Filtrage sélectif basé sur les classes sur les routeurs PTX

Pour les routeurs et cartes de ligne PTX Series pris en charge, vous pouvez filtrer le trafic IPv4 et IPv6 en fonction de la classification source ou de destination (Utilisation de la classe source, SCU) et (Utilisation de la classe de destination, DCU). Ceci est utile car cela signifie que vous pouvez appliquer un filtre de manière sélective, sur un sous-ensemble de paquets dans une classe, plutôt que sur tous les paquets de la classe. En outre, le flux de paquets via le moteur de transfert de paquets (PFE) est optimisé et le filtrage est plus efficace.

Pour les fournisseurs de services, le filtrage basé sur les classes vous permet de fournir des services avancés tels que :

• Manipulation du comportement par saut en ajustant la classe de transfert du paquet en fonction de la classe du paquet source ou de destination et d’autres critères de filtrage.

• Limitation du débit de trafic vers certaines interfaces client, avec une forte perte de trafic (par exemple, en cas d’attaque DDoS). Normalement, vous devez déployer un filtre d’interface sortant pour limiter le débit du trafic. Toutefois, cela peut s’avérer inefficace, car le trafic traverse toujours la structure des systèmes distribués et consomme une bande passante limitée de la structure. L’inefficacité devient encore plus visible dans un système de mise en file d’attente de sortie virtuelle, comme PTX, où l’admission dans la file d’attente de sortie se produit avant l’exécution du filtre de sortie et toute action de suppression ultérieure dans le filtre de sortie nécessite une compensation : plus de trafic doit être admis dans la file d’attente, ce qui nécessite plus de bande passante de fabric et plus d’espace tampon sur puce de sortie (ce qui est une ressource limitée). Les filtres basés sur les classes sont exécutés dans le pipeline d’entrée avant l’admission des paquets dans la file d’attente de sortie. Ce mécanisme est recommandé par rapport aux filtres d’interface de sortie habituels, si vous prévoyez de laisser tomber de gros volumes de trafic vers certaines destinations.

Le filtrage basé sur les classes est également efficace pour les attaques par déni de service (DoS) « lentes et faibles » qui ciblent les ressources des applications et des serveurs en imitant les schémas de trafic normaux.

Pour prendre en charge le filtrage basé sur les classes, deux nouveaux points de liaison sont introduits dans la table de transfert pour les routeurs PTX : source-class et destination-class.

La hiérarchie CLI est affichée ici, où src-class-name ou dest-class-name est le nom du filtre que vous avez défini dans la stratégie correspondante.

Vous pouvez également configurer des filtres spécifiques à l’instance sur plusieurs classes SCU et DCU. Par défaut, un seul ensemble de compteurs et de mécanismes de contrôle est instancié pour un filtre. Dans le filtre spécifique à l’instance, un jeu distinct de compteurs et de mécanismes de contrôle est créé pour chaque point d’attache du filtre.

Initialement, la fonctionnalité d’utilisation de la classe source (SCU) a été introduite pour fournir une répartition statistique du trafic envoyé vers une interface spécifique par préfixe d’origine (identifié par la classe source). À l’origine, l’utilisation de la classe de destination (DCU) a été introduite pour fournir une répartition statistique du trafic reçu sur une interface par préfixe de destination (identifié par la classe de destination).

Les classes source ou de destination sont affectées au paquet dans le processus de recherche source ou de destination. Par conséquent, les conditions de correspondance du filtre source et du filtre de destination ne peuvent être évaluées que si le filtre est exécuté après la recherche.

Les routeurs Juniper prennent en charge plusieurs points de liaison de filtre. Ceux qui peuvent exploiter le résultat de la classification source et de destination sont répertoriés ci-dessous, avec des instructions d’utilisation :

• Filtre d’interface de sortie (set interfaces <nom de l’interface> filtre <output>d’inet de la famille . Pris en charge sur toutes les plates-formes PTX, mais déconseillé s’il est prévu qu’il élimine de gros volumes de trafic à l’état stable (par exemple, lors de la mise en œuvre d’un filtre d’atténuation des attaques DDoS). Le trafic d’attaque DDoS ignoré peut ne pas être compensé par un autre trafic ne correspondant pas aux critères d’attaque DDoS en raison de la bande passante limitée de la fabric et de l’espace tampon de sortie sur la puce.

• Filtrer après table de transfert recherche de filtre (définir le filtre d’inet de la famille d’options de transfert <nom du filtre> sortie). Pris en charge sur les plates-formes Express 2 (PE) et Express 3 (ZX). Toutefois, les filtres sont instanciés dans le pipeline de sortie, de sorte que le comportement d’abandon est similaire à celui du filtre d’interface de sortie standard.

• Point de liaison spécifique à la classe source ou de destination (set routing-options forwarding-table source-class src-class-name family [inet | inet6] filter <filter- name>). Pris en charge sur les plates-formes Express 2 (PE), Express 3 (ZX) et Express 4 (BT). Ce filtre est instancié dans le pipeline d’entrée. Il s’agit de l’option recommandée pour ignorer de gros volumes de trafic. Cette option est également recommandée si vous devez remplacer la classe de transfert et l’affectation ultérieure de la file d’attente de sortie. Dans un système de mise en file d’attente de sortie virtuelle, la file d’attente est sélectionnée dans le pipeline d’entrée et tout remplacement doit également se produire dans le pipeline d’entrée.

Cet exemple montre comment appliquer des actions de pare-feu (ignorer, rejeter ou contrôler) à des flux de trafic IPv4 et IPv6 en fonction de la classification source ou de destination. Elle s’applique aux routeurs PTX10001-36MR, PTX10003-160C, PTX10003-80C, PTX10004 et PTX10008 exécutant la version 21.2 du système d’exploitation Junos Evolved, PTX10016 aux routeurs exécutant JUNOS Evolved OS version 21.4 ou PTX3000, PTX-5000, PTX1000, PTX10002, PTX10008 PTX10016 aux routeurs exécutant Junos OS version 21.2 ou ultérieure.

• Conditions préalables
• Présentation
• Configuration

Présentation

Cet exemple utilise trois périphériques de routage : un équipement de périphérie client (CE), un équipement de périphérie fournisseur (PE) et un équipement de cur de fournisseur (P). La configuration du trafic IPv4 est illustrée et comprend deux ensembles de classes SCU et DCU, ainsi que les filtres de pare-feu. Dans la figure suivante, les préfixes IP /32 représentent les hôtes connectés respectivement aux routeurs CE (Customer Edge) et fournisseur (P).

Figure 1 : Exemple de réseau

Dans cet exemple, nous définissons deux classes de trafic : scu-1 et scu-2, le premier est affecté à des préfixes dans le sous-réseau 172.16.2.0/24 et le second est affecté à des préfixes dans le sous-réseau 172.16.3.0/24. D’autres préfixes n’ont pas d’affectations de classe. Comme illustré dans l’extrait de CLI suivant, une stratégie de routage est définie sur le routeur PE pour affecter des préfixes à scu-1 de classe source et scu-2 de classe source.

Pour tenir compte du trafic entrant dans les interfaces de PE à partir de CE, la stratégie appelée dcu-class définie sur le routeur PE utilise des filtres de routage pour placer le trafic dans dcu-1, les autres préfixes n’ayant pas d’affectations de classe.

Les stratégies sont ensuite appliquées à la table de transfert.

Dans l’étape suivante, nous configurons un filtre sur le routeur PE.

Et fixez ce filtre aux points de liaison de classe source et de destination spécifiques sur le routeur PE.