Configuration d’interfaces de tunnel flexibles
Présentation des interfaces de tunnel flexibles
Une interface de tunnel flexible (FTI) est un type d’interface de tunnel logique qui utilise le routage statique et les protocoles BGP pour échanger des routes sur un tunnel qui relie les points de terminaison aux routeurs.
- Interfaces de tunnel flexibles sur les routeurs MX Series et les pare-feu SRX Series
- Interfaces de tunnel flexibles sur les routeurs PTX Series et les commutateurs QFX Series
- Comportement FTI spécifique à la plate-forme
- Prise en charge MPLS des tunnels FTI sur les routeurs PTX Series
- Interfaces de tunnel flexibles sur les routeurs ACX Series
- Prise en charge MPLS des tunnels FTI sur les routeurs ACX Series
- Avantages des interfaces de tunnel flexibles
- Limites des interfaces de tunnel flexibles
Interfaces de tunnel flexibles sur les routeurs MX Series et les pare-feu SRX Series
Les FTI possèdent les fonctionnalités suivantes sur les routeurs MX Series et les pare-feu SRX Series :
-
FTI prend uniquement en charge l’encapsulation VXLAN avec des pseudo-en-têtes de couche 2.
-
FTI est utilisé entre un routeur et un serveur hébergeant plusieurs machines virtuelles, ou entre les routeurs de deux centres de données différents.
-
Les FTI peuvent être configurées en tant que destinations port-miroir.
-
FTI prend en charge le streaming des statistiques d’interface logique.
Dans le processus d’encapsulation VXLAN, l’adresse de couche 2 est renseignée avec des adresses MAC « pseudo » source (MAC source : 00-00-5E-00-52-00) et de destination (MAC de destination : 00-00-5E-00-52-01) sans balisage VLAN ; Toutefois, ces adresses sont ignorées lorsque les paquets atteignent le point de terminaison distant. Le point de terminaison distant est identifié par l’adresse IP de destination et un numéro de port UDP de destination spécifié. Le FTI correspondant sur le point de terminaison distant est identifié par la valeur de l’identifiant de réseau virtuel (VNI), l’adresse IP source du tunnel et le numéro de port UDP de destination. Toutes ces valeurs peuvent être configurées sur un FTI avec encapsulation VXLAN.
privé virtuel
La figure 1 illustre le fonctionnement d’une FTI pour fournir une connectivité à un cloud privé virtuel à partir d’un emplacement distant. Des tunnels flexibles individuels (de 1 à N) sont provisionnés pour chaque client. L’interface logique côté client et les FTI correspondants sont configurés pour fonctionner dans une seule instance de routage. Le FTI utilise les protocoles BGP (eBGP et iBGP) pour transporter les paquets de l’appareil client à la passerelle distante et vice versa.
Interfaces de tunnel flexibles sur les routeurs PTX Series et les commutateurs QFX Series
Certains routeurs PTX Series et commutateurs QFX Series prennent en charge les FTI. Pour plus d’informations sur la plate-forme et la prise en charge des versions de Junos, reportez-vous à l’Explorateur de fonctionnalités. La prise en charge FTI sur les commutateurs PTX et QFX inclut les fonctionnalités suivantes :
-
FTI est pris en charge dans les versions à partir de Junos OS version 19.3R1.
-
FTI prend uniquement en charge l’encapsulation UDP.
-
Le FTI peut être initié à n’importe quel endroit du tunnel MPLS : transit MPLS, entrée, sortie et PHP.
-
FTI avec encapsulation UDP prend en charge les charges utiles suivantes :
-
IPV4 à l’intérieur d’un paquet UDP IPV4
-
IPV6 à l’intérieur d’un paquet UDP IPV4
-
MPLS à l’intérieur d’un paquet UDP IPV4
-
ISO à l’intérieur d’un paquet UDP IPV4
-
FTI avec encapsulation UDP prend en charge les caractéristiques et fonctionnalités suivantes :
-
Protection des liaisons MPLS et des liaisons de nœuds.
-
Configuration manuelle de la bande passante RSVP.
-
Prise en charge de BFD pour la détection de la vivacité, à l’exception de BFD sur LDP et RSVP.
-
Prise en charge des protocoles suivants :
-
BGP
-
RSVP
-
LDP
-
OSPF
-
ISIS
-
-
Routes statiques.
-
Statistiques d’interface logique FTI.
-
Configuration MTU sur FTI et fragmentation de la charge utile avant d’entrer dans le tunnel.
-
La sous-couche peut être Ethernet agrégée ou une interface standard, et peut être étiquetée comme une sous-interface ou des interfaces de couche 3 normales.
-
Superposition et sous-couche ECMP.
Comportement FTI spécifique à la plate-forme
| Plateforme |
Différence |
|---|---|
| Routeurs PTX avec Junos OS Evolved |
Le filtre de pare-feu de sortie sur FTI n’est pas pris en charge. |
Pour configurer une interface FTI avec encapsulation UDP, incluez l’instruction udp au niveau de la [edit interfaces fti0 unit unit tunnel encapsulation] hiérarchie.
Par exemple:
[edit interfaces]
fti0 {
unit unit_number {
tunnel {
encapsulation udp {
source {
address ipv4_address;
}
destination{
address ipv4_address;
}
}
}
family inet {
destination-udp-port udp port ;
}
family inet6 {
destination-udp-port udp port ;
}
family mpls {
destination-udp-port udp port ;
}
family iso {
destination-udp-port udp port ;
}
}
}
Prise en charge MPLS des tunnels FTI sur les routeurs PTX Series
À partir de Junos OS Evolved version 21.4R1, vous pouvez configurer des protocoles MPLS sur des tunnels FTI, transportant ainsi des paquets MPLS sur des réseaux IP qui ne prennent pas en charge MPLS.
Dans Junos OS Evolved version 21.4R1, l’encapsulation de routage générique (GRE) et les tunnels UDP prennent en charge le protocole MPLS pour le trafic IPv4 et IPv6. Vous pouvez configurer l’encapsulation et la décapsulation pour les tunnels GRE et UDP.
Les fonctionnalités suivantes sont prises en charge :
-
Encapsulation et décapsulation du trafic IPv4 et IPv6
-
Configuration du numéro de port UDP
-
Protection des nœuds MPLS
-
Rôles d’entrée, de sortie, PHP et de transit pour LSP
-
Prise en charge de ping et de traceroute dans les rôles d’entrée, de sortie, PHP et de transit pour LSP
-
Superposition et sous-couche ECMP
-
Configuration manuelle de la bande passante RSVP.
-
Services MPLS
-
L3VPN
-
6VPE (en anglais)
-
Circuit L2
-
BGP-LU avec étiquette par nexhop ou préfixe
-
-
Instance de routage
-
Classe de service (CoS), y compris la configuration des règles de réécriture et des classificateurs
-
Configuration MTU et fragmentation de la charge utile
-
Prise en charge BFD pour la détection de la vivacité.
-
Jvision
Les caractéristiques et fonctionnalités suivantes ne sont pas prises en charge :
-
Protection des liaisons MPLS
-
Héritage de bande passante RSVP en fonction du saut suivant vers la destination du tunnel pour les interfaces FTI
-
Propagation TTL.
-
Classe de service sur les points de terminaison de tunnel .
-
Résolution FT sur FT .
-
L’adresse IP de destination FT doit être accessible via IGP et non BGP (pas de saut suivant indirect). L’accessibilité doit se faire par le biais d’une route IPV4 et non par le biais d’un LSP.
-
Découverte MTU du chemin .
Pour autoriser le trafic MPLS sur les tunnels UDP, incluez l’instruction mpls port-number au niveau de la [edit forwarding-options tunnels udp port-profile profile-name] hiérarchie. Pour autoriser le trafic MPLS sur les tunnels GRE, incluez l’instruction mpls dans la [edit interfaces fti0 unit unit family] hiérarchie.
Par exemple:
[edit forwarding-options]
tunnels {
udp {
port-profile p1 {
inet <port num>
inet6 <port num>
mpls <port num>
iso <port num>
}
}
}
Interfaces de tunnel flexibles sur les routeurs ACX Series
À partir de Junos OS Evolved version 24.1R1, vous pouvez configurer l’encapsulation à l’aide de la tunnel encapsulation gre source address destination address commande au niveau de la [edit interfaces fti unit unit] hiérarchie. Pour plus d’informations sur la plate-forme et la prise en charge des versions de Junos, reportez-vous à l’Explorateur de fonctionnalités.
Les fonctionnalités suivantes sont prises en charge :
-
Mode d’encapsulation et de désencapsulation GRE basé sur l’interface FTI
-
Charges utiles INET, INTE6, ISO
-
IPv4 et IPv6 en superposition
-
IPv4 et IPv6 en tant que sous-couche
-
BFD, OSPF, ISIS et route statique
-
Sous-couche et superposition ECMP
-
Statistiques FTI IFL
-
Configuration MTU sur FTI.
-
Configuration TTL sur FTI.
-
Ping de l’hôte
-
État de la liaison FTI active ou inactive en fonction de l’accessibilité du point de terminaison du tunnel
-
ECMP des interfaces FTI et standard
-
Prise en charge du filtre d’entrée sur FTI côté désencapsulation.
-
Mode de terminaison de tunnel uniquement
-
Découverte MTU de chemin pour l’encapsulation IPv4 et IPv6
-
Protection contre l’usurpation d’identité lors de la décapsulation du tunnel pour l’IP source interne
-
Balisage vlan flexible
-
Accessibilité de la destination du tunnel par rapport à d’autres tunnels
-
Génération d’exceptions MTU lorsque la valeur FTI IFF MTU est élevée et que la MTU IFF sous-jacente est faible
-
Filtre de sortie appliqué sur l’interface underlay du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Filtre d’entrée appliqué sur l’interface NNI au niveau du nœud de désencapsulation du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Tunnel FTI avec tunnel de saut suivant dynamique pour la même configuration de tunnel.
-
FTI IFF : désactiver et activer
-
Fragmentation IP au point de départ et au point d’arrivée du tunnel
-
Les statistiques d’encapsulation de tunnel ne sont pas prises en charge pour les paquets encapsulés MPLS envoyés via un tunnel sur lesquels les statistiques de tunnel et MPLS sont activées. Seules les statistiques MPLS sont prises en charge.
-
Vous pouvez configurer les statistiques d’encapsulation ou de désencapsulation de tunnel à l’aide des
set system packet-forwarding-options tunnel encap-stats-enableinstructions andset system packet-forwarding-options tunnel decap-stats-enable. Lorsque vous utilisez la CLI (définir/supprimer/désactiver),datapath restartpermet d’associer ou de dissocier des compteurs au tunnel.
La configuration des statistiques d’encapsulation ou de désencapsulation de tunnel entraîne le redémarrage du processus PFE et a également un impact sur le service.
Pour configurer une interface FTI avec l’encapsulation GRE, incluez l’instruction gre au niveau de la [edit interfaces fti0 unit unit tunnel encapsulation] hiérarchie.
Par exemple:
[edit interfaces]
fti0 {
unit unit-number{
tunnel {
encapsulation gre {
source {
address ipv4/ipv6_address;
}
destination {
address ipv4/ipv6_address;
}
tunnel-routing-instance {
routing-instance instance name;
}
bypass-loopback;
ttlttl-value;
}
}
family inet {
address ip_address ;
}
family inet6 {
address ip_address;
}
family mpls;
family iso;
}
}
À partir de Junos OS Evolved version 24.2R1, les ACX Series prennent en charge FTI avec encapsulation et désencapsulation UDP. Pour plus d’informations sur la plate-forme et la prise en charge des versions de Junos, reportez-vous à l’Explorateur de fonctionnalités.
Les fonctionnalités suivantes sont prises en charge :
-
FTI avec UDP prend en charge les charges utiles suivantes :
-
IPv4 à l’intérieur d’un paquet UDP IPv4
-
IPv6 à l’intérieur d’un paquet UDP IPv4
-
MPLS à l’intérieur d’un paquet UDP IPv4
-
ISO à l’intérieur d’un paquet UDP IPv4
-
IPv4 à l’intérieur d’un paquet UDP IPv6
-
IPv6 à l’intérieur d’un paquet UDP IPv6
-
MPLS à l’intérieur d’un paquet UDP IPv6
-
ISO à l’intérieur d’un paquet UDP IPv6
-
-
Prise en charge des protocoles suivants :
-
BGP
-
BFD
-
OSPF
-
ISIS
-
-
Routes statiques.
-
Statistiques d’interface logique FTI.
-
Configuration MTU sur FTI.
-
Configuration TTL sur FTI.
-
Superposition et sous-couche ECMP.
-
bypass-loopbacketpayload-port-profile profile namela configuration est obligatoire.
-
Mode de terminaison de tunnel uniquement
-
Découverte MTU de chemin pour l’encapsulation IPv4 et IPv6
-
Protection contre l’usurpation d’identité lors de la décapsulation du tunnel pour l’IP source interne
-
Balisage vlan flexible
-
Accessibilité de la destination du tunnel par rapport à d’autres tunnels
-
Génération d’exceptions MTU lorsque la valeur FTI IFF MTU est élevée et que la MTU IFF sous-jacente est faible
-
Filtre de sortie appliqué sur l’interface underlay du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Filtre d’entrée appliqué sur l’interface NNI au niveau du nœud de désencapsulation du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Tunnel FTI avec tunnel de saut suivant dynamique pour la même configuration de tunnel.
-
FTI IFF : désactiver et activer
-
Fragmentation IP au point de départ et au point d’arrivée du tunnel
-
Les statistiques d’encapsulation de tunnel ne sont pas prises en charge pour les paquets encapsulés MPLS envoyés via un tunnel sur lesquels les statistiques de tunnel et MPLS sont activées. Seules les statistiques MPLS sont prises en charge.
-
Vous pouvez configurer les statistiques d’encapsulation ou de désencapsulation de tunnel à l’aide des
set system packet-forwarding-options tunnel encap-stats-enableinstructions andset system packet-forwarding-options tunnel decap-stats-enable. Lorsque vous utilisez la CLI (définir/supprimer/désactiver),datapath restartpermet d’associer ou de dissocier des compteurs au tunnel.
Pour configurer une interface FTI avec encapsulation UDP, incluez l’instruction udp au niveau de la [edit interfaces fti0 unit unit tunnel encapsulation] hiérarchie.
Par exemple:
[edit interfaces]
fti0 {
unit unit-number{
tunnel {
encapsulation udp {
source {
address ipv4/ipv6_address;
}
destination {
address ipv4/ipv6_address;
}
tunnel-routing-instance {
routing-instance instance name;
}
bypass-loopback;
payload-port-profile profile name{
inet port num;
inet6 port num;
mpls port num;
iso port num;
}
ttlttl-value;
}
}
family inet {
address ip_address ;
}
family inet6 {
address ip_address;
}
family mpls;
family iso;
}
}
Prise en charge MPLS des tunnels FTI sur les routeurs ACX Series
À partir de la version 24.2R1 de Junos OS Evolved, vous pouvez configurer des protocoles MPLS sur des tunnels FTI sur des routeurs ACX Series afin de transporter les paquets MPLS sur des réseaux IP qui ne prennent pas en charge MPLS.
Dans Junos OS Evolved version 24.2R1, l’encapsulation de routage générique (GRE) et les tunnels UDP prennent en charge le protocole MPLS pour le trafic IPv4 et IPv6 sur les routeurs ACX Series. Vous pouvez configurer l’encapsulation et la décapsulation pour les tunnels GRE et UDP. Pour plus d’informations sur la plate-forme et la prise en charge des versions de Junos, reportez-vous à l’Explorateur de fonctionnalités.
Les fonctionnalités suivantes sont prises en charge :
-
Encapsulation et décapsulation du trafic IPv4 et IPv6
-
Configuration du numéro de port UDP
-
Prise en charge de ping et de traceroute dans les rôles d’entrée, de sortie, PHP et de transit pour LSP
-
Superposition et sous-couche ECMP
-
Protocoles LDP, RSVP, LSP statique et BGP avec encapsulation et décapsulation
-
Prend en charge différents scénarios de terminaison de tunnel, MPLSoGRE ou MPLSoUDP Le tunnel peut démarrer dans l’un des cas suivants :
-
Routeur de périphérie d’étiquettes MPLS (LER)
-
Routeur de commutation d’étiquettes MPLS (LSR)
-
MPLS PHP
-
MPLS PE de sortie
-
-
Services MPLS
-
L3VPN
-
6VPE (en anglais)
-
6PE (en anglais)
-
-
Mode de terminaison de tunnel uniquement
-
Découverte MTU de chemin pour l’encapsulation IPv4 et IPv6
-
Protection contre l’usurpation d’identité lors de la décapsulation du tunnel pour l’IP source interne
-
Balisage vlan flexible
-
Accessibilité de la destination du tunnel par rapport à d’autres tunnels
-
Génération d’exceptions MTU lorsque la valeur FTI IFF MTU est élevée et que la MTU IFF sous-jacente est faible
-
Filtre de sortie appliqué sur l’interface underlay du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Filtre d’entrée appliqué sur l’interface NNI au niveau du nœud de désencapsulation du tunnel pour les paquets tunnellisés ainsi que la charge utile en raison de la limitation du chemin de données
-
Tunnel FTI avec tunnel de saut suivant dynamique pour la même configuration de tunnel.
-
FTI IFF : désactiver et activer
-
Fragmentation IP au point de départ et au point d’arrivée du tunnel
-
Les statistiques d’encapsulation de tunnel ne sont pas prises en charge pour les paquets encapsulés MPLS envoyés via un tunnel sur lesquels les statistiques de tunnel et MPLS sont activées. Seules les statistiques MPLS sont prises en charge.
-
Vous pouvez configurer les statistiques d’encapsulation ou de désencapsulation de tunnel à l’aide des
set system packet-forwarding-options tunnel encap-stats-enableinstructions andset system packet-forwarding-options tunnel decap-stats-enable. Lorsque vous utilisez la CLI (définir/supprimer/désactiver),datapath restartpermet d’associer ou de dissocier des compteurs au tunnel.
Pour configurer le trafic MPLS sur un tunnel GRE ou UDP, incluez l’instruction mpls dans la [edit interfaces fti0 unit unit family] hiérarchie.
[edit interfaces]
fti0 {
unit unit-number{
tunnel {
encapsulation (gre | udp) {
source {
address ipv4/ipv6_address;
}
destination {
address ipv4/ipv6_address;
}
tunnel-routing-instance {
routing-instance instance name;
}
bypass-loopback;
payload-port-profile profile name{
inet port num;
inet6 port num;
mpls port num;
iso port num;
}
ttlttl-value;
}
}
family inet {
address ip_address;
}
family inet6 {
address ip_address;
}
family mpls;
family iso;
}
}
Avantages des interfaces de tunnel flexibles
-
L’entropie et l’équilibrage de charge se produisent pendant le transit. Contrairement aux encapsulations sur tunnel, telles que IP dans IP ou l’encapsulation de routage générique (GRE), l’encapsulation VXLAN prend en charge la transmission du résultat du calcul de hachage dans le port source du datagramme UDP. Cela vous permet d’équilibrer efficacement la charge du trafic en transit.
-
Les FTI ont une conception extensible qui leur permet de prendre en charge plusieurs encapsulations.
-
L’attribut
vnid’encapsulation VXLAN dans les FTI permet d’isoler le client. -
Les institutions financières avec encapsulation UDP utilisent le port source et le port de destination dans l’en-tête UDP. Étant donné que le port source UDP est dérivé de la valeur de hachage de la charge utile interne, vous pouvez bénéficier d’une meilleure répartition du trafic par rapport à ECMP.
Limites des interfaces de tunnel flexibles
-
Le maintien de l’ordre suit le modèle de transfert distribué des IFT ; par conséquent, les limites de bande passante provisionnée sont appliquées au niveau de chaque moteur de transfert de paquets. Par conséquent, un trafic plus important pourrait être admis.
-
Actuellement, le trafic tunnelisé FTI est strictement acheminé dans l’instance
inet.0. Par conséquent, les FTI prennent uniquement en charge le trafic IPv4. -
Le MX80 ne prend pas en charge les FTI.
-
La configuration de classe de service (CoS), y compris la configuration des règles de réécriture et des classificateurs, n’est pas prise en charge sur les FTI.
-
La durée de vie (TTL) dans l’en-tête du tunnel est définie sur la valeur par défaut 64.
-
La valeur du point de code des services différenciés (DSCP) est définie sur la valeur par défaut 0, mais les champs de classe de transfert interne et de priorité de perte sont conservés et peuvent être utilisés pour réécrire le DSCP dans les règles de réécriture de l’interface de sortie.
-
La fragmentation IP n’est pas prise en charge sur les FTI.
Les FTI avec encapsulation UDP ne prennent pas en charge les caractéristiques et fonctionnalités suivantes :
-
BFD sur LDP et RSVP ne sont pas pris en charge.
-
Les statistiques agrégées des membres Ethernet sur QFX1000 périphérique ne sont pas prises en charge.
-
10 000 routes par interface logique FTI ne sont pas prises en charge.
-
L’instance de routage n’est pas prise en charge.
-
Les systèmes logiques ne sont pas pris en charge.
-
La découverte MTU du chemin n’est pas prise en charge.
-
Le contrôle et le pare-feu ne sont pas pris en charge.
-
La signalisation BGP pour les tunnels UDP n’est pas prise en charge.
-
La classe de service sur les points de terminaison de tunnel n’est pas prise en charge.
-
La propagation TTL n’est pas prise en charge.
-
Le trafic multicast n’est pas pris en charge.
-
Le tunnel UDP IPV6 simple n’est pas pris en charge.
-
La vérification anti-usurpation d’identité du trafic tunnelisé n’est pas prise en charge.
-
MPLS FRR n’est pas pris en charge.
-
La résolution FT sur FT n’est pas prise en charge.
-
L’adresse IP de destination FT doit être accessible via IGP et non BGP (pas de saut suivant indirect). L’accessibilité doit se faire par le biais d’une route IPV4 et non par le biais d’un LSP.
-
Les statistiques FT au niveau de l’interface physique ne sont pas prises en charge.
-
Toutes les interfaces sous FTI, à l’exception de fti0, ne sont pas prises en charge.
-
Les adresses non numérotées ne sont pas prises en charge.
Voir aussi
Configuration d’interfaces de tunnel flexibles
Vous pouvez configurer des interfaces de tunnel flexibles (FTI) qui prennent en charge l’encapsulation VXLAN (VXLAN) avec des pseudo-en-têtes de couche 2 sur les routeurs MX Series, ou l’encapsulation UDP sur les routeurs PTX Series et les commutateurs QFX Series. Une interface de tunnel flexible (FTI) est une interface point à point de couche 3 qui peut être utilisée pour créer des superpositions IPv4 et IPv6 sur un réseau de transport IPv4. Une session de protocole BGP peut être configurée pour s’exécuter sur des FTI afin de distribuer des informations de routage.
Les sections suivantes décrivent comment configurer les FTI sur votre périphérique et activer des encapsulations multiples à l’aide du udp paramètre or vxlan-gpe sous l’encapsulation obligatoire tunnel-endpoint vxlan identifiée par les vni valeurs et destination-udp-port :
Configuration de FTI sur PE1
Vous pouvez configurer un FTI en incluant l’instruction tunnel-endpoint vxlan au niveau de la [edit interfaces] hiérarchie.
Pour configurer une FTI et définir ses attributs pour un réseau IPv4 :
Vérification
But
Vérifiez que le FTI est configuré et vérifiez son état.
Action
En mode configuration, vous pouvez vérifier si FTI sur le routeur MX Series a été configuré en exécutant la show interfaces fti number commande.
user@host# show interfaces fti0
Physical interface: fti0, Enabled, Physical link is Up
Interface index: 136, SNMP ifIndex: 504
Type: FTI, Link-level type: Flexible-tunnel-Interface, MTU: Unlimited, Speed: Unlimited
Device flags : Present Running
Interface flags: SNMP-Traps
Link type : Full-Duplex
Link flags : None
Last flapped : Never
Input packets : 0
Output packets: 0
Logical interface fti0.0 (Index 340) (SNMP ifIndex 581)
Flags: Up Point-To-Point SNMP-Traps Encapsulation: VXLAN-GPEv4
Destination UDP port: 4789, VNI: 1000, Source address: 5.5.5.5, Destination address: 6.6.6.6
Input packets : 0
Output packets: 0
Protocol inet, MTU: Unlimited
Max nh cache: 0, New hold nh limit: 0, Curr nh cnt: 0, Curr new hold cnt: 0, NH drop cnt: 0
Flags: Sendbcast-pkt-to-re
Addresses, Flags: Is-Preferred Is-Primary
Destination: 3.3.3/24, Local: 3.3.3.5, Broadcast: 3.3.3.255
De même, vous pouvez exécuter les show interfaces fti0 detailcommandes , show interfaces fti0 extensive, show interfaces fti0 terseet show interfaces fti0 statistics pour obtenir plus de détails FTI. Voir show interfaces fti.
Signification
La show interfaces fti0 commande affiche l’état des FTI qui ont été configurés avec la nouvelle encapsulation vxlan-gpe. La sortie vérifie que le FTI est configuré et que la liaison physique est up.
Configuration d’une interface de tunnel flexible sur un pare-feu SRX
Lorsque vous configurez une interface de tunnel flexible (FTI) sur un pare-feu SRX, vous devez également configurer la zone et la stratégie de sécurité de l’interface.
Une zone de sécurité est un ensemble d’un ou plusieurs segments de réseau qui nécessite la régulation du trafic entrant et sortant par le biais de stratégies. Vous affectez le FTI à l’une des zones de sécurité et le FTI fonctionne comme une porte de sécurité d’une zone de sécurité à une autre. Les politiques de sécurité contrôlent le flux de trafic à travers la FTI. Vous pouvez configurer les stratégies de sécurité sur le pare-feu SRX pour autoriser ou refuser le passage du trafic à travers le FTI. L’exemple de configuration suivant montre comment configurer un FTI sur le pare-feu SRX.
-
Configurez le FTI avec
vxlan-gpeencapsulation.set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe source address 198.51.100.1 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination address 198.51.100.2 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe tunnel-endpoint vxlan set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination-udp-port 4789 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe vni 22701 set interfaces fti0 unit 0 family inet address 198.51.100.1/24 set interfaces lo0 unit 0 family inet address 192.168.100.1
-
Configurez et affectez le FTI à une zone de sécurité. Pour plus d’informations sur les zones de sécurité, consultez https://www.juniper.net/documentation/us/en/software/junos/security-policies/topics/topic-map/security-zone-configuration.html.
set security zones security-zone FTI-ZONE host-inbound-traffic system-services all set security zones security-zone FTI-ZONE host-inbound-traffic protocols all set security zones security-zone FTI-ZONE interfaces fti0.0
-
Créez une stratégie pour le trafic envoyé à la FTI et les actions qui doivent avoir lieu lorsque le trafic passe par l’interface. Dans cet exemple, nous laissons passer tout le trafic. Pour plus d’informations sur la configuration des stratégies de sécurité, consultez https://www.juniper.net/documentation/us/en/software/junos/security-policies/topics/topic-map/security-policy-configuration.html.
set security policies from-zone FTI-ZONE to-zone trust policy fti-out match source-address any set security policies from-zone FTI-ZONE to-zone trust policy fti-out match destination-address any set security policies from-zone FTI-ZONE to-zone trust policy fti-out match application any set security policies from-zone FTI-ZONE to-zone trust policy fti-out then permit set security policies from-zone FTI-ZONE to-zone trust policy fti-in match source-address any set security policies from-zone FTI-ZONE to-zone trust policy fti-in match destination-address any set security policies from-zone FTI-ZONE to-zone trust policy fti-in match application any set security policies from-zone FTI-ZONE to-zone trust policy fti-in then permit set routing-options static route 198.51.100.2/32 next-hop 10.100.12.2
Vérifier la création d’un tunnel flexible
Utilisez la commande pour afficher des show interfaces fti0.0 informations sur l’interface de tunnel flexible :
user@device1>show interfaces fti0.0
Logical interface fti0.0 (Index 72) (SNMP ifIndex 520)
Flags: Up Point-To-Point SNMP-Traps Encapsulation: VXLAN-GPEv4
Destination UDP port: 4789, Source UDP port range: [49160 - 65535],
VNI: 22701, Source address: 10.0.0.2, Destination address: 10.0.0.1
Input packets : 0
Output packets: 5
Security: Zone: FTI-ZONE
Allowed host-inbound traffic : bootp bfd bgp dns dvmrp igmp ldp msdp nhrp ospf ospf3 pgm pim rip ripng router-discovery
rsvp sap vrrp dhcp finger ftp tftp ident-reset http https ike netconf ping reverse-telnet reverse-ssh rlogin rpm rsh snmp
snmp-trap ssh telnet traceroute xnm-clear-text xnm-ssl lsping lsselfping ntp sip dhcpv6 r2cp webapi-clear-text webapi-ssl
tcp-encap sdwan-appqoe high-availability
Protocol inet, MTU: 1450
Max nh cache: 0, New hold nh limit: 0, Curr nh cnt: 0, Curr new hold cnt: 0, NH drop cnt: 0
Flags: Sendbcast-pkt-to-re
Addresses, Flags: Is-Preferred Is-Primary
Destination: 10.18.1/24, Local: 10.18.1.2, Broadcast: 10.18.1.255
Exemple : Configuration d’interfaces de tunnel flexibles sur des routeurs MX Series
Exigences
Cet exemple utilise les composants matériels et logiciels suivants :
Une plate-forme de routage universelle 5G MX10003 et MX Series.
Junos OS version 18.3 ou ultérieure.
Aperçu
Dans cet exemple, des interfaces de tunnel flexibles sont utilisées pour créer un réseau de superposition VPN de couche 3 entre deux routeurs. Dans le déploiement réel, l’un des points de terminaison peut être le serveur d’un centre de données ou une passerelle de centre de données.
Prenons l’exemple d’une topologie dans laquelle un équipement de passerelle, PE1, fait office de lien entre les entreprises clientes pour représenter le côté client d’un tunnel FTI. eBGP est utilisé pour distribuer les routes entre les équipements de périphérie client (CE1) et de périphérie fournisseur (PE1). IPv4 est utilisé pour la transmission des trames de test sur le réseau de couche 3. Ce test permet de transférer le trafic entre CE1 et CE2. Les interfaces logiques des deux routeurs sont configurées avec des adresses IPv4 afin de créer une FTI pour transférer le trafic des périphériques réseau pour le service IPv4.
La figure 2 montre l’exemple de topologie des performances d’un FTI pour un service IPv4 de couche 3.
Configuration
Dans cet exemple, vous configurez FTI pour un service IPv4 de couche 3 qui se trouve entre l’interface fti0 sur PE1 et l’interface fti0 sur PE2 afin de former une interface tunnel des routeurs d’interconnexion.
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, puis copiez et collez les commandes dans l’interface de ligne de commande au niveau de la hiérarchie [edit] :
Pour configurer des paramètres sur PE1
set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe source address 198.51.100.1 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination address 198.51.100.2 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe tunnel-endpoint vxlan set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination-udp-port 4789 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe vni 22701 set interfaces fti0 unit 0 family inet address 198.51.100.1/24
Pour configurer des paramètres sur PE2
set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe source address 198.51.100.2 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination address 198.51.100.1 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe tunnel-endpoint vxlan set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination-udp-port 4789 set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe vni 22701 set interfaces fti0 unit 0 family inet address 198.51.100.2/24
Configuration sur PE1
Procédure étape par étape
Les étapes suivantes vous obligent à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans l’interface de ligne de commande, reportez-vous à la section Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de l’interface de ligne de commande Junos OS.
Pour configurer les paramètres sur PE1 :
En mode configuration, allez au niveau de la
[edit interfaces]hiérarchie :[edit] user@host# edit interfaces
Configurez le FTI et une unité logique et spécifiez la famille de protocoles.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe
Spécifiez l’adresse source de l’interface logique.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe source address 198.51.100.1
Spécifiez l’adresse de destination de l’interface logique.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination address 198.51.100.2
Réglez
tunnel-endpointavec l’encapsulationvxlan.[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe tunnel-endpoint vxlan
Spécifiez la valeur de port UDP de la destination à utiliser dans l’en-tête UDP pour les trames générées.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination-udp-port 4789
Spécifiez la
vnivaleur à utiliser pour identifier l’encapsulationvxlan-gpesur l’interface.[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe vni 22701
Spécifiez la famille de types d’adresses de l’interface.
[set interfaces] user@host# set interfaces fti0 unit 0 family inet address 198.51.100.1/24
Configuration sur PE2
Procédure étape par étape
Les étapes suivantes vous obligent à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans l’interface de ligne de commande, reportez-vous à la section Utilisation de l’éditeur CLI en mode configuration dans le Guide de l’utilisateur de l’interface de ligne de commande Junos OS.
Pour configurer les paramètres sur PE2 :
En mode configuration, allez au niveau de la
[edit interfaces]hiérarchie :[edit] user@host# edit interfaces
Configurez le FTI et une unité logique et spécifiez la famille de protocoles.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe
Spécifiez l’adresse source de l’interface logique.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe source address 198.51.100.2
Spécifiez l’adresse de destination de l’interface logique.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination address 198.51.100.1
Réglez
tunnel-endpointavec l’encapsulationvxlan.[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe tunnel-endpoint vxlan
Spécifiez la valeur de port UDP de la destination à utiliser dans l’en-tête UDP pour les trames générées.
[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe destination-udp-port 4789
Spécifiez la
vnivaleur à utiliser pour identifier l’encapsulationvxlan-gpesur l’interface.[set interfaces] user@host# set interfaces fti0 unit 0 tunnel encapsulation vxlan-gpe vni 22701
Spécifiez la famille de types d’adresses de l’interface.
[set interfaces] user@host# set interfaces fti0 unit 0 family inet address 198.51.100.2/24
Une fois la configuration terminée, vous pouvez afficher les paramètres en entrant la
show fti0commande.
Résultats
En mode configuration, confirmez votre configuration sur PE1 et PE2 en entrant la show commande. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration de cet exemple pour la corriger.
Paramètres sur PE1 :
[edit interfaces]
fti0{
unit 0 {
tunnel {
encapsulation vxlan-gpe {
source {
address 198.51.100.1;
}
destination {
address 198.51.100.2;
}
tunnel-endpoint vxlan;
destination-udp-port 4789;
vni 22701;
}
}
family inet {
address 198.51.100.1/24;
}
}
Paramètres sur PE2 :
[edit interfaces]
fti0{
unit 0 {
tunnel {
encapsulation vxlan-gpe {
source {
address 198.51.100.2;
}
destination {
address 198.51.100.1;
}
tunnel-endpoint vxlan;
destination-udp-port 4789;
vni 22701;
}
}
family inet {
address 198.51.100.2/24;
}
}
Après avoir configuré l’interface, entrez la commit commande en mode configuration.
Vérification
Vérification des résultats
But
Vérifiez que le tunnel nécessaire et souhaité affiche les valeurs configurées pour le test FTI exécuté sur le tunnel flexible entre PE1 et PE2.
Action
En mode opérationnel, entrez la show interfaces fti0 commande pour afficher l’état des FTI qui ont été configurés avec la nouvelle encapsulation vxlan-gpe. La sortie vérifie que le FTI est configuré et que la liaison physique est up.
Configuration de la décapsulation IP-IP par terminaison de tunnel sur FTI
Dans la décapsulation basée sur les filtres, les paquets décapsulés sont remis en circulation pour une recherche d’en-tête interne et transférés en conséquence. Cependant, la terminaison du tunnel s’effectue en une seule passe de traitement des paquets, ce qui améliore les performances par rapport aux processus basés sur des filtres. À partir de Junos OS Evolved version 20.1R2, vous pouvez configurer la décapsulation IP-IP sur une interface de tunnel flexible sur les routeurs PTX Series en configurant la terminaison de tunnel. Vous pouvez configurer la décapsulation IP-IP sur une interface de tunnel flexible en configurant la terminaison de tunnel au niveau de la [edit interfaces fti0 unit number tunnel encapsulation IPIP] hiérarchie.
Pour Junos OS Evolved version 20.1R2, FTI ne prend pas en charge l’encapsulation.
Pour configurer la décapsulation IP-IP par terminaison de tunnel :
Tableau de l’historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l’explorateur de fonctionnalités pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.