSRX-Instanz Gastbetriebssysteme mit 9 oder 17 vCPUs mit Single-Root-E/A-Virtualisierung über den Intel X710/XL710 auf Linux KVM-Hypervisor für verbesserte Skalierbarkeit und Leistung.

KVM-Kernel-Empfehlungen für die Virtuelle Firewall vSRX

Tabelle 5 listet die empfohlene Linux-Kernel-Version für Ihr Linux-Host-Betriebssystem auf, wenn Sie die Virtuelle Firewall vSRX auf KVM bereitstellen. In der Tabelle ist die Version von Junos OS aufgeführt, in der Unterstützung für eine bestimmte Linux-Kernelversion eingeführt wurde.

Tabelle 5: Kernel-Empfehlungen für KVM

Linux-Distribution

Linux-Kernel-Version

Unterstützte Versionen von Junos OS

CentOS

3.10.0.229

Aktualisieren Sie den Linux-Kernel, um die empfohlene Version zu erfassen.

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1 oder höher

Ubuntu

3.16

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1 oder höher

4.4

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1 oder höher
18.04

Junos OS Version 20.4R1 oder höher
20.04

Junos OS Version 20.4R1 oder höher

RHEL

3.10

Junos OS Version 15.1X49-D15 und Junos OS Version 17.3R1 oder höher

Zusätzliche Linux-Pakete für die Virtuelle Firewall vSRX auf KVM

Tabelle 6 listet die zusätzlichen Pakete auf, die Sie auf Ihrem Linux-Host-Betriebssystem benötigen, um die Virtuelle Firewall vSRX auf KVM auszuführen. In der Dokumentation Ihres Hostbetriebssystems erfahren Sie, wie Sie diese Pakete installieren, wenn sie nicht auf Ihrem Server vorhanden sind.

Tabelle 6: Zusätzliche Linux-Pakete für KVM

Paket

Ausführung

Link herunterladen

libvirt

0.10.0

libvirt herunterladen

virt-manager (empfohlen)

0.10.0

virt-manager herunterladen

Hardware-Spezifikationen

Tabelle 7 listet die Hardwarespezifikationen für den Hostcomputer auf, auf dem die VM der Virtuelle Firewall vSRX ausgeführt wird.

Tabelle 7: Hardwarespezifikationen für den Host-Computer

Komponente

Spezifikation

Host-Prozessor-Typ

Intel x86_64 Multi-Core-CPU

Hinweis:

DPDK erfordert Intel Virtualization VT-x/VT-d-Unterstützung in der CPU. Weitere Informationen finden Sie unter Informationen zur Intel Virtualisierungstechnologie.

Physische NIC-Unterstützung für Virtuelle Firewall vSRX und Virtuelle Firewall vSRX 3.0

  • Virtio

  • SR-IOV (Intel X710/XL710, X520/540, 82599)

  • SR-IOV (Mellanox ConnectX-3/ConnectX-3 Pro und Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)

Hinweis:

Wenn Sie SR-IOV mit den Adaptern der Mellanox ConnectX-3- oder ConnectX-4-Familie verwenden, installieren Sie auf dem Linux-Host ggf. den neuesten MLNX_OFED Linux-Treiber.
Hinweis:

Sie müssen die Intel VT-d-Erweiterungen aktivieren, um Hardwareunterstützung für die direkte Zuweisung physischer Geräte pro Gast bereitzustellen. Siehe Konfigurieren von SR-IOV und PCI auf KVM.

Physische NIC-Unterstützung für Virtuelle Firewall vSRX 3.0

Unterstützt SR-IOV auf Intel X710/XL710/XXV710 und Intel E810.

Best Practices zur Verbesserung der Leistung der virtuellen Firewall vSRX

Lesen Sie die folgenden Vorgehensweisen, um die Leistung der Virtuelle Firewall vSRX zu verbessern.

NUMA-Knoten

Die x86-Serverarchitektur besteht aus mehreren Sockets und mehreren Kernen innerhalb eines Sockets. Jeder Socket verfügt über Speicher, der zum Speichern von Paketen während der E/A-Übertragung von der NIC zum Host verwendet wird. Um Pakete effizient aus dem Speicher lesen zu können, sollten sich Gastanwendungen und zugehörige Peripheriegeräte (wie die NIC) in einem einzigen Socket befinden. Das Spannen von CPU-Sockets für Speicherzugriffe stellt eine Strafe dar, was zu einer nicht deterministischen Leistung führen kann. Für die Virtuelle Firewall vSRX empfehlen wir, dass sich alle vCPUs für die VM der Virtuelle Firewall vSRX im selben NUMA-Knoten (Physical Non-Uniform Memory Access) befinden, um eine optimale Leistung zu erzielen.

VORSICHT:

Die Packet Forwarding Engine (PFE) der Virtuelle Firewall vSRX reagiert nicht mehr, wenn die NUMA-Knotentopologie im Hypervisor so konfiguriert ist, dass die vCPUs der Instanz auf mehrere NUMA-Hostknoten verteilt werden. Virtuelle Firewall vSRX erfordert, dass Sie sicherstellen, dass sich alle vCPUs auf demselben NUMA-Knoten befinden.

Es wird empfohlen, die Instanz der Virtuelle Firewall vSRX an einen bestimmten NUMA-Knoten zu binden, indem Sie die NUMA-Knotenaffinität festlegen. Die NUMA-Knotenaffinität beschränkt die VM-Ressourcenplanung der virtuellen vSRX Virtuelle Firewall vSRX auf den angegebenen NUMA-Knoten.

Zuordnen virtueller Schnittstellen zu einer VM der Virtuelle Firewall vSRX

So bestimmen Sie, welche virtuellen Schnittstellen auf Ihrem Linux-Hostbetriebssystem einer VM der Virtuelle Firewall vSRX zugeordnet sind:

  1. Verwenden Sie den virsh list Befehl auf Ihrem Linux-Hostbetriebssystem, um die ausgeführten VMs aufzulisten.

  2. Verwenden Sie den virsh domiflist vsrx-name Befehl, um die virtuellen Schnittstellen auf dieser VM der Virtuelle Firewall vSRX aufzulisten.

    Hinweis:

    Die erste virtuelle Schnittstelle wird der fxp0-Schnittstelle in Junos OS zugeordnet.

Schnittstellenzuordnung für Virtuelle Firewall vSRX auf KVM

Jeder Netzwerkadapter, der für eine Virtuelle Firewall vSRX definiert ist, wird einer bestimmten Schnittstelle zugeordnet, je nachdem, ob es sich bei der Instanz der Virtuelle Firewall vSRX um eine eigenständige VM oder um eine Instanz eines Cluster-Paares handelt, um hohe Verfügbarkeit zu gewährleisten. Die Schnittstellennamen und -zuordnungen in der Virtuelle Firewall vSRX sind in Tabelle 8 und Tabelle 9 aufgeführt.

Beachten Sie Folgendes:

  • Im Standalone-Modus:

    • FXP0 ist die Out-of-Band-Verwaltungsschnittstelle.

    • GE-0/0/0 ist die erste Datenverkehrsschnittstelle (Umsatzschnittstelle).

  • Im Cluster-Modus:

    • FXP0 ist die Out-of-Band-Verwaltungsschnittstelle.

    • EM0 ist die Cluster-Steuerungsverbindung für beide Knoten.

    • Jede der Datenverkehrsschnittstellen kann als Fabric-Verbindung angegeben werden, z. B. ge-0/0/0 für fab0 auf Knoten 0 und ge-7/0/0 für fab1 auf Knoten 1.

Tabelle 8 zeigt die Schnittstellennamen und -zuordnungen für eine eigenständige VM mit Virtuelle Firewall vSRX.

Tabelle 8: Schnittstellennamen für eine eigenständige VM der virtuellen Firewall vSRX

Netzwerkadapter

Schnittstellenname in Junos OS für Virtuelle Firewall vSRX

1

FXP0

2

GE-0/0/0

3

GE-0/0/1

4

GE-0/0/2

5

GE-0/0/3

6

GE-0/0/4

7

GE-0/0/5

8

GE-0/0/6

Tabelle 9 zeigt die Schnittstellennamen und -zuordnungen für ein Paar von VMs der Virtuelle Firewall vSRX in einem Cluster (Knoten 0 und Knoten 1).

Tabelle 9: Schnittstellennamen für ein Clusterpaar der Virtuelle Firewall vSRX

Netzwerkadapter

Schnittstellenname in Junos OS für Virtuelle Firewall vSRX

1

FXP0 (Knoten 0 und 1)

2

EM0 (Knoten 0 und 1)

3

GE-0/0/0 (Knoten 0)GE-7/0/0 (Knoten 1)

4

GE-0/0/1 (Knoten 0)GE-7/0/1 (Knoten 1)

5

GE-0/0/2 (Knoten 0)GE-7/0/2 (Knoten 1)

6

GE-0/0/3 (Knoten 0)GE-7/0/3 (Knoten 1)

7

GE-0/0/4 (Knoten 0)GE-7/0/4 (Knoten 1)

8

GE-0/0/5 (Knoten 0)GE-7/0/5 (Knoten 1)

Virtuelle Firewall vSRX – Standardeinstellungen auf KVM

Virtuelle Firewall vSRX erfordert die folgenden grundlegenden Konfigurationseinstellungen:

  • Schnittstellen müssen IP-Adressen zugewiesen werden.

  • Schnittstellen müssen an Zonen gebunden sein.

  • Richtlinien müssen zwischen den Zonen konfiguriert werden, um Datenverkehr zuzulassen oder abzulehnen.

Tabelle 10 listet die werkseitigen Standardeinstellungen für Sicherheitsrichtlinien auf dem Virtuelle Firewall vSRX auf.

Tabelle 10: Werkseinstellungen für Sicherheitsrichtlinien

Quell-Zone

Zielzone

Politische Maßnahmen

Vertrauen

nicht vertrauenswürdig

Genehmigung

Vertrauen

Vertrauen

Genehmigung

nicht vertrauenswürdig

Vertrauen

Verweigern

Zugehörige Dokumentation