高度なポリシーベースルーティング

高度なポリシーベースルーティング

ネットワーク上を行き来する音声、データ、映像のトラフィックとアプリケーションの絶え間ない増加に伴い、ネットワークはトラフィックタイプを認識して、パフォーマンスや可用性を損なうことなく、トラフィックの優先度設定、分離、ルーティングを効果的に行う必要があります。

Junos OS リリース 15.1X49-D60 以降、SRXシリーズファイアウォールは、これらの課題に対処するために高度なポリシーベースのルーティング(APBR)をサポートしています。

高度なポリシーベースルーティングは、セッションベースのアプリケーション認識型ルーティングの一種です。このメカニズムは、ポリシーベースのルーティングとアプリケーション認識型のトラフィック管理ソリューションを組み合わせたものです。APBRは、アプリケーションの属性に基づいてフローを分類し、これらの属性に基づいてフィルターを適用してトラフィックをリダイレクトすることを意味します。フロー分類メカニズムは、使用中のアプリケーションを表すパケットに基づいています。

APBRは以下を実装します。

• AppIDのディープパケットインスペクションとパターンマッチング機能により、アプリケーショントラフィックやアプリケーション内のユーザーセッションを特定

• アプリケーション タイプと、一致ルールに対応するIP アドレス、宛先ポート、プロトコル タイプ、およびサービスの ASC での検索

一致するルールが見つかった場合、トラフィックは適切なルートと対応するインターフェイスまたはデバイスに送信されます。

APBRのメリット

• アプリケーションに基づいてルーティング動作を定義できます。

• より柔軟なトラフィック処理機能を提供し、アプリケーションの属性に基づいてパケット転送をきめ細かく制御します。

APBRの仕組みについて

APBRの動作について説明する前に、APBRコンポーネントについて理解しましょう。

• APBRプロファイル(このドキュメントでは、アプリケーションプロファイルとも呼ばれます)を作成します。プロファイルには複数のAPBRルールが含まれています。各ルールには、一致条件として複数のアプリケーションまたはアプリケーショングループが含まれています。トラフィックがルールのアプリケーションまたはアプリケーション グループのいずれかに一致する場合、ルールは一致していると見なされ、プロファイルはアプリケーション トラフィックを関連するルーティング インスタンスに誘導します。

• APBRプロファイルは、ルーティング インスタンスをAPBRルールに関連付けます。トラフィックがアプリケーション プロファイルに一致する場合、ルーティング インスタンスで定義された関連する静的ルートとネクスト ホップを使用して、特定のセッションのトラフィックをルーティングします。

• アプリケーション プロファイルをイングレス トラフィックに関連付けます。APBRプロファイルをAPBRポリシーに添付して、セッションのアプリケーションサービスとして適用できます。

次に、APBRワークフローの理解を進め、次にAPBRミッドストリームサポート、そしてAPBRの最初のパケット分類について説明します。

APBRワークフロー

図1 は、Junos OS リリース21.3R1より前のAPBRの動作をまとめたものです。

図1:APBRの動作

セキュリティデバイスは、DPIを使用してアプリケーションの属性を識別し、APBRを使用してネットワーク経由でトラフィックをルーティングします。サービスチェーンでは、デバイスがABPRを適用する前に、アプリケーショントラフィックにDPIが発生します。DPIを使用してアプリケーションを特定するプロセスでは、複数のパケットを分析する必要があります。このような場合、最初のトラフィックはデフォルトルート(非APBRルート)を通過して宛先に到達します。プロセスは続行され、DPI はアプリケーションを識別します。DPIがアプリケーションを識別すると、APBRはセッションの残りの部分にルールを適用します。トラフィックは、APBRプロファイルルールに従ってルートを通過します。

ソースNATに異なるNATプールを使用し、ミッドストリームAPBRを適用した場合、セッションの送信元IPアドレスは、ミッドストリームAPBRの前にセッションが使用していたものと同じままです。

• APBRミッドストリームサポート
• 最初のパケット分類を使用したAPBR
• 最初のパケット分類の利点
• 制限

Junos OS リリース 21.3R1 以降、APBR は最初のパケット分類を使用してネットワーク トラフィック内のアプリケーションを識別します。APBRは、トラフィックフローの最初のパケットを調べることでアプリケーションを識別し、次にアプリケーション固有のルールを適用してトラフィックを転送します。

図2 は、APBRが最初のパケット分類を使用してアプリケーションの詳細を取得する方法を示しています。

図2:ファーストパケット分類を使用したAPBR

最初のパケット分類は、静的IPマッピングやアプリケーションのポート詳細などの詳細を含むリポジトリを利用します。リポジトリは、アプリケーション署名パッケージ (JDPI) の一部です。

キャッシュ可能なアプリケーションの最初のセッションの場合、APBRはASCにクエリーを実行して、フローのアプリケーションの詳細を取得します。アプリケーションのエントリがASCで使用できない場合、APBRはJDPIにアプリケーションの詳細を照会します。APBRは、クエリのフローのIPアドレスとポートの詳細を使用します。アプリケーションマッピングが使用可能な場合、JDPIは詳細をAPBRに返します。アプリケーションの詳細を取得した後、APBRはアプリケーションの設定済みプロファイルを検索し、割り当てられたルーティング インスタンスを介してパケットをルーティングします。

同時に、JDPIはパケットの処理を続行し、ASCを更新します(有効な場合)。後続のフローでは、APBRはフローのASCに存在するアプリケーションエントリに基づいてトラフィックのルーティングを実行します。

最初のパケット分類では、キャッシュ可能なアプリケーションのAPBR設定のソースNATに異なるNATプールを使用できます。

高度なポリシーベースルーティングオプション

以下のオプションを使用することで、APBRでトラフィック処理を効率化できます。

• Limit route change- 一部のセッションでは、アプリケーションのシグネチャがアプリケーションを識別するため、セッションの途中で継続的に分類されます。アプリケーションがアプリケーションシグネチャによって識別されるたびにAPBRが適用され、これによりトラフィックのルートが変更されます。tunables ステートメントの max-route-change オプションを使用して、セッションのルートを変更できる回数を制限できます。

  set security advance-policy-based-routing tunables max-route-change value

  例：

  この例では、セッションごとのルート変更回数を5回に制限します。セッションの途中でルートに変更があった場合、このカウントは 4 に減少します。このプロセスは、カウントが 0 に達するまで続きます。その後、セッションの途中ではAPBRは適用されません。

  識別されたアプリケーションにASCにエントリーがある場合、セッションはAPBR設定に従って指定されたルートで開始されるため、そのセッションのカウントは減少しません。

• Terminate session if APBR is bypassed–セッションの途中でAPBRが適用されているときにゾーン間に不一致がある場合、セッションを終了できます。セッションの途中でAPBRを適用する場合は、新しいegressインターフェイスと既存のegressインターフェイスの両方が同じゾーンの一部である必要があります。セッションの途中でインターフェイスのゾーンを変更した場合、デフォルトではAPBRは適用されず、トラフィックは既存のインターフェイスを通過し続けます。このデフォルトの動作を変更するには、tunablesステートメントのdrop-on-zone-mismatchオプションを使用して、APBRを迂回して同じルートを通過するトラフィックを許可する代わりに、セッションを完全に終了させることができます。

  例：

• Enable logging—ロギングを有効にして、デバイス上で発生するイベントを記録できます。たとえば、インターフェイスのゾーンが変更されたためにAPBRがバイパスされた場合などです。tunables ステートメントの enable-logging オプションを使用して、ログを設定できます。

  例：

• Enable reverse reroute—ECMP ルートのトラフィックの対称性が必要で、セッションの途中で受信トラフィックを切り替える必要がある導入では、次のようにセキュリティ ゾーンに固有の enable reverse-reroute オプションを使用して、再ルーティングを実行できます。

  例：

  [edit]

  set security zones security-zone zone-name enable-reverse-reroute

  着信パケットがインターフェイスに到着し、異なる発信/リターンインターフェイスを持つセキュリティゾーンに対して上記の設定が有効になっている場合、インターフェイスの変更が検出され、再ルートがトリガーされます。リバースパスのルート検索が実行され、パケットが到着したインターフェイスが優先されます。

  リバースパスのトラフィックのルート検索が失敗すると、特定のセッションの以降の処理は停止します。

  リバース再ルーティングのサポートは、Junos OS リリース 15.1X49-D130 以降のリリースで利用可能です。

• Support for Layer 3 and Layer 4 Applications—Junos OS リリース 20.2R1 以降、APBR はレイヤー 3 およびレイヤー 4 のカスタム アプリケーションをサポートします。次の設定ステートメントを使用して、APBRでレイヤー3およびレイヤー4のカスタムアプリケーションルックアップを手動で無効にできます。
• Application Tracking—

  AppTrack を有効にして、指定したゾーンのアプリケーション フローのトラフィックを検査し、統計を収集できます。詳細については、「 アプリケーショントラッキングについて 」を参照してください。

ユースケース

• 複数のISPリンクを使用する場合:

  • APBRは、複数のリンクが使用可能な場合に、重要なアプリケーションの広帯域で低レイテンシなリンクを選択するために使用できます。

  • APBRは、リンク障害が発生した場合に、重要なトラフィックのフォールバックリンクを作成するために使用できます。複数のリンクが使用可能で、重要なアプリケーショントラフィックを伝送するメインリンクが停止した場合、フォールバックリンクとして設定されたもう一方のリンクを使用してトラフィックを伝送できます。

  • APBRは、ディープインスペクションや分析用のトラフィックの分離に使用できます。この機能を使用すると、ディープインスペクションと監査を受ける必要があるアプリケーションに基づいてトラフィックを分類できます。必要に応じて、このようなトラフィックを別のデバイスにルーティングできます。

制限

APBRには以下の制限があります。

• トラフィックのルートのリダイレクトは、アプリケーションシステムキャッシュ(ASC)内のエントリの存在によって異なります。ルーティングは、ASC 検索が成功した場合にのみ成功します。最初のセッションでは、トラフィックにASCが存在しない場合、トラフィックはデフォルトルート(非APBRルート)を経由して宛先に向かいます(この制限はJunos OS 15.1X49-D110より前のリリースにのみ適用されます)。

• アプリケーション署名パッケージがインストールされていない場合、またはアプリケーション識別が有効になっていない場合、APBRは機能しません。

ミッドストリームをサポートするAPBRには、以下の制限があります。

• APBRは転送トラフィックに対してのみ機能します。

• APBRは、アクティブなFTPなど、制御セッションのエンティティによって開始されたデータセッションでは機能しません。

• 送信元NATとミッドストリームAPBRに異なるNATプールを使用する場合、セッションの送信元IPアドレスは、ミッドストリームAPBRを適用する前にセッションで使用されていたIPアドレスと同じであり続けます。

• ミッドストリームをサポートするAPBRは、すべてのegressインターフェイスが同じゾーンにある場合にのみ機能します。このため、APBRミッドストリームサポートを利用することができるのは、転送および仮想ルーティングおよび転送(VRF)ルーティングインスタンスのみです。

APBRポリシーの仕組み

APBRポリシーは、セキュリティゾーンに対して定義されます。ゾーンに1つ以上のAPBRポリシーが関連付けられている場合、セキュリティゾーンから開始されたセッションはポリシーの一致を通過します。

次のシーケンスは、APBRポリシーによってトラフィックを照合し、定義されたパラメータ/ルールに基づいて、高度なポリシーベースルーティングを適用してトラフィックを転送することに関与します。

• トラフィックがイングレスゾーンに到着すると、APBRポリシールールと照合されます。ポリシー一致条件には、送信元アドレス、宛先アドレス、アプリケーションが含まれます。

• トラフィックがセキュリティポリシールールに一致すると、APBRポリシーのアクションがトラフィックに適用されます。APBRプロファイル名を指定することで、APBRポリシーアクションでAPBRをアプリケーションサービスとして有効にできます。

• APBRプロファイル設定には、動的アプリケーションとdyamicアプリケーショングループのセットを一致条件として含むルールセットが含まれています。これらのルールのアクション部分には、トラフィックを転送する必要があるルーティング インスタンスが含まれています。ルーティング インスタンスには、静的ルーティングまたは動的学習ルートの設定を含めることができます。

• 静的ルート宛てのすべてのトラフィックは、特定のデバイスまたはインターフェイスへのトランジットのためにネクストホップアドレスに送信されます。

APBRポリシールールは終端的です。つまり、トラフィックがポリシーに一致すると、他のポリシーではそれ以上処理されません。

APBRポリシーに一致するトラフィックがあり、APBRプロファイルにルールに一致するトラフィックがない場合、APBRポリシーに一致するトラフィックは、デフォルトのルーティングインスタンス[inet0]を通過して宛先に到達します。

レガシーAPBRプロファイルのサポート

Junos OS リリース 18.2R1 より前は、APBR プロファイルはセキュリティ ゾーン レベルで適用されていました。APBRポリシーのサポートにより、セキュリティゾーンレベルでのAPBR設定は、後方互換性と設定を新しい設定に準拠させる機会を提供するために、すぐに削除されるのではなく、将来非推奨となります。

ただし、ゾーンベースのAPBRを設定している場合に、特定のセキュリティゾーンにAPBRポリシーを追加しようとすると、コミットが失敗する可能性があります。ゾーンのAPBRポリシーを設定するには、ゾーンベースの設定を削除する必要があります。同様に、APBRポリシーがセキュリティゾーンに設定されている場合に、ゾーンベースのAPBRを設定しようとすると、コミットエラーが発生します。

制約

• 特定のアドレスまたはAPBRポリシールールで設定されたアドレスを使用する場合は、グローバルアドレス帳の使用を推奨します。ポリシー評価時に宛先ゾーンがわからないため、ゾーン固有のルールが宛先アドレスに適用されない可能性があるためです。

• セキュリティゾーンjunos-hostゾーンのAPBRポリシーの設定はサポートされていません。

APBRプロファイルでのルール処理

アプリケーションの属性に基づいてトラフィックを分類し、これらの属性に基づいてポリシーを適用してトラフィックをリダイレクトすることで、高度なポリシーベースのルーティングを提供できます。これを行うには、APBRプロファイルを定義し、APBRポリシーに関連付ける必要があります。APBRプロファイルを作成して、動的アプリケーション、アプリケーショングループ、またはその両方、またはURLカテゴリを一致条件とする複数のルールを含めることができます。APBRプロファイルで設定されるルールには、次のいずれかを含めることができます。

• 1 つ以上のアプリケーション、動的アプリケーション、またはアプリケーション グループ

• URLカテゴリ(IP 宛先アドレス)—EWF またはローカル Webフィルタリング。

APBRプロファイルでは、両方の一致条件に対してルール検索が実行されます。使用可能な一致条件が 1 つしかない場合、ルール ルックアップは使用可能な一致条件に基づいて実行されます。

APBRプロファイルには、トラフィックをアプリケーションまたはURLカテゴリと照合するルールと、ルート検索のために指定されたルーティング インスタンスに一致するトラフィックをリダイレクトするアクションが含まれています。

Junos OSリリース18.3R1では、URLカテゴリ一致はIP アドレスに基づいて行われます。このため、URLカテゴリ ベースのルール一致は、セッションの最初のパケットで終了します。動的アプリケーションはセッションの途中で識別される可能性があるため、動的アプリケーション ルールの照合プロセスは、アプリケーション識別プロセスが完了するまで続行されます。

URL カテゴリベースルーティングの利点

• URL ベースのカテゴリを使用すると、Web トラフィックをきめ細かく制御できます。特定のカテゴリのWebサイトに属するトラフィックは、さまざまなパスを介してリダイレクトされ、カテゴリに基づいて、HTTPSトラフィックのSSL復号化など、さらなるセキュリティ処理の対象となります。

• URLカテゴリに基づくトラフィック処理機能により、選択したWebサイトに異なるパスを使用できます。異なるパスを使用することで、体感品質(QoE)が向上し、利用可能な帯域幅を効果的に活用できるようになります。

• SD-WAN ソリューションでは、動的なアプリケーションベースのルーティングに加えて、URLカテゴリベースのルーティングを活用できます。

• URLカテゴリベースのルーティングは、ソースNAT設定の変更と連携できるため、ローカルインターネットブレークアウトソリューションに使用できます。

URL カテゴリベース ルーティングの制限

APBRプロファイルでのURLカテゴリの使用には、以下の制限があります。

• IP アドレスのみがAPBRプロファイルのURLカテゴリ識別に使用されます。ホスト、URL、または SNI フィールドに基づく URL カテゴリはサポートされていません。

• 動的アプリケーションまたはURLカテゴリのいずれかをAPBRプロファイルルールの一致条件として設定できます。URLカテゴリと動的アプリケーションの両方でルールを設定すると、コミットエラーが発生します。

利点

• ネットワークを通過するアプリケーション トラフィックにポリシーを安全に適用できるように、ルーティング動作をより詳細に定義できます。

• より柔軟なトラフィック処理機能を提供し、ユーザーの役割とビジネス要件に基づいてパケット転送をきめ細かく制御します。

紹介

アプリケーション識別技術は、ディープパケットインスペクション(DPI)に依存しています。encrypted traffic など、DPI エンジンがアプリケーションを識別できない場合があります。このようなトラフィックにAPBRルールを適用すると、トラフィックはAPBR機能が適用されていない状態で通常の処理が行われます。

Junos OSリリース19.3R1以降、SRXシリーズファイアウォールは、DSCPタグ付きトラフィックでAPBR機能を実行するための一致条件として、APBRルールのDSCP値の設定をサポートしています。

動的アプリケーション、動的アプリケーショングループなど、APBRルールの他のポリシーの一致基準を定義に加えて、DSCP値を設定できます。

APBRルールでDSCP値を設定することで、APBRサービスをDSCPマーキングのあるトラフィックに拡張できます。

ユースケース

encrypted trafficの一致条件としてDSCPのAPBRルールを使用できます。

制約

• 1つのAPBRプロファイルでDSCP値とURLカテゴリを使用してルールを設定する場合は、サポートされません。

DSCP値を一致条件として使用する場合のAPBRルールルックアップ

APBRルールでは、DSCP値、動的アプリケーション、またはその両方の組み合わせを設定できます。

APBRルールでDSCPと動的アプリケーションの両方を設定した場合、トラフィックがルールで指定されたすべての基準に一致すると、ルールは一致したと見なされます。APBRルールに複数のDSCP値が存在する場合、1つの基準が一致すると、一致と見なされます。

APBRプロファイルには複数のルールを含めることができ、各ルールにはさまざまな一致条件があります。

APBRプロファイルに複数のAPBRルールがある場合、ルール検索では次の優先順位が使用されます。

1. DSCP + 動的アプリケーションによるルール

2. 動的アプリケーションによるルール

3. DSCP値を持つルール

APBRプロファイルに複数のルールが含まれている場合、システムはルール検索を実行し、次の順序でルールを適用します。

• システムは、セッションの最初のパケットに DSCP ベースのルールを適用します。

• システムは、DPI 分類またはアプリケーション システム キャッシュ (ASC) から使用可能なアプリケーション情報があるかどうかを引き続きチェックします。

• セッションの途中で、DPI が新しいアプリケーションを識別すると、システムはルール ルックアップを実行し、必要に応じて新しいルール(アプリケーションベースのルールまたは DSCP ベースのルール、またはその両方の組み合わせ)を適用します。

• アプリケーションとルールの識別のルックアップは、DPIがアプリケーションを最終アプリケーションとして識別するか、リルートの最大値に達するまで続行されます。

• ルール検索がどのルールにも一致しない場合、それ以上のアクションは実行されません。

次の2つの例を使用して、APBRがルール検索を実行し、ルールを適用する方法を理解できます。

• 例1
• 例2

構成

• CLIクイック構成
• 手順
• 業績

ミッドストリーム ルーティングを選択的に無効化する必要がある理由

セッションの中には、アプリケーション シグネチャによってアプリケーションを識別するため、セッションの途中で継続的に分類されるものもあります。アプリケーションがアプリケーションシグネチャによって識別されるたびにAPBRが適用され、これによりトラフィックのルートが変更されます。 max-route-change オプションを使用して、セッションでルートを変更できる回数を制限できます。このオプションを0に設定すると、特定のセッションでAPBRが無効になります。ただし、このオプションでは、デバイスでAPBR機能がグローバルに無効になりますが、これは必須ではない場合があります。

ミッドストリームでのAPBRの選択的無効化

Junos OS リリース 19.4R1 以降では、特定の APBR ルールのセッションの途中で APBR サービスを選択的にオフにし、残りのセッションではグローバルな APBR 機能を維持できるようになりました。特定のAPBRルールでミッドストリームルーティングを無効にすると、システムは対応するアプリケーショントラフィックにミッドストリームAPBRを適用せず、非APBRルートを介してトラフィックをルーティングします。

ミッドストリームAPBRを選択的に無効にするには、[edit security advance-policy-based-routing profile apbr-profile-name rule apbr-rule-name]階層レベルでミッドストリームルーティングを無効にするオプション(disable-midstream-routing)を使用してAPBRルールを設定します。

表7 は、選択的に無効にするミッドストリームAPBRオプションの動作を示しています。

特定のAPBRルールのミッドストリームルーティングを無効にすると、アプリケーショントラフィックがデフォルトの非APBRルートを介して再ルーティングされます。