Configuration des interfaces de services

Chaque interface comporte un nom d’interface qui spécifie le type de support, l’emplacement dans lequel se trouve le FPC, l’emplacement sur le FPC dans lequel le PIC est installé et le port PIC. Le nom de l’interface identifie de manière unique un connecteur réseau individuel dans le système. Vous utilisez le nom de l’interface lors de la configuration des interfaces et de l’activation de diverses fonctions et propriétés, telles que les protocoles de routage, sur des interfaces individuelles. Le système utilise le nom de l’interface lors de l’affichage d’informations sur l’interface, par exemple, dans la show interfaces commande.

Le nom de l’interface est représenté par une partie physique, une partie logique et une partie de canal au format suivant :

La partie canal du nom est facultative pour toutes les interfaces, à l’exception des interfaces DS3, E1, OC12 et STM1 fractionné.

La partie physique d’un nom d’interface identifie l’équipement physique, qui correspond à un seul connecteur de réseau physique. Cette partie du nom de l’interface est au format suivant :

type est le type de support, qui identifie l’équipement réseau. Pour les interfaces de service, il peut s’agir de l’une des solutions suivantes :

• ams— Interface multiservices agrégées (AMS). Une interface AMS est un ensemble d’interfaces de services qui peuvent fonctionner comme une interface unique. Une interface AMS est indiquée comme amsN dans la configuration, où N se trouve un numéro unique qui identifie une interface AMS (par exemple). ams0 Les interfaces membres d’une interface AMS sont identifiées dans la configuration par un mams- préfixe (par exemple). mams-1/2/0

• cp— Interface de collecte de flux.

• es— Interface de chiffrement.

• gr— Interface de tunnel d’encapsulation de routage générique.

• gre— Cette interface est générée en interne et non configurable.

• ip— Interface tunnel d’encapsulation IP sur IP.

• ipip— Cette interface est générée en interne et non configurable.

• ls— Interface de services de liaison.

• lsq— Interface de mise en file d’attente intelligente (IQ) pour les services de liaison ; également utilisé pour les services vocaux.

• mams— Interface membre dans une interface AMS.

• ml— Interface multi-liaisons.

• mo— Interface de services de surveillance. L’interface mo-fpc/pic/portlogique .16383 est une interface nonconfigurable générée en interne pour le trafic de contrôle des routeurs.

• ms— Interfaces multiservices sur cartes d’interfaces modulaires multiservices (MS-MIC) et concentrateurs de ports modulaires multiservices (MS-MPC).

• mt— Interface de tunnel multicast. Cette interface est générée automatiquement, mais vous pouvez y configurer des propriétés si nécessaire.

• mtun— Cette interface est générée en interne et non configurable.

• rlsq— Interface LSQ redondante.

• rsp— Redondance de l’interface de services adaptative.

• si— Interface en ligne de services, configurée uniquement sur les routeurs MX3D Series.

• sp— Interface de services adaptative. L’interface sp-fpc/pic/portlogique .16383 est une interface nonconfigurable générée en interne pour le trafic de contrôle des routeurs.

• tap— Cette interface est générée en interne et non configurable.

• vt— Interface de tunnel de bouclage virtuel.

Pour les PIC AS, les PIC multiservices, les DPC multiservices et le module de services adaptatif interne (ASM) du routeur M7i, il existe deux packages de services : les couches 2 et 3. Les deux packages de services sont pris en charge sur toutes les interfaces de services adaptatifs, mais vous ne pouvez activer qu’un seul package de services par PIC, à l’exception d’un package combiné pris en charge sur l’ASM. Sur un seul routeur, vous pouvez activer les deux packages de services en installant au moins deux PIC sur la plate-forme.

Vous activez des packages de services par PIC, et non par port. Par exemple, si vous configurez le package de services de couche 2, l’ensemble du PIC utilise le package configuré. Pour activer un package de services, incluez l’instruction de package de service au niveau de la [edit chassis fpc slot-number pic pic-number adaptive-services] hiérarchie, et spécifiez layer-2 ou layer-3:

Pour déterminer le package qu’un PIC AS prend en charge, la show chassis hardware commande : si le PIC prend en charge le package de couche 2, il est répertorié comme Link Services II, et s’il prend en charge le package de couche 3, il est répertorié comme Adaptive Services II. Pour déterminer le package qu’un PIC multiservices prend en charge, émettez la show chassis pic fpc-slot slot-number pic-slot slot-number commande. Le Package champ affiche la valeur Layer-2 ou Layer-3.

Une fois que vous avez modifié le package de services, le PIC est mis hors ligne, puis mis en ligne immédiatement. Vous n’avez pas besoin de mettre le PIC manuellement hors ligne et en ligne.

Les services pris en charge dans chaque package diffèrent selon le PIC et le type de plate-forme. Le tableau 1 répertorie les services pris en charge dans chaque package de services pour chaque PIC et plate-forme.

Sur les AS et les PIC multiservices, la prise en charge des services de liaisons inclut des composants CoS Junos OS, LFI (FRF.12), MLFR de bout en bout (FRF.15), MLFR UNI NNI (FRF.16), MLPPP (RFC 1990) et MLPPP multiclasse. Pour plus d’informations, voir Fonctionnalités et interfaces du package de services de couche 2 et Fonctionnalités et interfaces du package de services de couche 2.

La configuration suivante inclut tous les éléments nécessaires à la configuration des services sur une interface :

Vous pouvez spécifier des paramètres par défaut globaux pour certains compteurs qui s’appliquent à l’intégralité de l’interface. Il existe trois déclarations de ce type :

• inactivity-timeout: définit le délai d’inactivité des flux établis, après quoi ils ne sont plus valides.

• open-timeout: définit la période d’expiration pour l’établissement de session TCP (Transmission Control Protocol), pour une utilisation avec des défenses SYN-cookie contre les intrusions sur le réseau.

• close-timout: définit la période d’expiration pour la déchirure de session TCP (Transmission Control Protocol).

Pour configurer un paramètre pour la période d’expiration d’inactivité, incluez l’instruction inactivity-timeout au niveau de la [edit interfaces interface-name services-options] hiérarchie :

La valeur par défaut est 30 secondes. La plage de valeurs possibles varie de 4 à 86 400 secondes. Toute valeur que vous configurez dans la définition du protocole d’application remplace la valeur spécifiée ici ; pour plus d’informations, voir Configuration des propriétés de l’application.

Pour configurer un paramètre pour la période d’expiration de session TCP, incluez l’instruction open-timeout au niveau de la [edit interfaces interface-name services-options] hiérarchie :

La valeur par défaut est 5 secondes. La plage de valeurs possibles est de 4 à 224 secondes. Toute valeur que vous configurez dans la définition du service de détection des intrusions (IDS) remplace la valeur spécifiée ici ; pour plus d’informations, voir Configuration des règles IDS sur une MS-DPC.

Pour configurer un paramètre pour la période d’expiration de session TCP, incluez l’instruction close-timeout au niveau de la [edit interfaces interface-name services-options] hiérarchie :

La valeur par défaut est 1 seconde. La plage de valeurs possibles varie de 2 à 300 secondes.

Utilisation de messages keep-alive pour un meilleur contrôle des délais d’expiration d’inactivité TCP

Des messages continus sont générés automatiquement pour éviter les délais d’inactivité TCP. Le nombre de messages à conserver en vie par défaut est 4. Toutefois, vous pouvez configurer le nombre de messages à conserver en entrant l’instruction tcp-tickles au niveau de la [edit interaces interface-name service-options] hiérarchie.

Lorsque le délai d’expiration est généré pour un flux TCP bidirectionnel, des paquets continus sont envoyés pour réinitialiser le compteur. Si le nombre de paquets continus consécutifs envoyés dans un flux atteint la limite définie ou par défaut, la conversation est supprimée. Il existe plusieurs scénarios possibles, en fonction de la définition du nombre maximum de inactivity-timer messages à conserver par défaut ou configurés.

• Si la valeur configurée des messages keep-alive est zéro et inactivity-timeout n’est PAS configurée (auquel cas la valeur de délai d’expiration par défaut de 30 est utilisée), aucun paquet keep-alive n’est envoyé. La conversation est supprimée lorsque tout flux de la conversation est inactif pendant plus de 30 secondes.

• Si la valeur configurée des messages keep-alive est zéro et que celle-ci inactivity-timeout est configurée, aucun paquet keep-alive n’est envoyé, et la conversation est supprimée lorsque tout flux de la conversation est inactif pour plus que la valeur d’expiration configurée.

• Si le nombre maximal de messages keep-alive par défaut ou configurés est un nombre d’entier positif, et si l’un des flux d’une conversation est inactif pour plus que la valeur par défaut ou configurée pour inactivity-timeout les paquets keep-alive, sont envoyés. Si les hôtes ne répondent pas au nombre configuré de paquets continus consécutifs, la conversation est supprimée. L’intervalle entre les paquets en vie sera de 1 seconde. Toutefois, si l’hôte renvoie un paquet ACK, le flux correspondant devient actif et les paquets keep-alive ne sont pas envoyés tant que le flux n’est plus inactif.

Vous spécifiez des propriétés qui contrôlent la manière dont les messages du journal système sont générés pour l’interface dans son ensemble. Si vous configurez différentes valeurs pour les mêmes propriétés au niveau de la [edit services service-set service-set-name] hiérarchie, les valeurs définies par le service remplacent les valeurs configurées pour l’interface. Pour plus d’informations sur la configuration des propriétés du jeu de services, consultez Configuration de la journalisation du système pour les ensembles de services.

Pour configurer les valeurs de journalisation système par défaut à l’échelle de l’interface, incluez l’instruction syslog au niveau de la [edit interfaces interface-name services-options] hiérarchie :

Configurez l’instruction host avec un nom d’hôte ou une adresse IP qui spécifie le serveur cible du journal système. Le nom local d’hôte dirige les messages de journal système vers le moteur de routage. Pour les serveurs de journaux système externes, le nom de l’hôte doit être joignable à partir de la même instance de routage vers laquelle le paquet de données initial (qui a déclenché l’établissement de session) est livré. Vous pouvez spécifier un seul nom d’hôte de journalisation système.

À partir de La version 17.4R1 de Junos OS, vous pouvez configurer jusqu’à quatre serveurs de journaux système (combinaison d’hôtes de journaux système locaux et de collecteurs de journaux système distants) pour chaque service défini pour l’interface ms hiérarchique [edit interfaces interface-name services-options] .

Le tableau 2 répertorie les niveaux de gravité que vous pouvez spécifier dans les instructions de configuration au niveau de la [edit interfaces interface-name services-options syslog host hostname] hiérarchie. Les niveaux de jusqu’à emergency info sont de l’ordre de la gravité la plus élevée (effet le plus important sur le fonctionnement) au plus bas.

Nous vous recommandons de définir le niveau error de gravité de la journalisation système pendant le fonctionnement normal. Pour surveiller l’utilisation des ressources PIC, définissez le niveau sur warning. Pour collecter des informations sur une attaque d’intrusion lorsqu’une erreur du système de détection d’intrusion est détectée, définissez le niveau sur notice une interface spécifique. Pour déboguer une configuration ou consigner la fonctionnalité de traduction d’adresses réseau (NAT), définissez le niveau sur info.

Pour plus d’informations sur les messages de journalisation système, consultez l’Explorateur des journaux système.

Pour utiliser un code de facilité particulier pour toutes les connexions à l’hôte de journalisation système spécifié, incluez l’instruction facility-override au niveau de la [edit interfaces interface-name services-options syslog host hostname] hiérarchie :

Les sites pris en charge incluent authorization: , ftpdaemon, kernelet userjusqu’à local0 local7.

Pour spécifier un préfixe texte pour toutes les connexions à cet hôte de journalisation système, incluez l’instruction log-prefix au niveau de la [edit interfaces interface-name services-options syslog host hostname] hiérarchie :