Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
SUR CETTE PAGE
 

Configuration du filtrage PIM

Comprendre les filtres de messages multicast

Les sources et routeurs multicast génèrent un nombre considérable de messages de contrôle, en particulier lorsqu’ils utilisent le mode PIM sparse. Ces messages forment des arborescences de distribution, localisent les points de rendez-vous (RP) et les routeurs désignés (DR) et passent d’un type d’arbre à un autre. Dans la plupart des cas, ce système de messagerie multicast fonctionne de manière transparente et efficace. Toutefois, dans certaines configurations, il est nécessaire de renforcer le contrôle sur l’envoi et la réception de messages de contrôle multicast.

Vous pouvez configurer le filtrage multicast pour contrôler l’envoi et la réception des messages de contrôle multicast.

Pour empêcher les groupes et sources non autorisés de s’enregistrer auprès d’un routeur RP, vous pouvez définir une stratégie de routage afin de rejeter les messages d’enregistrement PIM provenant de groupes et de sources spécifiques, et configurer la stratégie sur le routeur désigné ou le routeur RP.

  • Si vous configurez la stratégie de rejet sur un routeur RP, elle rejette les messages d’enregistrement PIM entrants provenant des groupes et sources spécifiés. Le routeur RP envoie également un message d’arrêt d’enregistrement au moyen d’une unicast au routeur désigné. Une fois le message d’arrêt d’enregistrement reçu, le routeur désigné envoie régulièrement des messages null d’enregistrement pour les groupes et sources spécifiés au routeur RP.

  • Si vous configurez la stratégie de rejet sur un routeur désigné, il cesse d’envoyer au routeur RP des messages d’enregistrement PIM pour les groupes et sources spécifiés.

Note:

Si vous avez configuré la politique de rejet sur un routeur RP, nous vous recommandons de configurer la même stratégie sur tous les routeurs RP de votre réseau multicast.
Note:

Si vous supprimez une adresse de groupe et source dans la stratégie de rejet configurée sur un routeur RP et que vous validez la configuration, le routeur RP enregistre le groupe et la source uniquement lorsque le routeur désigné envoie un message d’enregistrement NULL.

Voir aussi

Filtrage des adresses MAC

Lorsqu’un routeur est exclusivement configuré avec des protocoles multicast sur une interface, le multicast définit le filtre MAC (Interface Media Access Control) en mode promiscuous multicast, et le nombre de groupes multicast est illimité. Toutefois, lorsque le routeur n’est pas exclusivement utilisé pour le multicast et d’autres protocoles tels que OSPF, RIPv2 (Routing Information Protocol version 2) ou NTP (Network Time Protocol) sont configurés sur une interface, chacun de ces protocoles demande individuellement que l’interface programme le filtre MAC pour récupérer son groupe multicast respectif uniquement. Dans ce cas, sans multicast configuré sur l’interface, le nombre maximum de filtres MAC multicast est limité à 20. Par exemple, le nombre maximum de filtres MAC d’interface pour les protocoles tels que OSPF (multicast group 224.0.0.5) est de 20, sauf si un protocole multicast est également configuré sur l’interface.

Aucune configuration n’est nécessaire pour les filtres MAC.

Filtrage RP et DR Enregistrer les messages

Vous pouvez filtrer le multicast indépendant du protocole (PIM) enregistrer les messages envoyés depuis le routeur désigné (DR) ou vers le point de rendez-vous (RP). Le PIM RP surveille toutes les sources actives dans un seul domaine PIM sparse mode. Dans certains cas, il est souhaitable de mieux contrôler les sources découvertes par un RP, ou les sources sur lesquelles un DR informe les autres FOURNISSEURS. Le filtrage d’enregistrement des messages RP et DR assure un contrôle élevé sur les messages d’enregistrement PIM. Le filtrage des messages empêche également les groupes et les sources non autorisés de s’enregistrer auprès d’un routeur RP.

Les messages filtrés lors d’une dr ne sont pas envoyés au RP, mais les sources sont disponibles pour les utilisateurs locaux. Enregistrez les messages qui sont filtrés lors d’un RP à partir des DR source, mais qui sont ignorés par le routeur. Les sources sur le trafic de groupe multicast peuvent être limitées ou dirigées à l’aide du RP ou du DR enregistrer le filtrage de messages seul ou ensemble.

Si l’action du filtre d’enregistrement consiste à écarter le message d’enregistrement, le routeur doit envoyer un message d’arrêt d’enregistrement au dr. Les messages d’arrêt de registre sont ralentis afin d’empêcher les utilisateurs malveillants de les déclencher volontairement afin de perturber le processus de routage.

Les informations source et de groupe multicast sont encapsulées dans des paquets IP unicast. Cette fonctionnalité permet au routeur d’inspecter le groupe multicast et les informations source avant d’envoyer ou d’accepter le message d’enregistrement PIM.

Les messages d’inscription entrants à un RP sont transmis via la stratégie de filtrage des messages d’enregistrement configurée avant tout traitement ultérieur. Si le message d’enregistrement est rejeté, le routeur RP envoie un message d’enregistrement au dr. Lorsque le dr reçoit le message d’arrêt d’inscription, le dr cesse d’envoyer des messages d’enregistrement pour les groupes et sources filtrés au RP. Deux champs sont utilisés pour le filtrage des messages d’inscription :

  • Adresse multicast de groupe

  • Adresse source

La syntaxe des instructions de stratégie existantes est utilisée pour configurer le filtrage sur ces deux champs. Cette route-filter instruction est utile pour le filtrage des adresses de groupe multicast, et elle est utile pour le source-address-filter filtrage des adresses source. Dans la plupart des cas, il s’agit de rejeter les messages d’enregistrement, mais des stratégies de filtrage plus complexes sont possibles.

Le filtrage ne peut pas être effectué sur d’autres champs d’en-tête, tels que l’adresse DR, le protocole ou le port. Dans certaines configurations, un RP peut ne pas envoyer de messages d’arrêt d’enregistrement lorsque l’action de stratégie consiste à rejeter les messages d’enregistrement. Cela n’a aucun effet sur le fonctionnement de la fonctionnalité, mais le routeur continuera à recevoir des messages d’enregistrement.

Une fois anycast RP configuré, il est possible d’envoyer ou de recevoir des messages d’enregistrement par le RP. Tous les RP du rp anycast doivent être configurés avec les mêmes stratégies de filtrage de message d’enregistrement RP. Sinon, il pourrait être possible de contourner la stratégie de filtrage.

Voir aussi

Filtrage des messages MSDP SA

En plus d’appliquer des filtres SA (source active) MSDP à toutes les sessions MSDP externes (entrantes et sortantes) afin d’empêcher les SAs des groupes et des sources de s’infiltrer dans et hors du réseau, vous devez appliquer des filtres de routeur d’amorçage (BSR). L’application d’un filtre BSR aux limites d’un réseau empêche les messages BSR étrangers (qui annoncent les adresses RP) de s’infiltrer dans votre réseau. Étant donné que les routeurs d’un domaine PIM sparse-mode ont besoin de connaître l’adresse d’un seul routeur RP, avoir plus d’un dans le réseau peut créer des problèmes.

Si vous n’avez pas utilisé la portée multicast pour créer des filtres limites pour toutes les interfaces client, vous pouvez utiliser des filtres de jointure PIM. Les portées du multicast empêchent les paquets de données multicast réels de s’écouler dans ou hors d’une interface. Les filtres de jointure PIM empêchent la création de l’état PIM en mode sparse. Puisque les filtres de jointure PIM s’appliquent uniquement à l’état pim sparse mode, il peut être plus bénéfique d’utiliser la portée multicast pour filtrer les données réelles.

Note:

Lorsque vous appliquez des filtres de pare-feu, les modificateurs d’actions de pare-feu, tels que le journal, l’exemple et le nombre, fonctionnent uniquement lorsque vous appliquez le filtre sur une interface entrante. Les modificateurs ne fonctionnent pas sur une interface sortante.

Voir aussi

Configuration des stratégies de voisinage PIM au niveau de l’interface

Vous pouvez configurer une stratégie pour filtrer les voisins PIM indésirables. Dans l’exemple suivant, l’interface PIM compare les adresses IP voisines avec l’adresse IP dans l’énoncé de stratégie avant qu’un traitement hello n’ait lieu. Si l’une des adresses IP des voisins (principale ou secondaire) correspond à l’adresse IP indiquée dans la liste de préfixes, PIM rejette le paquet hello et rejette le voisin.

Si vous configurez une stratégie de voisin PIM après que PIM a déjà établi une adjacence de voisin à un voisin PIM indésirable, l’adjacence reste intacte jusqu’à ce que le temps de conservation du voisin expire. Lorsque le voisin indésirable envoie un autre message hello pour mettre à jour son adjacence, le routeur reconnaît l’adresse indésirable et rejette le voisin.

Pour configurer une stratégie de filtrage des voisins PIM indésirables :

  1. Configurez la stratégie. La stratégie de voisinage doit être une instruction de stratégie correctement structurée qui utilise une liste de préfixes (ou un filtre de route) contenant l’adresse principale du voisin (ou toute adresse IP secondaire) dans une liste de préfixes, et l’option refuser pour rejeter l’adresse indésirable.
  2. Configurez l’interface globalement ou dans l’instance de routage. Cet exemple illustre la configuration de l’instance de routage.
  3. Vérifiez la configuration en vérifiant le champ Hello abandonné sur la stratégie de voisinage dans la sortie de la show pim statistics commande.

Voir aussi

Filtrage des messages de jointure PIM sortants

Lorsque le cœur de votre réseau utilise MPLS, les pim rejoignent et élaguent les messages s’arrêtent aux routeurs de périphérie du client (CE) et ne sont pas aiguillés vers le cœur, car ces routeurs n’ont pas de voisins PIM sur les interfaces centrales. Lorsque le cœur de votre réseau utilise l’IP, les messages PIM de jointure et de pruneau sont envoyés aux voisins PIM en amont au cœur du réseau.

Lorsque le cœur de votre réseau utilise un mélange d’IP et de MPLS, vous voudrez peut-être filtrer certains messages PIM de jointure et de prunelle à l’interface de sortie en amont des routeurs CE.

Vous pouvez filtrer les messages PIM sparse mode (PIM-SM) au niveau des interfaces de sortie pour IPv4 et IPv6 en amont. Les messages peuvent être filtrés en fonction de l’adresse de groupe, de l’adresse source, de l’interface sortante, du voisin PIM, ou d’une combinaison de ces valeurs. Si le filtre est supprimé, la jointure est envoyée après l’expiration du jointur périodique PIM.

Pour filtrer le mode PIM sparse, join and prune messages au niveau des interfaces de sortie, créez une stratégie rejetant l’adresse de groupe, l’adresse source, l’interface sortante ou le voisin PIM, puis appliquez la stratégie.

L’exemple suivant filtres PIM joint et prunelle les messages pour les adresses de groupe 224.0.1.2 et 225.1.1.1.

  1. En mode configuration, créez la stratégie.
  2. Vérifiez la configuration de la stratégie en exécutant la show policy-options commande.
  3. Appliquez la jointure PIM et le filtre de message pruneau.
  4. Une fois la configuration validée, utilisez la commande pour vérifier que les show pim statistics messages PIM sortants de jointure et de prune sont filtrés.

    Le nombre de filtres sortants est visible sur la ligne filtrée Tx Joins/Prunes .

Voir aussi

Exemple : Arrêter le PIM sortant Enregistrer des messages sur un routeur désigné

Cet exemple montre comment arrêter l’enregistrement PIM sortant sur un routeur désigné.

Exigences

Avant de commencer :

  1. Déterminez si le routeur est directement connecté à des sources multicast. Les récepteurs doivent pouvoir localiser ces sources.

  2. Déterminez si le routeur est directement connecté à un récepteur de groupe multicast. Si des récepteurs sont présents, IGMP est nécessaire.

  3. Déterminez si le multicast doit utiliser un mode sparse, dense ou peu dense. Chaque mode comporte différentes considérations de configuration.

  4. Déterminez l’adresse du RP en cas d’utilisation du mode sparse ou sparse-dense.

  5. Déterminez si vous souhaitez localiser le RP avec la configuration statique, BSR ou auto-RP.

  6. Déterminez si vous devez configurer le multicast pour utiliser sa propre table de routage RPF lors de la configuration pim en mode sparse, dense ou peu dense.

  7. Configurez les protocoles SAP et SDP pour écouter les annonces de sessions multicast.

  8. Configurez IGMP.

  9. Configurez le RP statique PIM.

  10. Filtrer LE PIM enregistre les messages provenant de groupes et de sources non autorisés. Voir l’exemple : Rejeter le PIM entrant Enregistrer des messages sur les routeurs RP.

Aperçu

Dans cet exemple, vous configurez l’adresse de groupe sous la forme 224.2.2.2/32 et l’adresse source dans le groupe comme adresse 20.20.20.1/32. Vous définissez l’action de correspondance pour ne pas envoyer de messages d’inscription PIM pour le groupe et l’adresse source. Ensuite, vous configurez la stratégie sur le routeur désigné pour arrêter-pim-register-msg-dr.

Configuration

Procédure

Configuration rapide CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez tous les sauts de ligne, modifiez tous les détails nécessaires pour correspondre à la configuration de votre réseau, puis copiez et collez les commandes dans l’interface de ligne de commande au niveau de la [edit] hiérarchie.

Procédure étape par étape

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur cette méthode, reportez-vous à Using the CLI Editor in Configuration Mode dans le Junos OS CLI User Guide.

Pour arrêter le PIM sortant, enregistrez des messages sur un routeur désigné :

  1. Configurez les options de stratégie.

  2. Définissez l’adresse de groupe.

  3. Définissez l’adresse source.

  4. Définissez l’action du match.

  5. Attribuez la stratégie.

Résultats

Depuis le mode configuration, confirmez votre configuration en entrant les show policy-options show protocols commandes. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration fournies dans cet exemple pour la corriger.

Si vous avez terminé la configuration de l’unité, saisissez la validation depuis le mode de configuration.

Vérification

Pour vérifier que la configuration fonctionne correctement, effectuez les tâches suivantes :

Vérification des adresses et ports SAP et SDP

But

Vérifiez que SAP et SDP sont configurés pour écouter les adresses de groupe et les ports corrects.

Action

Dans le mode opérationnel, saisissez la show sap listen commande.

Vérification de la version IGMP

But

Vérifiez que la version 2 d’IGMP est configurée sur toutes les interfaces applicables.

Action

Dans le mode opérationnel, saisissez la show igmp interface commande.

Vérification de la configuration du mode PIM et de l’interface

But

Vérifiez que le mode sparse PIM est configuré sur toutes les interfaces applicables.

Action

Dans le mode opérationnel, saisissez la show pim interfaces commande.

Vérification de la configuration PIM RP

But

Vérifiez que le PIM RP est configuré de manière statique avec l’adresse IP correcte.

Action

Dans le mode opérationnel, saisissez la show pim rps commande.

Voir aussi

Filtrage des messages de jointure PIM entrants

La portée multicast contrôle la propagation des messages multicast. Alors que la portée multicast empêche les paquets de données multicast réels de s’écouler dans ou hors d’une interface, les filtres de jointure PIM empêchent la création d’un état dans un routeur. Les entrées (*,G) ou (S,G) sont des informations utilisées pour transférer des paquets unicast ou multicast. L’utilisation des filtres de jointure PIM empêche le transport du trafic multicast sur un réseau et le rejet de paquets à un champ d’application à la périphérie du réseau. En outre, les filtres de jointure PIM réduisent le potentiel d’attaques par déni de service (DoS) et l’explosion de l’état PIM : un grand nombre de messages d’jointure PIM envoyés à chaque routeur sur l’arborescence des points de rendez-vous (RPT), entraînant une consommation de mémoire.

Pour utiliser les filtres de jointure PIM pour restreindre efficacement le trafic multicast à partir de certaines adresses source, créez et appliquez la stratégie de routage sur tous les routeurs du réseau.

Reportez-vous au tableau 1 pour obtenir la liste des conditions de correspondance.

Tableau 1 : Conditions de correspondance des filtres de jointure PIM

Condition de correspondance

Correspondances sur

Interface

Interface ou interfaces de routeur spécifiées par nom ou adresse IP

Voisin

Adresse du voisin (adresse source dans l’en-tête IP du message join and prune)

filtre de routage

Adresse de groupe multicast intégrée au message de join and prune

filtre d’adresse source

Adresse source multicast intégrée au message de join and prune

L’exemple suivant montre comment créer un filtre de jointure PIM. Le filtre est composé d’un filtre de route et d’un filtre d’adresse source (groupes de mauvaises et sources malveillantes, respectivement). le filtre des groupes malveillants empêche la réception des messages de jointure (*,G) ou (S,G) pour tous les groupes répertoriés. Le filtre des sources malveillantes empêche la réception des messages de jointure (S,G) pour toutes les sources répertoriées. Le filtre des groupes malveillants et le filtre des sources malveillantes sont en deux termes différents. Si les filtres de routage et les filtres d’adresse source sont dans le même terme, ils sont logiquement ANDed.

Pour filtrer les messages de jointure PIM entrants :

  1. Configurez la stratégie.
  2. Appliquez une ou plusieurs stratégies aux routes importées dans la table de routage à partir de PIM.
  3. Vérifiez la configuration en vérifiant la sortie des show pim join show policy commandes.

Voir aussi

Exemple : Rejet du PIM entrant Enregistrer les messages sur les routeurs RP

Cet exemple montre comment refuser les messages d’enregistrement PIM entrants sur les routeurs RP.

Exigences

Avant de commencer :

  1. Déterminez si le routeur est directement connecté à des sources multicast. Les récepteurs doivent pouvoir localiser ces sources.

  2. Déterminez si le routeur est directement connecté à un récepteur de groupe multicast. Si des récepteurs sont présents, IGMP est nécessaire.

  3. Déterminez si le multicast doit utiliser un mode sparse, dense ou peu dense. Chaque mode comporte différentes considérations de configuration.

  4. Déterminez l’adresse du RP en cas d’utilisation du mode sparse ou sparse-dense.

  5. Déterminez si vous souhaitez localiser le RP avec la configuration statique, BSR ou auto-RP.

  6. Déterminez si vous devez configurer le multicast pour utiliser sa propre table de routage RPF lors de la configuration pim en mode sparse, dense ou peu dense.

  7. Configurez les protocoles SAP et SDP pour écouter les annonces de sessions multicast. Voir Configuration du protocole d’annonce de session.

  8. Configurez IGMP. Voir Configuration d’IGMP.

  9. Configurez le RP statique PIM. Reportez-vous à La configuration d’un RP statique.

Aperçu

Dans cet exemple, vous configurez l’adresse de groupe comme 224.1.1.1/32 et l’adresse source dans le groupe sous la forme 10.10.10.1/32. Vous définissez l’action de correspondance pour rejeter les messages d’enregistrement PIM et attribuer à reject-pim-register-msg-rp la stratégie sur le RP.

Configuration

Procédure

Configuration rapide CLI

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez tous les sauts de ligne, modifiez tous les détails nécessaires pour correspondre à la configuration de votre réseau, copiez et collez les commandes dans l’interface de ligne de commande au niveau de la [edit] hiérarchie, puis entrez commit du mode de configuration.

Procédure étape par étape

L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur cette méthode, reportez-vous à Using the CLI Editor in Configuration Mode dans le Junos OS CLI User Guide.

Pour rejeter les messages PIM entrants, enregistrez des messages sur un routeur RP :

  1. Configurez les options de stratégie.

  2. Définissez l’adresse de groupe.

  3. Définissez l’adresse source.

  4. Définissez l’action du match.

  5. Configurez le protocole.

  6. Attribuez la stratégie.

Résultats

Depuis le mode configuration, confirmez votre configuration en entrant la commande et show protocols pim lashow policy-options. Si la sortie n’affiche pas la configuration prévue, répétez les instructions de configuration fournies dans cet exemple pour la corriger.

Si vous avez terminé la configuration de l’unité, saisissez la validation depuis le mode de configuration.

Vérification

Pour vérifier que la configuration fonctionne correctement, effectuez les tâches suivantes :

Vérification des adresses et ports SAP et SDP

But

Vérifiez que SAP et SDP sont configurés pour écouter les adresses de groupe et les ports corrects.

Action

Dans le mode opérationnel, saisissez la show sap listen commande.

Vérification de la version IGMP

But

Vérifiez que la version 2 d’IGMP est configurée sur toutes les interfaces applicables.

Action

Dans le mode opérationnel, saisissez la show igmp interface commande.

Vérification de la configuration du mode PIM et de l’interface

But

Vérifiez que le mode sparse PIM est configuré sur toutes les interfaces applicables.

Action

Dans le mode opérationnel, saisissez la show pim interfaces commande.

Vérifier que le PIM enregistre les messages

But

Vérifiez si la stratégie rejetée sur le routeur RP est activée.

Action

Dans le mode configuration, saisissez la commande etshow protocols pim.show policy-options

Voir aussi

Configuration des filtres de message d’enregistrement sur un PIM RP et DR

Les messages d’enregistrement PIM sont envoyés au point de rendez-vous (RP) par un routeur désigné (DR). Lorsqu’une source d’un groupe commence à transmettre, le DR envoie des paquets PIM unicast au RP.

Les objectifs d’enregistrement des messages sont les suivants :

  • Avertissez le RP qu’une source envoie à un groupe.

  • Fournissez les paquets multicast initiaux envoyés par la source au RP pour qu’ils tombent dans l’arborescence de chemins le plus court (SPT).

Le PIM RP surveille toutes les sources actives dans un seul domaine PIM sparse mode. Dans certains cas, vous souhaitez bénéficier d’un meilleur contrôle sur les sources découvertes par un RP ou sur les sources sur lesquelles un DR informe les autres fournisseurs de services. Le filtrage des messages d’enregistrement RP ou DR assure un contrôle élevé sur les messages d’enregistrement PIM. Le filtrage des messages empêche les groupes et les sources non autorisés de s’enregistrer auprès d’un routeur RP.

Vous configurez le rp ou le dr enregistrer le filtrage des messages pour contrôler le nombre et l’emplacement des sources multicast découvertes par un RP. Vous pouvez appliquer des filtres de message d’enregistrement sur un dr pour contrôler les messages d’enregistrement sortants, ou les appliquer sur un RP pour contrôler les messages d’enregistrement entrants.

Lors de la configuration d’anycast RP, tous les RP du jeu de RP anycast doivent être configurés avec la même stratégie de filtrage de message d’enregistrement.

Vous pouvez configurer le filtrage des messages globalement ou pour une instance de routage. Ces exemples illustrent la configuration globale.

Pour configurer un filtre RP afin d’enregistrer les paquets pour la plage de groupes multicast 224.1.1.0/24 à partir de l’adresse source 10.10.94.2 :

  1. Sur le RP, configurez la stratégie.
  2. Appliquez la stratégie au RP.

Pour configurer un filtre DR afin d’empêcher l’envoi de paquets enregistrés pour la plage de groupes 224.1.1.0/24 et l’adresse source 10.10.10.1/32 :

  1. Sur la dr, configurez la stratégie.

  2. Appliquez la politique à la DR.

    L’adresse statique est l’adresse du RP à laquelle vous ne souhaitez pas que le DR envoie les messages d’enregistrement filtrés.

Pour configurer une expression de stratégie afin d’accepter les messages d’inscription au groupe de multicast 224.1.1.5, mais rejetez-les pour 224.1.1.1 :

  1. Sur le RP, configurez les stratégies.

  2. Appliquez les stratégies au RP.

Pour surveiller le fonctionnement des filtres, exécutez la show pim statistics commande. La sortie de commande contient les champs suivants liés au filtrage :

  • Source filtrée RP

  • Rx Joins/Prunes filtré

  • Jointure/Pruneaux Tx filtré

  • Rx Enregistrer la perte de filtrage msgs

  • Tx Enregistrer la perte de filtrage msgs

Voir aussi

Documentation connexe