Filtrage MAC, contrôle des tempêtes et prise en charge de la mise en miroir de ports dans un environnement EVPN-VXLAN

Avantages du filtrage MAC, du contrôle de tempête et de la prise en charge de la mise en miroir de ports dans un environnement EVPN-VXLAN

• Le filtrage MAC vous permet de filtrer et d’accepter les paquets provenant d’interfaces entrantes orientées CE, réduisant ainsi le volume d’adresses MAC associées dans la table de commutation Ethernet et le trafic dans un VXLAN.

• Storm Control vous permet de surveiller les niveaux de trafic sur les interfaces EVPN-VXLAN et, si un niveau de trafic spécifié est dépassé, d’abandonner les paquets de diffusion, d’unicast inconnus et de multicast (BUM) et sur certains commutateurs Juniper Networks, désactiver l’interface pendant un certain temps. Cette fonctionnalité peut empêcher un trafic excessif de dégrader le réseau.

• Grâce à la mise en miroir des ports et aux analyseurs, vous pouvez analyser le trafic jusqu’au niveau des paquets dans un environnement EVPN-VXLAN. Vous pouvez utiliser cette fonctionnalité pour appliquer des stratégies liées à l’utilisation du réseau et au partage de fichiers, et pour identifier les sources de problèmes en localisant l’utilisation anormale ou importante de la bande passante par des stations ou applications particulières.

Filtrage MAC

Le filtrage MAC vous permet de filtrer les adresses MAC et d’accepter le trafic. Nous ne prenons en charge cette fonctionnalité que sur les interfaces entrantes orientées CE, qui sont des interfaces sur lesquelles l’encapsulation VXLAN n’est généralement pas activée. Pour utiliser cette fonctionnalité, vous devez effectuer les opérations suivantes :

• Créez un filtre de pare-feu dans lequel vous spécifiez une ou plusieurs des conditions de correspondance prises en charge dans les tableau 1 et 2.

• Appliquez le filtre de pare-feu à une interface de couche 2 configurée dans la [edit interfaces interface-name unit logical-unit-number family ethernet-switching filter] hiérarchie.

Grâce au filtre de pare-feu, vous spécifiez les adresses MAC associées à un VXLAN autorisées sur une interface particulière.

L’exemple de configuration suivant sur un commutateur QFX5110 crée un filtre de pare-feu nommé DHCP-Discover-In qui accepte et compte le trafic entrant qui répond à plusieurs conditions de correspondance (adresse MAC source, adresse MAC de destination, ports de destination et ID VLAN) sur l’interface logique de couche 2 xe-0/0/6.0 :

Storm Control

Par défaut, le contrôle des tempêtes est activé sur les commutateurs QFX et EX pour les interfaces de couche 2 associées aux VXLAN. Le niveau de contrôle des tempêtes est défini à 80 % des flux de trafic BUM combinés.

Dans un environnement EVPN-VXLAN, le contrôle de tempête est mis en œuvre et configuré sur les interfaces de couche 2 associées aux VXLAN comme dans un environnement non-EVPN-VXLAN, à l’exception des différences suivantes :

• Dans un environnement EVPN-VXLAN, les types de trafic que surveillent les tempêtes sont les suivants :

  • Trafic BUM de couche 2 qui provient d’un VXLAN et est transféré vers des interfaces du même VXLAN.

  • Trafic multicast de couche 3 reçu par une interface de routage et de pontage intégré (IRB) dans un VXLAN et transféré vers des interfaces dans un autre VXLAN.

• Après avoir créé un profil de contrôle des tempêtes, vous devez le lier à une interface entrante de couche 2 dans la [edit interfaces interface-name unit logical-unit-number family ethernet-switching] hiérarchie.

  Note:

  Après avoir lié le profil à une interface de couche 2, l’interface se trouve dans l’instance de commutateur par défaut.

• Si les flux de trafic sur une interface dépassent le niveau de contrôle des tempêtes spécifié, le commutateur Juniper Networks abandonne les paquets excédentaires, ce que l’on appelle la limitation de débit. En outre, les commutateurs QFX10000 dans un environnement EVPN-VXLAN prennent en charge la désactivation de l’interface pendant un certain temps à l’aide de l’énoncé action-shutdown de configuration au niveau de la [edit forwarding-options storm-control-profiles] hiérarchie et de l’énoncé de recovery-timeout configuration au niveau de la [edit interfaces interface-name unit logical-unit-number family ethernet-switching] hiérarchie.

  Note:

  Les commutateurs QFX5100 et QFX5110 dans un environnement EVPN-VXLAN ne prennent pas en charge la désactivation de l’interface pendant un certain temps.

  Note:

  Sur les commutateurs QFX5110, si vous configurez un contrôle des tempêtes amélioré et un analyseur natif sur une interface, et que l’analyseur natif a le VLAN VxLAN en entrée, l’action d’arrêt ne fonctionnera pas pour le VLAN sur cette interface. La limitation des débits fonctionnera comme prévu.

La configuration suivante crée un profil nommé scp, qui spécifie que si la bande passante utilisée par les flux de trafic BUM combinés dépasse 5 % sur l’interface logique de couche 2 et-0/0/23.0, l’interface abandonne le trafic BUM excédentaire.

La configuration suivante crée un profil nommé scp, qui spécifie que si la bande passante utilisée par le flux de trafic multicast (flux de trafic broadcast et inconnus sont exclus) dépasse 5 % sur l’interface logique de couche 2 et-0/0/23.0, l’interface abandonne le trafic multicast excédentaire.

La configuration suivante sur un commutateur QFX10000 crée le même profil que dans la configuration précédente. Toutefois, au lieu d’abandonner implicitement le trafic multicast si le flux de trafic dépasse 5 %, la configuration suivante désactive explicitement l’interface pendant 120 secondes, puis remet l’interface en place.

Mise en miroir de ports et analyseurs

Pour analyser le trafic dans un environnement EVPN-VXLAN, nous prenons en charge les fonctionnalités d’analyse et de mise en miroir de ports suivantes :

• Mise en miroir locale

  • Sur une interface

  • Sur un VXLAN

• Mise en miroir à distance

  • Sur une interface

  • Sur un VXLAN

Les sections suivantes fournissent plus d’informations sur les fonctionnalités prises en charge et incluent des exemples de configurations.

• Mise en miroir locale
• Configuration de la mise en miroir locale
• Mise en miroir à distance

Configuration de la mise en miroir à distance avec l’encapsulation GRE

Configuration de la mise en miroir à distance avec l’encapsulation VXLAN

Pour savoir quelles plates-formes prennent en charge cette fonctionnalité à partir de quelles versions, consultez la page De l’explorateur de fonctionnalités pour la mise en miroir de ports distants avec l’encapsulation VXLAN.

• Configuration basée sur l’analyseur
• Configuration basée sur les filtres de pare-feu

Mise en miroir des ports distants à l’aide des conditions de correspondance VNI

Pour les commutateurs QFX10002, QFX10008 et QFX10016 Series, vous pouvez utiliser les valeurs d’identifiant de réseau VXLAN (VNI) comme condition de correspondance lors du filtrage du trafic pour la mise en miroir de ports distants. Cette capacité est souvent utilisée dans la planification du réseau et pour les analyses telles que l’inspection approfondie des paquets (DPI).

La fonctionnalité de mise en miroir des ports distants crée une copie des paquets entrants ciblés, qui sont encapsulés dans un en-tête GRE IPv4 externe, puis transférés vers une destination distante désignée. La prise en charge des conditions de correspondance VNI signifie que vous pouvez sélectionner les paquets à mettre en miroir sur la base de leur VNI afin que seuls ces flux soient dirigés vers le port miroir distant. Vous pouvez également configurer une valeur de point de code de service (DSCP) différenciée pour hiérarchiser le flux, par exemple, une priorité élevée ou une prestation de meilleurs efforts. Les interfaces de routage et de pontage intégrés (IRB) ne sont pas prises en charge en tant que port miroir de destination.

D’un point de vue plus élevé, la procédure de mise en miroir des ports distants basée sur des VNI consiste à créer une instance de mise en miroir de port distant, à promouvoir le VNI dans la famille de filtres de pare-feu pour gérer les VNI, à créer les règles et actions de filtre nécessaires, puis à appliquer la stratégie de pare-feu à une interface entrante. La tunnelisation GRE doit également être en place sur l’interface utilisée pour envoyer les paquets en miroir.

Remote Port Mirroring on the Basis of VNI Use Case: Sample Configuration

Les exemples de code ci-dessous mettent en évidence les configurations cli Junos clés dont vous avez besoin pour mettre en miroir les paquets en fonction du VNI.

1. Activez la mise en miroir des ports distants et configurez également la source du trafic et la destination vers laquelle vous souhaitez envoyer les paquets mis en miroir.
2. Créez un filtre de pare-feu (ici, nommé bf_vni_st) et faites du VNI le module de transfert de paquets (en d’autres termes, cette commande définit l’ensemble du filtre pour optimiser les conditions de correspondance VNI).
3. Créez un filtre de pare-feu entrant (bf_vni_st), qui spécifie une condition de correspondance VNI (6 030 dans cet exemple) et une action (compter, dans cet exemple).
4. Appliquez le filtre au trafic entrant au niveau de l’interface que vous souhaitez mettre en miroir.