Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

cRPDの設定を構成する

この章では、高度な機能を有効にするために cRPD の設定を調整する方法について説明します。

OSPFを設定する

ネットワーク上で OSPF を設定するには:
  1. crpd01を設定して、OSPFプロトコルを設定します。

    root@ubuntu-vm18:~# set policy-options policy-statement adv term 1 from route-filter 10.10.10.0/24 exact

    root@ubuntu-vm18:~# set policy-options policy-statement adv term 1 then accept

    root@ubuntu-vm18:~# set routing-options router-id 10.255.255.1

    root@ubuntu-vm18:~# set routing-options static route 10.10.10.0/24 reject

    root@ubuntu-vm18:~# set protocols ospf export adv

    root@ubuntu-vm18:~# set protocols ospf area 0.0.0.0 interface eth1

    root@ubuntu-vm18:~# set protocols ospf area 0.0.0.0 interface lo.0

  2. crpd02を設定してOSPFプロトコルを設定します。

    root@ubuntu-vm18:~# set policy-options policy-statement adv term 1 from route-filter 10.20.20.0/24 exact

    root@ubuntu-vm18:~# set policy-options policy-statement adv term 1 then accept

    root@ubuntu-vm18:~# set routing-options router-id 10.255.255.2

    root@ubuntu-vm18:~# set routing-options static route 10.20.20.0/24 reject

    root@ubuntu-vm18:~# set protocols ospf export adv

    root@ubuntu-vm18:~# set protocols ospf area 0.0.0.0 interface eth1

    root@ubuntu-vm18:~# set protocols ospf area 0.0.0.0 interface lo.0

  3. crpd01にログインします。
    docker exec -it crpd01 bash
  4. OSPFルートの詳細を確認します。

    root@crpd01:/# cli

    root@crpd01> show ospf neighbor

    root@crpd01> show ospf route

    root@crpd01> show route

  5. ルートを確認します。

    root@crpd01> exit

    root@crpd01:/# ip route

    root@crpd01:/# ping 10.255.255.2 -c 2

ブリッジングされたインターフェイスの設定

論理インターフェイスは、 [edit interfaces interface-name unit logical-unit-number family bridge interface-mode trunk] 階層レベルでトランクポートとして設定できます。

すべてのVLAN識別子をレイヤー2トランクポートに関連付けるように設定するには、[edit interfaces interface-name unit logical-unit-number family bridge]階層レベルでvlan-id-list [vlan-id-numbers ]ステートメントを含めます。

  1. ブリッジされた各物理インターフェイスをファミリー タイプ bridge で設定します。

    [インターフェイスの編集]

    user@host# set interface interface-name unit logical-unit-number family bridge interface-mode access
  2. 各論理インターフェイスをVLAN IDで設定します。これは、ブリッジが属するインターフェイスを決定するのに役立ちます。
    user@host# set interface interface-name unit logical-unit-number family bridge vlan-id vlan-id
  3. ブリッジドメインで仮想スイッチインスタンスを作成し、論理インターフェイスを設定します。

    [ルーティングインスタンスの編集]

    user@host# set routing-instance-name instance-type virtual-switch
    user@host# set routing-instance-name interface interface-name unit logical-unit-number
    user@host# set routing-instance-name bridge-domains bridge-domain-name
  4. IRB をサポートする仮想スイッチを設定し、ルーティング インターフェイスをブリッジ ドメインに関連付けます。

ルーテッドVLANインターフェイスの設定

プライベート VLAN(P-VLAN)に対して RVI(ルーテッド VLAN インターフェイス)を設定できます。

  1. P-VLAN の RVI を設定します。
    [インターフェイスの編集]
    user@host# set vlan unit logical-unit-number family inet address inet-address
  2. RVI インターフェイスとその現在の状態を表示します。
    user@host> show interfaces vlan terse

ISO インターフェイスの設定

インターフェイスに family iso ステートメントを含めることで、IS-ISプロトコルをサポートしているループバックインターフェイスでISOファミリーを設定します。

  1. ホストIPアドレスを使用してループバックインターフェイスを設定し、インターフェイスでISOファミリーを有効にします。
    user@host# set interfaces lo0 unit 0 family iso address 192.168.0.1
  2. プロトコル設定に interface interface-name ステートメントを含めることで、デバイスインターフェイスをIS-ISにアドバタイズします。
    user@host# set protocols isis interface lo0.0

IPv6インターフェイスの設定

ルーターとスイッチでIPv6アドレスを設定するには、 [edit interfaces]階層レベルで interface interface-name unit number family inet6 address aaaa:bbbb:...:zzzz/nnステートメントを使用します。

同じインターフェイスに複数のIPv6アドレスを割り当てることもできます。

IPv6を使用して論理ユニットのIPアドレスを指定するには:
user@host# set interfaces interface-name unit logical-unit-number family inet6 address ip-address

IPv4インターフェイスを設定する

ルーターとスイッチでIPv4アドレスを設定するには、[edit interfaces]階層レベルでinterface interface-name unit number family inet address a.b.c.d/nnステートメントを使用します。

同じインターフェイスに複数のIPv4アドレスを割り当てることもできます。

IPv4を使用して論理ユニットのIPアドレスを指定するには:
user@host# set interfaces interface-name unit logical-unit-number family inet address ip-address

インターフェイスを表示

以下の例は、設定されたインターフェイスを表示するための CLI コマンドを示しています。
  1. 設定モードから、 show interfaces コマンドを入力して設定を確認します。
    user@host# show interfaces
  2. 動作モードから、 show interfaces terse コマンドを入力します。
    user@host> show interfaces terse
    user@host> show interfaces routing lo0.0
    user@host> show interfaces routing irb
    user@host> show interfaces extensive lo0.0

最大送信単位(MTU)の設定

cRPDはLinux MTU定義を使用しますが、MTU値はレイヤー3パケットサイズ(IPペイロード)のみを表し、イーサネットフレームオーバーヘッド(14バイトイーサネットヘッダー+4バイトFCS)は含まれません。これは、従来の Junos OS 実装とは異なります。MTUを設定する際には、適切なパケット伝送を確保するために、VLANタグによる追加オーバーヘッド(802.1Qタグあたり4バイト)を考慮してください。

cRPDはLinux MTU定義を使用しますが、MTU値はレイヤー3パケットサイズ(IPペイロード)のみを表し、イーサネットフレームオーバーヘッド(14バイトイーサネットヘッダー+4バイトFCS)は含まれません。これは、従来の Junos OS 実装とは異なります。MTUを設定する際には、適切なパケット伝送を確保するために、VLANタグによる追加オーバーヘッド(802.1Qタグあたり4バイト)を考慮してください。

メディアMTUを設定するには:

メディアMTUを設定します。
  1. 物理インターフェイス上の最大送信パケットサイズを設定します。
    user@host# set interfaces interface-name mtu packet size
  2. 論理インターフェイスで MTU パケット サイズを設定します。
    user@host# set interfaces interface-name unit logical-unit-number mtu packet size

    3. For example, to configure an MTU of 1500 bytes on interface eth1:

    user@host# set interfaces eth1 mtu 1500

    user@host# set interfaces eth1 unit 0 mtu 1500

    When using VLAN tagging, account for the 4-byte 802.1Q tag overhead. For a standard 1500-byte MTU with VLAN tagging, configure:

    user@host# set interfaces eth1 mtu 1504

    user@host# set interfaces eth1 unit 0 vlan-id 100

    user@host# set interfaces eth1 unit 0 mtu 1500

    This ensures the interface can accommodate the VLAN tag while maintaining a 1500-byte Layer 3 MTU.

関連項目

MACの設定

MACアドレスを設定するには:
[edit interfaces interface-name]階層レベルにmacステートメントを含めます。
user@host# set interfaces interface-name mac mac-address

MACアドレスは、 nnnn.nnnn.nnnn (例: 0011.2233.4455)または nn:nn:nn:nn:nn:nn (例: 00:11:22:33:44:55)のいずれかの形式で、16進数6バイトで指定します。

gRPCサービスを設定する

gRPCサービス用にネットワークデバイスを設定し、サーバー認証に使用するローカル証明書を指定するには、 gRPCサービスを有効にするを参照してください。

  1. gRPCサービスのSSLベースAPI接続設定に移動します。
  2. gRPCサービスに使用するポートを設定します。
  3. ローカル証明書を指定します。
  4. デバイスがgRPCセッションを終了せずに証明書をリロードできるようにします。
  5. (オプション)着信接続をリッスンするIPアドレスを指定します。
  6. (オプション)問題をデバッグするために、拡張サービスのトレースを設定します。
  7. 設定をコミットします。

TACACS+サーバーを設定する

TACACS+ サーバーを設定するには。

  1. TACACS+ アカウンティングを有効にします。
  2. 1つ以上のTACACS+アカウンティングサーバーのアドレスを設定します。

    次に例を示します。

  3. (オプション)TACACS+ アカウンティング要求の送信元アドレスを設定します。

    次に例を示します。

    送信元アドレスは、ルーターインターフェイスまたはスイッチインターフェイスのいずれかで構成された有効なIPv4アドレスまたはIPv6アドレスです。

  4. ネットワークデバイスがTACACS+ アカウンティングサーバーの認証に使用する共有シークレットパスワードを設定します。

    設定されたパスワードは、TACACS+ サーバーに設定されているパスワードと一致する必要があります。パスワードにスペースが含まれている場合は、引用符で囲んでください。デバイスは、パスワードを暗号化された値として設定データベースに保存します。

    次に例を示します。

  5. (オプション)アカウンティングパケットのTACACS+アカウンティングサーバーポートがデフォルト(49)と異なる場合は指定します。
  6. (オプション)デバイスがTACACS+ アカウンティングサーバーからの応答を待機する時間を設定します。

    デフォルトでは、デバイスは3秒間待機します。 timeout 値は1秒から90秒まで設定できます。

    例えば、サーバーからの応答を待つ場合、15秒間待つ場合:

  7. (オプション)複数のリクエストに対して1つのオープンTCP接続を使用するようにデバイスを設定します。試行のたびに新しい接続を開かないようにしてください。
  8. (オプション)特定のルーティングインスタンスを介してTACACS+アカウンティングパケットをルーティングするには、 routing-instance ステートメントを設定し、インスタンスを指定します。
    例:

MPLSの静的LSPの設定

MPLSは、IPアドレスを使用する代わりに、転送テーブルの代わりにラベルを使用してパケットをルーティングするプロトコルです。MPLSを設定するには、イングレスルーターとエグレスルーター上に1つ以上の名前付きパスを作成する必要があります。イングレス ルーターとegressルーターで静的LSPを設定する詳細については、静的LSPとstatic-label-switched-pathを設定するを参照してください

イングレスに静的LSPを設定するには、ラベルプロパティ next-hop、 push、および to が必要であり、その他のステートメントはオプションです。

transitステートメントを設定するには、ラベルプロパティnext-hopとpop | swapが必要です。残りのステートメントはオプションです。

bypass静的LSPを設定するには、ラベルプロパティnext-hop、push、およびtoが必要です。その他のステートメントはオプションです。

  1. ingressで静的LSPを設定します。
    [edit protocols mpls static-label-switched-path static-lsp-name]
    user@host# show protocols
  2. MPLSインターフェイスの状態を表示します。

    root@host:~# docker exec -it crpd01 cli

    root@host> show mpls interface

  3. 次のコマンドを実行して、ルーター上の MPLS LSP を表示します。

    root@host> show mpls lsp

インスタンスタイプの設定

仮想ルーティングおよび転送(VRF)デバイスを作成し、それを VRF テーブルにリンクするには、VRF に論理インターフェイスを割り当てます。[edit routing-instances routing-instance-name]階層レベルでインターフェイス名を含めます。接続されたルートとローカルルートは、VRFデバイスに関連付けられたテーブルに自動的に移動されます。

以下のインスタンスタイプを設定できます。

  • レイヤー3 VPNでは、各PEルーターに、VPN内でルートを配布するためのVPNルーティングおよび転送(VRF)テーブルが必要です。ルーター上にVRFテーブルを作成するには、 instance-type ステートメントを含め、値 vrfを指定します。 ルーティングインスタンスの設定を参照してください。

  • 仮想ルータールーティングインスタンスを有効にするには、 instance-type ステートメントを含め、 virtual-routerの値を指定します。 仮想ルーターの設定を参照してください。

  • プロトコル設定でレイヤー2ブリッジングをサポートするには、 instance-type ステートメントを含め、値 virtual-switchを指定します。 レイヤー2仮想スイッチの設定を参照してください。

  • それぞれが異なるEVPNサービスタイプをサポートできるタイプの複数の顧客固有のEVPNインスタンス(EVI)を設定するには、 instance-type ステートメントを含め、値 mac-vrfを指定します。

  • ルーティングインスタンスでイーサネットVPN(EVPN)仮想プライベートワイヤサービス(VPWS)を有効にし、 instance-type ステートメントを含め、値 evpn-vpwsを指定します。

  1. インスタンスタイプを作成し、インターフェイス上のルーティングインスタンスを設定します。

    [ルーティングインスタンスvpn1の編集]

    root@host# set instance-type vrf

    root@host# set interface ge-2/0/0.0

  2. レイヤー3 VPNルーティングインスタンスを設定します。

    [ルーティングインスタンスvpn1の編集]

    root@host# set vrf-target target:203:100

    root@host# set routing-options static route 203.0.113.1/24 discard

  3. ホストOS内のVRFのリストを表示するには、次のコマンドを実行します。

    root@host:~# show routing-instances

    VRFインスタンスは、1つ以上のルーティングテーブル、派生した転送テーブル、転送テーブルを使用するインターフェイス、および転送テーブルに入るものを決定するポリシーとルーティングプロトコルで構成されます。各インスタンスは特定のVPN用に設定されているため、各VPNには、その運用を制御する個別のテーブル、ルール、ポリシーがあります。ルーターに接続しているVPNごとに個別のVRFテーブルが作成されます。VRF テーブルには、VRF インスタンスに関連付けられた直接接続されたサイトから受信したルートと、同じ VPN 内の他のルーターから受信したルートが入力されます。

    VRFテーブルは、デバイス上のプロバイダールートと異なる顧客ルートと顧客ルートを区別します。ポリシーの設定については、 VRFテーブルのポリシーの設定を参照してください。

ルーティングインスタンスへのIPアドレスの割り当て

階層レベルで各VRFまたは仮想ルータールーティングインスタンスにIPアドレスを関連付けるには、 論理ユニットの設定を参照してください [edit interfaces lo0 unit unit-number family inet]。

VRF のルートの表示

VRF のルートを表示するには:

以下のコマンドを実行して、VRFデバイスに関連付けられたIPv6ルートテーブルを表示します。

root@host> show route

ファイアウォールフィルターの設定

ファイアウォールは、事前定義されたセキュリティルールに基づいてデバイス間またはネットワーク間のデータフローを監視および制御するネットワークセキュリティシステムです。ファイアウォールの主な目的は、信頼できる内部ネットワークと信頼できない外部ネットワークの間のバリアとして機能し、不正アクセス、データ侵害、その他のサイバー脅威を防ぐことです。

ファイアウォールは、パケット、接続状態、アプリケーション層レベルなど、さまざまなレベルでネットワークトラフィックを検査し、ユーザーが設定した一連のルールに基づいて通信を許可、ブロック、拒否するかどうかを決定します。

cRPDはファイアウォール機能をサポートし、ネットワークセキュリティとネットワーク管理を強化します。cRPD CLIは、 firewall ステートメント内で限定された設定階層を提供します。 デバイスインターフェイスでの入出力トラフィックがファイアウォールフィルターに関連付けられている場合、cRPDインターフェイスに出入りするパケットを評価します。

制御したいトラフィックの種類に応じて、inet、 inet6、 bridgeの異なるプロトコルファミリーのファイアウォールフィルターを定義できます。ステートレスファイアウォールフィルターには1つ以上の条件が含まれ、各条件には2つの重要なコンポーネント(一致条件と対応するアクション)が含まれます。

インターフェイスにファイアウォールフィルターを設定するには:

  1. 物理インターフェイスにファイアウォールフィルターを作成します。

    [編集]

    user@host# set firewall family (inet | inet6 | bridge) filter filter-name term term-name

  2. 特定のプロトコルファミリーの論理インターフェイスにファイアウォールフィルターを設定します。

    [編集]

    user@host# set interfaces interface-name unit logical-unit-number family (inet | inet6 | bridge) filter (input | output) filter-name

関連項目

ポートミラーリングの設定

cRPDは、1つ以上の送信元インターフェイスから完全なパケットを複製し、監視と分析のために指定された宛先インターフェイスに転送するポートミラーリング機能をサポートしています。

ポートミラーリングを使用して、指定されたインターフェイスから別のインターフェイスにトラフィックを複製して検査することができ、監視アクティビティがライブトラフィック転送に干渉しないようにすることができます。

cRPDでは、 family ステートメントが inet または inet6に設定されているポートミラーリング設定を使用します。

firewall filterを設定して、ミラーリングするパケットを選択し、ポートミラーリングインスタンスにサンプルを送信するポリシーを確立します。インスタンスを使用すると、パケットを異なる宛先にミラーリングし、インスタンスごとに異なるサンプリングパラメーターを使用できます。

ポートミラーリングを使用してルーティングされたパケットをミラーリングするには:

  1. ポートミラーリングインスタンスとアドレスファミリーを設定します。

    [編集]

    user@host# set forwarding-options port-mirroring instance instance-name family (inet | inet6)

  2. 重複したパケットを送信するインターフェイスと、パケットを転送するネクストホップアドレスを指定します。

    [編集]

    user@host# set forwarding-options port-mirroring instance instance-name family (inet | inet6) output interface interface-name next-hop address

  3. rateとrun-lengthの値を設定してサンプリングレートを指定します。

    [編集]

    user@host# set forwarding-options port-mirroring instance instance-name family (inet | inet6) input maximum-packet-length bytes rate number run-length number

関連項目

ポリサーの設定

cRPDは、トラフィックポリサーをサポートして、ネットワークに入るトラフィックを測定および制御します。ポリシングは、トラフィック制限を設定し、ネットワークの耐障害性を確保し、悪意のある攻撃時のサービスの可用性を維持することで、DDoS 攻撃から保護するメカニズムを提供します。

ポリサーを設定し、inet、inet6、またはブリッジプロトコルファミリー上のプロトコルファミリーでファイアウォールフィルターポリサーとして適用することができます。

短時間のトラフィックのバーストを許可するには、ネットワークトラフィックの bandwidth-limit パラメーターと burst-size-limit パラメーターを設定する必要があります。

トラフィックポリサーは、 pps-limit および packet-burst ステートメントとともにパケット数/秒(pps)を使用して定義できます。 pps-limit の測定単位はパケット数/秒(pps)であり、 packet-burst の測定単位はパケットです。

帯域幅制限パラメーターは、トラフィックに適用される平均レート制限を決定するために使用され、バーストサイズパラメーターは、短時間のトラフィックバースト(構成された帯域幅制限を超える平均レートでのバックツーバックトラフィック)を許可するために使用されます。

ポリサーを設定するには:

  1. トラフィックを帯域幅とバーストサイズにレート制限するようにポリサーを設定します。

    user@host# set firewall policer policer-name if-exceeding bandwidth-limit

    user@host# set firewall policer policer-name if-exceeding burst-size-limit

  2. プロトコルファミリーレベルで設定したポリサーを使用して、ファイアウォールアクションを設定します。例えば、inetファミリーの場合です。

    [ファイアウォールの編集]

    user@host# set family inet filter filter-name term term-name then policer policer-name

関連項目