単一のMXシリーズ(CSDSトラフィックオーケストレーター)およびスケールアウトされたSRXシリーズファイアウォールのNATトラフィックフロー

このトピックでは、CSDSトラフィックオーケストレータとSRXシリーズファイアウォールを使用して、単一のMXシリーズでトラフィックフローをNATする方法について説明します。

トポロジーについては、図1 をご覧ください。このNATトラフィックのトポロジーでは:

TRUSTおよびUNTRUSTルーティングインスタンス用の2つのインターフェイス論理インターフェイス(IFL)を持つ単一のMXシリーズルーターを設定します。MXシリーズCSDSトラフィックオーケストレーター(CSDS-TO)は、スケールアウトされたすべてのSRXシリーズファイアウォールでヘルスチェックを実行し、トラフィックのロードバランシングのためのネクストホップを構築します。
スケールアウトされたすべてのSRXシリーズファイアウォールをBGP接続でMXシリーズルーターに接続します。
TRUSTルーティングインスタンスでCSDS-TOを使用してMXシリーズルーターを設定します。CSDS-TOは、クライアント側ゲートウェイルーターからスケールアウトされたSRXシリーズファイアウォールに向けて送信されるデータトラフィックのロードバランシングを実行します。
スケールアウトされた各SRXシリーズファイアウォールには、一意のNATプール範囲が必要で、MXシリーズのUNTRUST方向にアドバタイズされます。
MXシリーズルーターに接続されているすべてのスケールアウトSRXシリーズファイアウォールに一意のIPアドレスを設定します。CSDS-TOは、IPアドレスを使用してヘルスチェックを実行し、パケット転送エンジンでセレクターテーブルを構築します。パケット転送エンジンは、このセレクターテーブルを使用して、利用可能なネクストホップ間でパケットの負荷分散を行います。このヘルスチェックには、BGP接続を介してアクセスできます。
送信元 IP アドレス一致のフィルターベースフォワーディング(FBF)は、MXシリーズルーターで使用され、NAT 固有のトラフィックを CSDS-TO TRUST 転送インスタンスにプッシュします。
CSDS-TO転送インスタンスには、SRXシリーズファイアウォールのリストとしてネクストホップを含むデフォルトルートがあります。CSDS-TOは、少なくとも1つのSRXシリーズファイアウォールでヘルスチェックに合格すると、このデフォルトルートをインストールします。
CSDS-TOは、利用可能なすべてのSRXシリーズファイアウォールネクストホップデバイスに対して、ソースベースのハッシュロードバランシングを行います。
使用可能なSRXシリーズファイアウォールは、負荷分散されたNATデータセッションを固定し、NATフローを作成します。次に、MXシリーズルーターは、UNTRUSTルーティングインスタンスを介してトラフィックを転送してサーバーに到達します。
MXシリーズUNTRUSTルーティングインスタンス上でサーバーからクライアント方向に送信されるリターントラフィックの場合、一意のNATプールルートを使用して、同じSRXシリーズファイアウォールにトラフィックをルーティングします。
SRXシリーズファイアウォールは、同じNATフローを使用してリターントラフィックを処理し、TRUST方向のMXシリーズルーターに向けてパケットをルーティングします。MXシリーズは、パケットをクライアントにルーティングして戻します。

図1 は、トラフィックフローのステップバイステップを示しています。

図1:シングルMXシリーズルーター(CSDSトラフィックオーケストレータ)とSRXシリーズファイアウォールによるNATトラフィックフロー NAT Traffic Flow with Single MX Series Router (CSDS Traffic Orchestrator) and SRX Series Firewalls

NAT Traffic Flow with Single MX Series Router (CSDS Traffic Orchestrator) and SRX Series Firewalls

MXシリーズは、TRUST VRおよびUNTRUST VR方向のスケールアウトされたSRXシリーズファイアウォールに向けて、複数の論理インターフェイスで構成された単一のルーターです。

クライアントからサーバーへの転送トラフィックの場合、MXシリーズルーターは送信元IPアドレスの一致に基づいてFBFを使用します。ルーターは送信元 IP アドレスを照合して、NAT トラフィックを CSDS-TO TRUST 転送インスタンスにプッシュします。CSDS-TO転送インスタンスには、SRXシリーズファイアウォールのリストとしてネクストホップを含むデフォルトルートが含まれています。CSDS-TOは、少なくとも1つのSRXシリーズファイアウォールのヘルスチェックに合格すると、このデフォルトルートをインストールします。
CSDS-TOは、利用可能なすべてのSRXシリーズファイアウォールネクストホップデバイスに対して、ソースベースのハッシュロードバランシングを実行します。
使用可能なSRXシリーズファイアウォールは、負荷分散されたNATデータセッションを固定し、NATフローを作成します。
MXシリーズルーターは、トラフィックをUNTRUSTルーティングインスタンスを介してサーバーに誘導します。
MXシリーズUNTRUSTルーティングインスタンス上のサーバーからクライアントへのリターントラフィックの場合、一意のNATプールルートを使用して、同じSRXシリーズファイアウォールにトラフィックをルーティングします。
SRXシリーズファイアウォールは、同じNATフローを使用してリターントラフィックを処理し、TRUST方向のMXシリーズに向けてパケットをルーティングします。
MXシリーズはパケットをクライアントにルーティングします。

詳細については、ジュニパースケールアウトステートフルファイアウォールとエンタープライズ向けソースNAT - JVD、およびジュニパースケールアウトステートフルファイアウォールとSPエッジ向けCGNAT - JVDを参照してください。