インターフェイススコープTCP認証

BGP番号なしピアリングを展開すると、ルーターはIPv6ネイバーディスカバリープロトコル(NDP)を使用してネイバーを自動的に検出し、IPv6リンクローカルアドレスを介してセッションを確立します。ピアのIPアドレスに関係なく、認証キーを論理インターフェイスに直接関連付けることで、これらの動的に検出されたピアに対してインターフェイススコープのTCP認証(MD5、TCP-AO、キーチェーン認証)を有効にすることができます。

ルーターは、番号なしピアリングを介してIPv6 BGPリンクローカルアドレスを使用してBGPセッションを確立するため、各ポイントツーポイントインターフェイスに固有のIPアドレスを割り当てる必要がありません。このアプローチによりネットワーク設定は簡素化されますが、ピアのIPアドレスまたはIPプレフィックスを事前に把握することに依存する従来のTCP認証メカニズムには課題が生じます。インターフェイススコープの認証アプローチでは、認証キーを論理インターフェイスに直接関連付けます。この設定により、設定されたインターフェイス上で開始されるBGPセッションは、ピアのIPアドレスに関係なく、そのインターフェイスに割り当てられた認証キーを使用します。

[edit protocols bgp group group-name dynamic-neighbor dyn-name]階層の下にあるBGP番号のないピアに対して認証を設定できます。

• 認証アルゴリズム:使用する認証アルゴリズムを指定します。サポートされているアルゴリズムは、 aes-128-cmac-96、 ao、 hmac-sha-1-96、および md5です。
• 認証キー: TCP-MD5 認証キーを定義します。
• 認証-key-chain: TCP-AOまたはTCPキーチェーン認証に使用する認証キーチェーンを指定します。
  注:認証アルゴリズムが指定されている場合は、キーチェーンで設定する必要があり、キーと一緒に使用することはできません。

また、インターフェイススコープの認証を使用して、BGP番号なしピアセッションを実装するノンストップアクティブルーティング(NSR)もサポートしています。NSRは、ルーティングエンジンのスイッチオーバー全体でプロトコルの状態を維持することで、コントロールプレーンのフェイルオーバー中にBGPセッションが中断されないようにします。NSRは、インターフェイススコープの認証と組み合わせることで、システム移行中でも認証された状態を維持するために、番号なしのインターフェイス上で確立したBGPセッションを可能にします。これは、セキュアで永続的なルーティングセッションを維持することが重要な高可用性環境では特に重要です。

BGP番号なしピアリングのメリット

• BGP番号なしセッションの認証を有効にして、セキュアなBGPピアリングを確立します。

制限事項

• 確立された BGP セッションの TCP MD5 鍵を変更すると、セッションがフラップしたり再起動したりする可能性があります。

• この機能は、対称ルーティングシナリオにおけるシングルホップ接続に限定されます。

インターフェイススコープのTCP認証でBGP番号なしセッションを有効にするには、 [edit protocols bgp group name dynamic-neighbor name] 階層下で以下のオプションを設定します。

アクション

BGP認証に関する以下の設定シナリオを考えてみましょう。

• ユースケース1: デフォルトのルーティングインスタンスでインターフェイススコープのTCP-MD5で認証されたBGP番号なしセッション
• ユースケース2: デフォルトルーティングインスタンスでのインターフェイススコープTCP-MD5認証およびインターフェイス範囲設定によるBGP番号なしセッション(Junos EVOのみ)
• ユースケース3: デフォルト以外のルーティングインスタンスの下でインターフェイススコープのTCP-MD5で認証されたBGP番号なしセッション
• ユースケース4: インターフェイススコープのTCP-AO認証で認証されたBGP番号なしセッション認証
• ユースケース5: BGP デフォルトのルーティングインスタンスの下で、インターフェイススコープキーチェーン認証で認証された番号なしセッション

検証

show bgp neighborコマンドを使用して、BGP番号なしピアのインターフェイススコープ認証を検証します。

出力

この出力例では、2つのBGPピアについて、検証済みのインターフェイススコープ認証キーチェーンとアルゴリズムが表示されます。