Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Présentation des services de tunnel

Présentation des services de tunnel

En encapsulant des paquets arbitraires à l’intérieur d’un protocole de transport, la tunnelisation fournit un chemin privé et sécurisé à travers un réseau autrement public. Les tunnels connectent des sous-réseaux discontinus et activent les interfaces de chiffrement, les réseaux privés virtuels (VPN) et MPLS. Si votre routeur dispose d’une carte d’interface physique de tunnel (PIC), vous pouvez configurer des tunnels unicast, multicast et logiques.

Pour plus d’informations sur la plate-forme et la prise en charge des versions de Junos, reportez-vous à l’Explorateur de fonctionnalités.

Vous pouvez configurer deux types de tunnels pour les VPN : l’un pour faciliter les recherches dans les tables de routage et l’autre pour faciliter les recherches dans les tables VRF (VPN Routing and Forwarding Instance).

Pour plus d’informations sur les interfaces de chiffrement, reportez-vous à la section Configuration des interfaces de chiffrement. Pour plus d’informations sur les VPN, reportez-vous à la bibliothèque de VPN de Junos OS pour les périphériques de routage. Pour plus d’informations sur MPLS, reportez-vous au Guide de l’utilisateur des applications MPLS.

Sur les pare-feu SRX Series, l’encapsulation de routage générique (GRE) et les tunnels IP-IP utilisent des interfaces internes gr-0/0/0 et ip-0/0/0, respectivement. Junos OS crée ces interfaces au démarrage du système. Ils ne sont pas associés à des interfaces physiques.

Junos OS de Juniper Networks prend en charge les types de tunnels indiqués dans le tableau suivant.

Tableau 1 : types d’interfaces de tunnel

Interface

Description

gr-0/0/0

Interface d’encapsulation de routage générique (GRE) configurable. GRE permet l’encapsulation d’un protocole de routage sur un autre protocole de routage.

Au sein d’un routeur, les paquets sont acheminés vers cette interface interne, où ils sont d’abord encapsulés avec un paquet GRE, puis réencapsulés avec un autre paquet de protocole pour compléter le GRE. L’interface GRE est une interface interne uniquement et n’est pas associée à une interface physique. Vous devez configurer l’interface pour qu’elle effectue le GRE.

gre

Interface GRE générée en interne. Cette interface est générée par le système d’exploitation Junos OS pour gérer GRE. Vous ne pouvez pas configurer cette interface.

ip-0/0/0

Interface configurable d’encapsulation IP sur IP (également appelée tunnelisation IP). Les tunnels IP permettent l’encapsulation d’un paquet IP sur un autre paquet IP.

Les paquets sont acheminés vers une interface interne où ils sont encapsulés avec un paquet IP, puis transférés à l'adresse de destination du paquet d'encapsulation. L’interface IP-IP est une interface interne uniquement et n’est pas associée à une interface physique. Vous devez configurer l’interface pour qu’elle puisse effectuer la tunnelisation IP.

ipip

Interface IP sur IP générée en interne. Cette interface est générée par le système d’exploitation Junos OS pour gérer l’encapsulation IP sur IP. Il ne s’agit pas d’une interface configurable.

lt-0/0/0

L’interface lt sur les routeurs prend en charge la configuration des systèmes logiques, c’est-à-dire la possibilité de partitionner un seul routeur physique en plusieurs périphériques logiques qui effectuent des tâches de routage indépendantes.

Sur les pare-feu SRX Series, l’interface lt est une interface de tunnel logique configurable qui interconnecte les systèmes logiques. Reportez-vous au Guide de configuration des systèmes logiques de Junos OS pour les équipements de sécurité.

mt-0/0/0

Interface de tunnel multicast générée en interne. Les tunnels multicast filtrent tous les paquets unicast ; Si un paquet entrant n’est pas destiné à un 224/8préfixe -ou plus, le paquet est abandonné et un compteur est incrémenté.

Au sein d’un routeur, les paquets sont acheminés vers cette interface interne pour le filtrage multicast. L’interface de tunnel multicast est une interface interne uniquement et n’est pas associée à une interface physique. Si votre routeur dispose d’un PIC de services de tunnel, Junos OS configure automatiquement une interface de tunnel multicast (mt-) pour chaque réseau privé virtuel (VPN) que vous configurez. Vous n’avez pas besoin de configurer des interfaces de tunnel multicast. Toutefois, vous pouvez configurer des propriétés sur mt- les interfaces, telles que l’instruction multicast-only .

mtun

Interface de tunnel multicast générée en interne. Cette interface est générée par le système d’exploitation Junos OS pour gérer les services de tunnel multicast. Il ne s’agit pas d’une interface configurable.

pd-0/0/0

Interface de désencapsulation PIM (Protocol Independent Multicast) configurable. En mode clairsemé PIM, le routeur de premier saut encapsule les paquets destinés au routeur de point de rendez-vous. Les paquets sont encapsulés dans un en-tête unicast et sont transmis via un tunnel unicast jusqu’au point de rendez-vous. Le point de rendez-vous désencapsule ensuite les paquets et les transmet via son arborescence multicast.

Au sein d’un routeur, les paquets sont acheminés vers cette interface interne pour la désencapsulation. L’interface de désencapsulation PIM est une interface interne uniquement et n’est pas associée à une interface physique. Vous devez configurer l’interface pour qu’elle puisse effectuer la désencapsulation PIM.

Note:

Sur les pare-feu SRX Series, ce type d’interface est ppd0.

pe-0/0/0

Interface d’encapsulation PIM configurable. En mode clairsemé PIM, le routeur de premier saut encapsule les paquets destinés au routeur de point de rendez-vous. Les paquets sont encapsulés dans un en-tête unicast et sont transmis via un tunnel unicast jusqu’au point de rendez-vous. Le point de rendez-vous désencapsule ensuite les paquets et les transmet via son arborescence multicast.

Au sein d’un routeur, les paquets sont acheminés vers cette interface interne pour l’encapsulation. L’interface d’encapsulation PIM est une interface interne uniquement et n’est pas associée à une interface physique. Vous devez configurer l’interface pour qu’elle puisse effectuer l’encapsulation PIM.

Note:

Sur les pare-feu SRX Series, ce type d’interface est ppe0.

pimd

Interface de désencapsulation PIM générée en interne. Cette interface est générée par le système d’exploitation Junos OS pour gérer la désencapsulation PIM. Il ne s’agit pas d’une interface configurable.

pime

Interface d’encapsulation PIM générée en interne. Cette interface est générée par le système d’exploitation Junos OS pour gérer l’encapsulation PIM. Il ne s’agit pas d’une interface configurable.

vt-0/0/0

Interface tunnel de bouclage virtuel configurable. Facilite la recherche de tables VRF à partir d’étiquettes MPLS. Ce type d’interface n’est pas pris en charge sur les pare-feu SRX Series.

Pour configurer un tunnel de bouclage virtuel afin de faciliter la recherche de tables VRF à partir d’étiquettes MPLS, vous devez spécifier un nom d’interface de tunnel de bouclage virtuel et l’associer à une instance de routage appartenant à une table de routage particulière. Le paquet revient dans le tunnel de bouclage virtuel pour rechercher le routage.

À partir de Junos OS version 15.1, vous pouvez configurer les services Ethernet de couche 2 sur des interfaces GRE (gr-fpc/pic/port pour utiliser l’encapsulation GRE). Pour permettre la terminaison des paquets Ethernet de couche 2 sur les tunnels GRE, vous devez configurer la famille de protocoles de domaine de pont sur les gr- interfaces et associer les gr- interfaces au domaine de pont. Vous devez configurer les interfaces GRE en tant qu’interfaces orientées vers le cœur, et il doit s’agir d’interfaces d’accès ou de jonction. Pour configurer la famille de domaines de pont sur gr- les interfaces, incluez l’instruction family bridge au niveau de la [edit interfaces gr-fpc/pic/port unit logical-unit-number] hiérarchie. Pour associer l’interface gr- à un domaine de pont, incluez l’instruction interface gr-fpc/pic/port au niveau de la [edit routing-instances routing-instance-name bridge-domains bridge-domain-name] hiérarchie. Vous pouvez associer des interfaces GRE dans un domaine de pont à l’ID de VLAN correspondant ou à la liste des ID de VLAN dans un domaine de pont en incluant l’instruction vlan-id (all | none | number) ou l’instruction vlan-id-list [ vlan-id-numbers ] au niveau de la [edit bridge-domains bridge-domain-name] hiérarchie. Les ID de VLAN configurés pour le domaine de pont doivent correspondre aux ID de VLAN que vous configurez pour les interfaces GRE à l’aide de l’instruction vlan-id (all | none | number) ou de l’instruction vlan-id-list [ vlan-id-numbers ] au niveau de la [edit interfaces gr-fpc/pic/port unit logical-unit-number] hiérarchie. Vous pouvez également configurer des interfaces GRE au sein d’un domaine de pont associé à une instance de commutateur virtuel. Les paquets Ethernet de couche 2 sur les tunnels GRE sont également pris en charge avec l’option de clé GRE. La condition de correspondance gre-key permet à un utilisateur de faire correspondre le champ de clé GRE, qui est un champ facultatif dans les paquets encapsulés GRE. La clé peut être mise en correspondance sous la forme d’une valeur de clé unique, d’une plage de valeurs de clé ou des deux.

Note:

À partir de Junos OS version 16.1, la mise en miroir de ports de couche 2 vers un collecteur distant via une interface GRE est prise en charge.

Comportement des interfaces de tunnel spécifiques à la plate-forme

Plateforme

Différence

Réf. MX304

À partir de la version 24.4R1 de Junos OS, les interfaces de tunnel sont supprimées ou créées lors de la mise hors ligne ou en ligne de PFE. Lorsque le PFE d’ancrage associé aux tunnels dynamiques IPv4 sur IPv6 ou IPv6 sur IPv4 est hors ligne, le tunnel est également supprimé.

Interfaces de tunnel sur les routeurs MX Series avec cartes de ligne (MPC7E à MPC11E)

Les MPC7E-10G, MPC7E-MRATE, MX2K-MPC8E et MX2K-MPC9E prennent en charge un total de quatre interfaces de tunnel en ligne par MPC, une par PIC. Vous pouvez créer un ensemble d’interfaces de tunnel par emplacement PIC jusqu’à un maximum de quatre emplacements (de 0 à 3) sur les routeurs MX Series équipés de ces MPC.

Le MPC10E-15C prend en charge trois interfaces de tunnel en ligne par MPC, une par PIC, tandis que le MPC10E-10C prend en charge deux interfaces de tunnel en ligne par MPC, une par PIC. Sur les routeurs MX Series équipés de MPC10E-15C, vous pouvez

créer un ensemble d’interfaces de tunnel par emplacement PIC jusqu’à un maximum de trois emplacements (de 0 à 2). De plus, sur les routeurs MX Series équipés de MPC10E-10C, vous pouvez créer un ensemble d’interfaces de tunnel par emplacement PIC jusqu’à un maximum de deux emplacements (0 et 1).

Le MX2K-MPC11E prend en charge 8 interfaces de tunnel en ligne par MPC, une par PIC. Sur les routeurs MX Series équipés du MX2K-MPC11E, vous pouvez créer un ensemble d’interfaces de tunnel par emplacement PIC jusqu’à un maximum de huit emplacements (de 0 à 7). Ces PIC sont appelés pseudo PIC tunnel. Vous créez des interfaces de tunnel sur les routeurs MX Series avec MPC7E-10G, MPC7E-MRATE, MX2K-MPC8E, MX2K-MPC9E, MPC10E-15C, MPC10E-10C et MX2K-MPC11E en incluant les instructions suivantes au niveau de la [edit chassis] hiérarchie :

Mappage du moteur de transfert de paquets et bande passante du tunnel pour MPC7E-MRATE

La bande passante du tunnel pour MPC7E-MRATE est comprise entre 1 et 120 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 120 Gbit/s.

Le Tableau 2 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MPC7-MRATE .

Tableau 2 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour MPC7E-MRATE

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Cartographie PFE

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

120 Gbit/s

PFE0

120 Gbit/s

240 Gbit/s

PIC1

120 Gbit/s

PIC2

120 Gbit/s

PFE1

120 Gbit/s

240 Gbit/s

PIC3

120 Gbit/s

Mappage du moteur de transfert de paquets et bande passante de tunnel pour MPC7E-10G

La bande passante du tunnel pour MPC7E-10G est comprise entre 1 et 120 Gbit/s avec un incrément de 1 Gbit/s Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 120 Gbit/s.

Le Tableau 3 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MPC7E-10G.

Tableau 3 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour MPC7E-10G

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Cartographie PFE

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

120 Gbit/s

PFE0

120 Gbit/s

200 Gbit/s

PIC1

120 Gbit/s

PIC2

120 Gbit/s

PFE1

120 Gbit/s

200 Gbit/s

PIC3

120 Gbit/s

Mappage du moteur de transfert de paquets et bande passante de tunnel pour MX2K-MPC8E

La bande passante du tunnel MX2K-MPC8E est comprise entre 1 et 120 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 120 Gbit/s.

Le Tableau 4 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MX2K-MPC8E.

Tableau 4 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour le MX2K-MPC8E

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Mappage du moteur de transfert de paquets

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

120 Gbit/s

PFE0

120 Gbit/s

240 Gbit/s

PIC1

120 Gbit/s

PFE1

120 Gbit/s

240 Gbit/s

PIC2

120 Gbit/s

Le PFE2

120 Gbit/s

240 Gbit/s

PIC3

120 Gbit/s

Le PFE3

120 Gbit/s

240 Gbit/s

Mappage du moteur de transfert de paquets et bande passante de tunnel pour MX2K-MPC9E

La bande passante du tunnel MX2K-MPC9E est comprise entre 1 et 200 Gbit/s avec un incrément de 1 Gbit/s Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 200 Gbit/s.

Le Tableau 5 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MX2K-MPC9E.

Tableau 5 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour le MX2K-MPC9E

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Cartographie PFE

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

200 Gbit/s

PFE0

200 Gbit/s

400 Gbit/s

PIC1

200 Gbit/s

PFE1

200 Gbit/s

400 Gbit/s

PIC2

200 Gbit/s

Le PFE2

200 Gbit/s

400 Gbit/s

PIC3

200 Gbit/s

Le PFE3

200 Gbit/s

400 Gbit/s

Mappage du moteur de transfert de paquets et bande passante du tunnel pour MPC10E-10C

La bande passante du tunnel pour MPC10E-10C est comprise entre 1 et 400 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 400 Gbit/s.

Le Tableau 6 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MPC10E-10C.

Tableau 6 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour MPC10E-10C.

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Mappage du moteur de transfert de paquets

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

250 Gbit/s

PFE0

250 Gbit/s

500 Gbit/s

PIC1

250 Gbit/s

PFE1

250 Gbit/s

500 Gbit/s

Mappage du moteur de transfert de paquets et bande passante du tunnel pour MPC10E-15C

La bande passante du tunnel pour MPC10E-15C est comprise entre 1 et 400 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 400 Gbit/s.

Le Tableau 7 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MPC10E-15C.

Tableau 7 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour MPC10E-15C.

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Mappage du moteur de transfert de paquets

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

250 Gbit/s

PFE0

250 Gbit/s

500 Gbit/s

PIC1

250 Gbit/s

PFE1

250 Gbit/s

500 Gbit/s

PIC2

250 Gbit/s

Le PFE2

250 Gbit/s

500 Gbit/s

Mappage du moteur de transfert de paquets et bande passante de tunnel pour MX2K-MPC11E

La bande passante du tunnel MX2K-MPC11E est comprise entre 1 et 400 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 400 Gbit/s.

Le Tableau 8 montre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour MX2K-MPC11E.

Tableau 8 : Mappage du moteur de transfert de paquets et largeur de bande du tunnel pour le MX2K-MPC11E

PIC pseudo-tunnel

Bande passante maximale par PIC de tunnel

Cartographie PFE

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

250 Gbit/s

PFE0

250 Gbit/s

500 Gbit/s

PIC1

250 Gbit/s

PFE1

250 Gbit/s

500 Gbit/s

PIC2

250 Gbit/s

Le PFE2

250 Gbit/s

500 Gbit/s

PIC3

250 Gbit/s

Le PFE3

250 Gbit/s

500 Gbit/s

Réf. PIC4

250 Gbit/s

Le PFE4

250 Gbit/s

500 Gbit/s

PIC5

250 Gbit/s

Le PFE5

250 Gbit/s

500 Gbit/s

PIC6

250 Gbit/s

Le PFE6

250 Gbit/s

500 Gbit/s

PIC7

250 Gbit/s

Le PFE7

250 Gbit/s

500 Gbit/s

Note:

Une valeur de bande passante des services de tunnel non spécifiée dans la configuration des MPC10E-10C, MPC10E-15C et MX2K-MPC11E entraîne une valeur supérieure à la bande passante maximale du tunnel par PFE dans certaines conditions de trafic.

Mappage du moteur de transfert de paquets et bande passante de tunnel pour MX10K-LC9600

La bande passante du tunnel MX10K-LC9600 est comprise entre 1 et 400 Gbit/s avec un incrément de 1 Gbit/s. Toutefois, si vous ne spécifiez pas la bande passante dans la configuration, elle est définie sur 400 Gbit/s.

Le Tableau 9 illustre le mappage entre la bande passante du tunnel et les moteurs de transfert de paquets pour le MX10K-LC9600.

Tableau 9 : mappage du moteur de transfert de paquets et bande passante du tunnel pour le MX10K-LC9600

PIC pseudo-tunnel

Tunnel Port

Bande passante maximale par PIC de tunnel

Cartographie PFE

Bande passante maximale du tunnel par PFE

Bande passante maximale PFE

PIC0

0

200 Gbit/s

PFE0

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

PFE0

200 Gbit/s

2

200 Gbit/s

PFE1

200 Gbit/s

3

200 Gbit/s

PFE1

200 Gbit/s

PIC1

0

200 Gbit/s

Le PFE2

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

Le PFE2

200 Gbit/s

2

200 Gbit/s

Le PFE3

200 Gbit/s

3

200 Gbit/s

Le PFE3

200 Gbit/s

PIC2

0

200 Gbit/s

Le PFE4

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

Le PFE4

200 Gbit/s

2

200 Gbit/s

Le PFE5

200 Gbit/s

3

200 Gbit/s

Le PFE5

200 Gbit/s

PIC3

0

200 Gbit/s

Le PFE6

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

Le PFE6

200 Gbit/s

2

200 Gbit/s

Le PFE7

200 Gbit/s

3

200 Gbit/s

Le PFE7

200 Gbit/s

Réf. PIC4

0

200 Gbit/s

Le PFE8

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

Le PFE8

200 Gbit/s

2

200 Gbit/s

Le PFE9

200 Gbit/s

3

200 Gbit/s

Le PFE9

200 Gbit/s

PIC5

0

200 Gbit/s

Le PFE10

200 Gbit/s

800 Gbit/s

1

200 Gbit/s

Le PFE10

200 Gbit/s

2

200 Gbit/s

Le PFE11

200 Gbit/s

3

200 Gbit/s

Le PFE11

200 Gbit/s

Présentation des tunnels dynamiques

Un VPN qui transite par un réseau non-MPLS nécessite un tunnel GRE. Il peut s’agir d’un tunnel statique ou d’un tunnel dynamique. Un tunnel statique est configuré manuellement entre deux routeurs PE. Un tunnel dynamique est configuré à l’aide de la résolution de route BGP.

Lorsqu’un routeur reçoit une route VPN qui se résout sur un saut suivant BGP qui n’a pas de chemin MPLS, un tunnel GRE peut être créé dynamiquement, ce qui permet au trafic VPN d’être transféré vers cette route. Seuls les tunnels IPv4 GRE sont pris en charge.

Pour configurer un tunnel dynamique entre deux routeurs PE, incluez l’instruction dynamic-tunnels suivante :

Vous pouvez configurer cette instruction aux niveaux hiérarchiques suivants :

  • [edit routing-options]

  • [edit routing-instances routing-instance-name routing-options]

  • [edit logical-systems logical-system-name routing-options]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name routing-options]

Tableau de l’historique des modifications

La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l’explorateur de fonctionnalités pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.

Libérer
Description
16.1
À partir de Junos OS version 16.1, la mise en miroir de ports de couche 2 vers un collecteur distant via une interface GRE est prise en charge.
15.1
À partir de Junos OS version 15.1, vous pouvez configurer les services Ethernet de couche 2 sur des interfaces GRE ( gr-fpc/pic/port pour utiliser l’encapsulation GRE).