Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

GBP処理

GBP処理には、タグ割り当て、パケット分類、ポリシー適用が含まれます。

GBPタグの割り当て

GBPタグは、CLIを使用して静的に割り当てるか、RADIUS認証を使用して動的に割り当てます。

タグ割り当てとは、ユーザーとそのグループ間のマッピングを設定し、このマッピングをMACアドレステーブルと内部データ構造にプログラミングすることを指します。グループメンバーシップ自体は設定しないことに注意してください。同じタグ割り当てを持つ異なるユーザーは、暗黙的に同じグループに属します。

タグ割り当ては、CLIを介して静的に設定することも、RADIUS認証を介して動的に設定することもできます。RADIUS 認証によるタグ割り当ては、最大の柔軟性が得られるため、推奨されるアプローチです。

  • CLIを使用してタグ割り当てを静的に設定する場合、ユーザーとGBPタグの間、より正確には、そのユーザーのプロキシ(MACアドレスやIPアドレスなど)とGBPタグ間のマッピングが作成されます。特にユーザー数が多い場合に、このアプローチの手間を軽減するために、インターフェイスから個々のMACアドレスまで、さまざまなレベルでタグ割り当てを柔軟に設定できます。例えば、同じインターフェイスに接続しているすべてのユーザーに同じタグを割り当てたい場合、そのインターフェイスのタグが直接接続されているすべてのユーザーに適用されるように設定します。一方、特定のユーザーに特定のタグを割り当てたい場合は、MACまたはIPアドレスに基づいてタグの割り当てを設定します。

    静的 CLI 構成の欠点は、ユーザーに関する先験的な知識 (ユーザーの接続場所、MAC または IP アドレスなど) が必要になることです。また、ユーザーが将来場所やデバイスを変更した場合に備えて、このマッピングを再設定する必要があります。

    例えば、John という名前のユーザーに GBP タグ 10 を設定し、そのユーザーのプロキシとしてその MACアドレスを使用したいとします。この場合、GBPタグ10にマッピングする前に、JohnのMACアドレスを知る必要があります。このマッピングを設定すると、GBP対応スイッチは、データプレーン処理用のMACアドレステーブルと内部データ構造にそれをプログラムできます。ジョンがデバイスを別のMACアドレスに変更した場合、このマッピングを手動で再設定する必要があります。

    使い慣れたファイアウォールCLIステートメントを活用してタグ割り当てを設定します。具体的には、特定の基準(例えば、MACアドレスが一致する)が満たされた場合に特定のGBPタグを設定するファイアウォールフィルターを作成します。通常のファイアウォールフィルターとタグ割り当てファイアウォールフィルターを区別するために、マイクロセグメンテーションに特化した新しいタイプのフィルターを導入します。

  • RADIUS 認証を使用してタグ割り当てを動的に設定する場合、ユーザーのネットワーク設定に関する事前の知識は必要ありません。ユーザーを認証する際に、目的のGBPタグを提供するようにRADIUSを設定するだけです。

    上記の例では、ジョンがRADIUSサーバーで認証を行うと、GBPタグ10が提供されます。ジョンのMACアドレスを特定する必要はまったくありません。GBP対応スイッチは認証として機能し、ジョンのMACアドレスと提供されたGBPタグの両方を認証交換の一部として認識します。したがって、スイッチは、CLIの介入を必要とせずに、このマッピングをMACアドレステーブルと内部データ構造に直接プログラムできます。ジョンがデバイスを変更した場合、ジョンはRADIUSサーバーで再認証を行い、GBP対応スイッチは、新しい関連付けでMACアドレステーブルと内部データ構造を自動的に再プログラムします。

    Mist APに接続する際の無線ユーザーでも、RADIUSを使用したタグ割り当てがサポートされています。この場合、Mist APが認証として機能し、ユーザーのMACアドレスとGBPタグ間のマッピングを認識します。この情報を利用して、Mist APは、独自のメッセージングを使用して、アップストリームのGBP対応スイッチにこのマッピングを通知します。この通知を受信すると、GBP対応スイッチは、新しいマッピングでMACアドレステーブルと内部データ構造をプログラムします。

注:

RADIUSを使用して、直接接続された有線ユーザーに対してタグ割り当てを動的に設定する場合、GBP対応スイッチは、RADIUSの設定方法に応じてMACまたはインターフェイスベースの割り当てを作成します。

RADIUSを使用して、Mist APに接続された無線ユーザーのタグ割り当てを動的に設定すると、GBP対応スイッチがMACベースの割り当てを作成します。

CLIを使用してタグ割り当てを静的に設定する場合、要件に合わせてさまざまなタイプの割り当てを設定できます。これにより、状況によっては必要な設定の量が減る可能性があります。

CLI を使用した GBP タグの割り当て

CLIを使用してGBPタグを割り当てるには、マイクロセグメンテーションフィルターと呼ばれる特殊なタイプのファイアウォールフィルターを使用します。通常のファイアウォールフィルターと同様に、一致条件と後続のアクションを指定します。

マイクロセグメンテーションフィルターでは、サポートされている一致条件を 表1 に示し、サポートされている唯一のアクションはGBPタグの割り当てです。

表1:一致条件(Junos OSリリース22.4R1以降)
一致条件 説明

ip-version ipv4 address <ip address> | prefix-list <prefix-list>

ip-version ipv6 address <ip address> | prefix-list <prefix-list>

 IPv4/IPv6アドレス/プレフィックスリストに一致します。この一致は、接続されたクライアントからアクセス リンクに到着するパケットの送信元 IP アドレスに適用されます。 IPアドレスでの照合例を参照してください。
注:IPアドレスでの照合は、純粋なレイヤー2の導入ではサポートされていません。
注:

IPv4とIPv6の一致条件を同じフィルターに共存させることはできません。
注:

構文と動作は、プラットフォームによって異なる場合があります。 表2をご覧ください。

mac-address <mac address>

 一致する MACアドレス。この一致は、接続されたクライアントからアクセスリンクに到着するパケットの送信元MACアドレスに適用されます。 MACアドレスでの照合例を参照してください。

interface <interface_name>

 インターフェイス名に一致します。この一致は、指定されたインターフェイスに到着するパケットに適用されます。 インターフェイスでのマッチングの例を参照してください。
注:

インターフェイスでの一致は、すべてのプラットフォームでサポートされているわけではありません。 表2をご覧ください。

vlan-id <vlan id> | [<vlan_list>] | <vlan_range>

 VLAN IDを一致させます。この一致は、指定されたVLAN IDに到着するパケットに適用されます。 VLANでのマッチングの例を参照してください。
注:

VLAN IDでの照合は、すべてのプラットフォームでサポートされているわけではありません。 表2をご覧ください。

です。

ポリシーを一貫して適用するために、どこでも(ingressとegressの両方で)同じGBPタグ割り当てを設定することをお勧めします。

表2は 、プラットフォームごとにメインライン機能との違いを示しています。

表2:プラットフォーム固有のGBPタグ割り当ての動作

プラットフォーム

違い

EX4100

  • VLAN IDでの照合はサポートされていません。

QFX5130、QFX5700

  • IPアドレスでの照合の構文は次のとおりです。

    ip-version ipv4 ip-address <ip address> | prefix-list <prefix-list>
    ip-version ipv6 ip6-address <ip address> | prefix-list <prefix-list>

  • 純粋なレイヤー2ネットワークでもIPアドレスでマッチングできます。

  • IPv4 /32およびIPv6 /128アドレス一致のみがサポートされています。IPプレフィックスでの一致はサポートされていません。

  • インターフェイスでのマッチングはサポートされていません。

  • VLAN IDでの照合はサポートされていません。

  • フィルターには、global-bind オプションが含まれている必要があります。次に例を示します。

    set firewall family any filter f1 micro-segmentation 
set firewall family any filter f1 global-bind 
set firewall family any filter f1 term t1 from ip-version ipv4 ip-address 10.0.0.101/32 
set firewall family any filter f1 term t1 then gbp-tag 101

IPアドレスでのマッチングの例

以下に、IP アドレスを使用した GBP タグ割り当ての例を示します。

受信IPアドレスが複数のIPアドレス条件に一致する場合の動作については、「 最長プレフィックス一致と厳密なファイアウォール条件の順序 」を参照してください。

MACアドレスでの照合例

以下に、MACアドレスを使用したGBPタグ割り当ての例を示します。

インターフェイスでのマッチングの例

インターフェイスに基づくGBPタグ割り当ての例を次に示します。

1つのファイアウォールフィルター条件内に複数の interface 一致条件を設定することができます。次に例を示します。

単一のファイアウォールフィルター条件で、 interface 一致条件と vlan-id 一致条件を組み合わせることができます。次に例を示します。

VLANでのマッチングの例

注:VLAN IDでの照合は、EX4100デバイスではサポートされていません。

VLAN IDを使用したGBPタグ割り当ての例を次に示します。

1つのファイアウォールフィルター条件内に複数の vlan-id 一致条件を設定することができます。

VLAN範囲で一致できます。

VLANリストで一致できます。

RADIUS を使用した GBP タグの割り当て

認証中にユーザーにGBPタグを割り当てるように、RADIUSサーバーを設定できます。RADIUSサーバーは、アクセス制御やVLANの割り当てなどの機能のためにキャンパス環境で一般的に使用されています。

注:RADIUS を使用した GBP タグの割り当ては、一部のプラットフォームでサポートされているわけではありません。表4をご覧ください。
注:

RADIUS を使用する場合は、MAC およびインターフェイスベースの GBP タグ割り当てのみがサポートされます。

  • シングルセキュアまたはマルチサプリカントモードでRADIUS認証を設定した場合、GBPタグはMACベースになります。

  • シングル サプリカント モードで RADIUS 認証を設定した場合、GBP タグはインターフェイスベースになります。

認証中にGBPタグを配布できるように、AAAサービスフレームワークでサポートされているVSA(ベンダー固有属性)の使用を活用しています。これらのVSAは、標準のRADIUSリクエスト応答メッセージの一部として伝送され、GBPタグなどの実装固有の情報を処理するための組み込み拡張機能を提供します。

GBPタグは、以下のいずれかのVSAを使用して割り当てることができます。

  • Juniper-Switching-Filter VSA は、GBP タグとその他のフィルターの一致条件とアクション条件を伝送します。

  • Juniper-Group-Based-Policy-IdはGBPタグのみを伝送します。

注:

同じクライアントに対して、 Juniper-Switching-Filter VSA と Juniper-Group-Based-Policy-Id VSA の両方を一緒に使用しないでください。

両方のVSAが存在し、異なるGBPタグ値が含まれている場合、クライアントは認証されません。

RADIUSサーバー上の正確な構文は、認証スキームがMACベースかEAPベースのかによって異なります。

MAC ベースのクライアントの場合、設定は次のようになります。

EAPベースのクライアントの場合、認証時にGBPタグがRADIUSサーバーからプッシュされます。設定は次のようになります。

次に、 Juniper-Group-Based-Policy-Id VSA を使用した EAP の例を示します。

どちらのVSAでも、設定されたGBPタグは、範囲(1〜65535)内のゼロ以外の正の値でなければなりません。

dot1xCLIステートメントを使用して、GBPタグを設定できます。これを表3に示します。

表3:GBPのdot1x設定ステートメント

CLI

説明
set protocols dot1x authenticator interface [interface-names] server-fail gbp-tag gbp-tag

サーバーにアクセスできない場合にインターフェイスに適用するGBPタグを指定します。 gbp-tag gbp-tag を設定し、クライアントが server-fail vlan-name または server-fail permitで認証する場合、設定された gbp-tag gbp-tag フィルターもクライアントにインストールされます。

このオプションは、 server-fail vlan-name または server-fail permit オプションが設定されている場合にのみ設定できます。
set protocols dot1x authenticator interface [interface-names] server-reject-vlan gbp-tag gbp-tag

RADIUSがクライアント認証を拒否した場合に適用するGBPタグを指定します。 gbp-tag gbp-tag を設定し、クライアントが server-reject vlanで認証する場合、設定された gbp-tag フィルターもクライアントにインストールされます。

server-reject-vlan vlan-idオプションが設定されている場合にのみ、server-reject gbp-tag gbp-tagを設定できます。

set protocols dot1x authenticator interface [interface-names] guest-gbp-tag gbp-tag

インターフェイスをゲストVLANに移動するときに適用するGBPタグを指定します。 guest-gbp-tag が設定されていて、クライアントがゲストVLANで認証すると、設定された guest-gbp-tag フィルターもクライアントにインストールされます。

guest-vlan vlan-idオプションが設定されている場合にのみ、guest-gbp-tagを設定できます。

ゲストVLANの詳細については、 802.1X認証を参照してください。

さらに、 show dot1x interface detail または show ethernet-switching table コマンドを使用して、どのGBPタグがRADIUSから受信されているかを確認できます。

以下に、 show dot1x interface detail コマンドの出力例を示します。

以下に、 show ethernet-switching table コマンドの出力例を示します。

表4は 、プラットフォームごとにメインライン機能との違いを示しています。

表4:プラットフォーム固有のRADIUSタグ割り当ての動作

プラットフォーム

違い

QFX5130、QFX5700

RADIUS を使用した GBP タグの割り当てはサポートされていません。

GBPタグ割り当ての優先度

このセクションでは、あいまいな可能性のある一致条件を作成する場合の動作を明確にします。

CLIとRADIUSの両方を使用した割り当て

通常、タグの割り当ては、CLIまたはRADIUSのいずれかを使用して設定しますが、両方を設定することはできません。両方を使用した場合、割り当てに矛盾がある場合(例えば、CLIがGBPタグ10をユーザーに割り当て、RADIUSがGBPタグ20を同じユーザーに割り当てる場合)、RADIUS割り当てが優先されます。

一致条件の競合

競合する一致条件の例を次に示します。

上記の例では、t1とt2の両方がIPアドレス172.16.0.0/24で一致しますが、異なるGBPタグを割り当てています。この状況では、最初に一致する項のみが評価されます。2番目以降に一致する用語は無視されます。

同時一致

着信パケットが複数の条件に一致すると、 表5 に示す一致優先度が有効になります。

表5:一致の優先度
優先度 一致条件
1(最高)

ip-version ipv4 <ip address> | <prefix-list>
2

ip-version ipv6<ip address> | <prefix-list>
3

mac-address<mac address>
4

interface<interface_name> vlan id <vlan id>
5

vlan-id<vlan id>
6(最低)

interface<interface_name>
注:ほとんどのプラットフォームでは、MAC/IPインタータグを有効にして、着信パケットがMACアドレスとIPアドレスの両方で一致する場合、結果は不確定です。その状況では、IPアドレスの一致が必ずしもMACアドレスの一致よりも優先されるわけではありません。例外については、表6を参照してください。MAC/IPインタータグについては、「GBP MAC/IP Inter-tagging」を参照してください。

表6は 、プラットフォームごとにメインライン機能との違いを示しています。

表6:プラットフォーム固有の同時一致の動作

プラットフォーム

違い

QFX5130、QFX5700

MAC/IPインタータグが有効になっている場合でも、すべての状況において、IPアドレスの一致はMACアドレスの一致よりも優先されます。

最長プレフィックス一致と厳密なファイアウォール条件順序

最長プレフィックス一致か、厳密なファイアウォール条件順序かを選択できます。

注:最長プレフィックス一致オプションは、すべてのプラットフォームでサポートされているわけではありません。表7をご覧ください。

たとえば、重複するIPアドレスを含むマイクロセグメンテーションフィルターがあります。

厳密なファイアウォール条件順序を使用することを選択した場合、受信パケットはフィルターの最初の条件(t1)に一致するため、IPアドレス10.0.0.231の着信パケットにはGBPタグ10が割り当てられます。

最長プレフィックス一致を使用することを選択した場合、2番目の用語(t2)がより具体的な一致を提供するため、同じパケットにGBPタグ20が割り当てられます。これはデフォルトの動作です。

デフォルトの動作を変更し、厳密なファイアウォール用語順序を使用する場合は、フィルターを次のように設定します。

注:

マイクロセグメンテーションフィルターを初めて作成するときに no-longest-prefix-match パラメーターを設定します。既存のマイクロセグメンテーションフィルターでこのパラメーターを切り替えないでください。

表7は 、プラットフォームごとにメインライン機能との違いを示しています。

表7:プラットフォーム固有の最長プレフィックス一致動作

プラットフォーム

違い

QFX5130、QFX5700

IPプレフィックス一致はサポートされていないため、最長プレフィックス一致オプションは適用されません。ファイアウォールの用語は、用語順に厳密に評価されます。

GBPタグ付きトラフィックのパケット分類

GBPのコンテキストにおけるパケット分類とは、受信パケットのデータプレーン処理中に設定されたGBPタグを取得することを指します。

パケット分類は、イングレススイッチとエグレススイッチの両方で行われます。イングレス時に、スイッチはアクセスリンクからの着信パケットを分類し、送信者(ソース)のGBPタグを取得します。エグレス時に、スイッチはネットワークからの着信パケットを分類して、受信者(宛先)のGBPタグを取得します。

送信元タグと宛先タグを取得すると、ポリシーを適用できます。

GBPポリシーの適用

GBPタグを使用してマイクロセグメンテーションポリシーを作成します。

GBP 対応スイッチは、割り当てられた GBP タグに対して作成したルールに基づいてポリシーを適用します。GBPポリシーの適用をサポートするために、通常のファイアウォールフィルター機能を拡張して、GBPタグの照合とアクションを含めました。acceptやdenyなどの通常のファイアウォールアクションがサポートされています。

EVPN-VXLANで実行する場合、ポリシーの適用は通常、送信元と宛先の両方のGBPタグを使用してエグレスで行われます。イングレスの適用もサポートされていますが( EVPN-VXLANのイングレスとタグの伝播におけるGBPポリシーの適用を参照)、大規模なネットワークではエグレスの適用を使用することをお勧めします。egressの適用は、デフォルトの動作です。

EVPN-VXLANなしで実行している場合、ポリシーの適用は通常、ネットワークに応じて送信元GBPタグと宛先IPアドレスのいずれか、または送信元と宛先の両方のGBPタグを使用してイングレスで行われます。詳細については、 ゼロトラストのインラインセグメンテーション をご覧ください。

GBPタグを使用した適用

注:

デフォルトでは、ポリシーの適用はegressで行われます。イングレスでポリシーを適用する場合は、「 イングレスでのGBPポリシー適用とEVPN-VXLANのタグ伝播」を参照してください。

GBPポリシー適用の例を次に示します。

GBP送信元タグ100とGBP宛先タグ200のパケットは、条件 t100-200 に一致し、受け入れられます。GBP送信元タグ100とGBP宛先タグ300のパケットは、条件 t100-300 に一致し、破棄されます。

表8 は、プラットフォームごとにメインライン機能との違いを示しています。

表8:GBPタグを使用したプラットフォーム固有の適用の動作

プラットフォーム

違い

QFX5130、QFX5700

  • ingressとegressの両方の適用が自動的にサポートされます。

  • フィルターには、global-bind オプションが含まれている必要があります。次に例を示します。

    set firewall family any filter gbp-policy global-bind
set firewall family any filter gbp-policy term t100-200 from gbp-src-tag 100
set firewall family any filter gbp-policy term t100-200 from gbp-dst-tag 200
set firewall family any filter gbp-policy term t100-200 then accept

  • バインドできるGBPポリシー適用フィルターは1つだけです。複数のGBPポリシー適用フィルターをバインドすることはできません。すべてのポリシーは、その単一のフィルター内の条件として指定されます。

宛先IPアドレスを使用した適用

純粋なL2導入では、アクセススイッチは通常、レイヤー3ゲートウェイとしてWANルーターに接続します。WAN ルーターは GBP を認識していないため、GBP タグを渡すことができません。そのため、ポリシーは、送信元GBPタグに基づいてのみイングレスアクセススイッチで適用できます。このような状況では、宛先IPアドレスを含めるようにポリシーを拡張することができます。

注:すべてのプラットフォームが宛先IPアドレスの使用をサポートしているわけではなく、適用を義務付けているわけではありません。表9をご覧ください。

GBP送信元タグと宛先IPアドレスを使用する例を次に示します。

このユースケースの詳細については、 GBPピュアL2プロファイルを使用するを参照してください。

表9は 、プラットフォームごとにメインライン機能との違いを示しています。

表9:宛先IPアドレスの動作を使用したプラットフォーム固有の適用

プラットフォーム

違い

QFX5130、QFX5700

純粋なレイヤー2ネットワークでもIPアドレスに基づいてタグを割り当てることができるため、宛先IPアドレスを使用した適用は不要です。IPアドレスに基づいてタグ割り当てを作成し、通常どおり割り当てられたタグにポリシーを適用するだけです。

L4フィールドを使用した適用

表10に示すL4フィールドを使用してポリシーを適用できます。これにより、アプリケーションのトラフィックをより細かく制御できます。

表10:追加のL4ポリシー一致のサポート
MACおよびIP GBPタグ付きパケットのポリシー適用一致 説明
ip-version ipv4 destination-port dst_port

TCP/UDP宛先ポートに一致します。
ip-version ipv4 source-port src_port

TCP/UDP送信元ポートに一致します。
ip-version ipv4 ip-protocol ip-protocol

IPプロトコルタイプに一致します。
ip-version ipv4 is-fragment

パケットがフラグメントである場合に一致します。
ip-version ipv4 fragment-flags flags

フラグメントフラグに一致します(シンボリック形式または16進形式)。
ip-version ipv4 ttl value

MPLS/IP TTL値に一致します。
ip-version ipv4 tcp-flags flags

TCPフラグに一致します(シンボリックまたは16進形式)-(イングレスのみ)。
ip-version ipv4 tcp-initial

TCP接続の最初のパケットに一致します-(イングレスのみ)。
ip-version ipv4 tcp-established

確立されたTCP接続のパケットに一致します。
ip-version ipv6 destination-port dst_port

TCP/UDP 宛先ポートに一致します。
ip-version ipv6 source-port src_port TCP/UDP 送信元ポートに一致します。
ip-version ipv6 next-header protocol 次のヘッダープロトコルタイプに一致します。
ip-version ipv6 payload-protocol protocol ペイロードプロトコルに一致します。
ip-version ipv6 tcp-flags flags TCPフラグに一致します(シンボリックまたは16進形式)イングレスのみ。
ip-version ipv6 tcp-initial TCP接続の最初のパケットに一致します。
ip-version ipv6 tcp-established 確立されたTCP接続のパケットに一致します。
注:

L4フィルターはデフォルトでサポートされていますが、サポートされているGBPスケールを縮小することができます。L4フィルターを無効にするには: set forwarding-options evpn-vxlan gbp tag-only-policy。

この設定(および対応する削除)コマンドを使用すると、パケット転送エンジン(PFE)が再起動します。

表11は 、プラットフォームごとにメインライン機能との違いを示しています。

表11:L4フィールドの動作を使用したプラットフォーム固有の適用

プラットフォーム

違い
EX9200およびMXシリーズ

  • L4フィルターを使用した適用はサポートされていません。

QFX5130、QFX5700

  • 以下のL4フィールドのみが適用でサポートされています。

    • destination-port

    • source-port

    • ip-protocol (IPv4)

    • payload-protocol (IPv6)

  • tag-only-policy 設定はサポートされていません。

適用から除外されたパケット

すべてのパケットがGBPポリシーの適用の対象となるわけではありません。 表12は 、プラットフォーム間の違いを示しています。

表12:プラットフォーム固有の適用動作から除外されている

プラットフォーム

違い

EX4100

  • ポリシー適用は、ポリシー適用がサポートされている特定のDHCPセキュリティパケットを除き、ホスト生成パケットまたはブロードキャスト、不明、およびマルチキャストトラフィックにはサポートされていません。 dhcp-securityを参照してください。

  • ポリシーは 802.1X パケットには適用されません。ポリシーの適用は、認証後に行われます。

EX4400、EX4650、EX5200、EX9200、QFX5120、MXシリーズ

  • ポリシー適用は、ポリシー適用がサポートされている特定のDHCPセキュリティパケットを除き、ホスト生成パケットまたはブロードキャスト、不明、およびマルチキャストトラフィックにはサポートされていません。 dhcp-securityを参照してください。

  • ポリシーは 802.1X パケットに適用されます。特定のMACアドレスに対してCLIタグの割り当てを作成し、そのタグのパケットを破棄するポリシーを作成した場合、そのMACアドレスからの認証に対する802.1Xリクエストは破棄されます。エンドユーザーの観点からは、認証がタイムアウトしています。

QFX5130、QFX5700

  • ポリシーの適用は、ホスト生成パケット、またはブロードキャスト、不明なトラフィック、およびDHCPセキュリティパケットを含むマルチキャストトラフィックにはサポートされていません。

明示的なデフォルト破棄

条件に一致しない場合、デフォルトのアクションはパケットを受け入れることです。デフォルトでパケットを受け取りたくない場合は、条件に一致しないパケットに対して明示的なデフォルトの破棄アクションを指定できます。

注:明示的なデフォルトの破棄は、すべてのプラットフォームでサポートされているわけではありません。表13をご覧ください。

明示的なデフォルトの破棄の例を次に示します。

条件t2には破棄アクションが含まれていますが、一致条件はありません。これは、シーケンスの前の項の条件のいずれにも一致しないパケットのキャッチオールとして機能します。

この明示的なデフォルトの破棄アクションは、ブロードキャスト、マルチキャスト、ホスト発信、または不明なユニキャストパケットには適用されません。これらのタイプのトラフィックは常に受け入れられます。

明示的な破棄アクションを設定しない場合、デフォルトのアクションはパケットの受け入れです。

表13は 、プラットフォームごとにメインライン機能との違いを示しています。

表13:プラットフォーム固有の明示的なデフォルトの破棄動作

プラットフォーム

違い
EX9200およびMXシリーズ

  • 明示的なデフォルトの破棄はサポートされていません。

QFX5130、QFX5700

  • 明示的なデフォルトの破棄はサポートされていますが、不要です。デフォルトのアクションはパケットを破棄することです。

  • ingressに到着するパケットの宛先GBPタグがどのGBPポリシーにも一致しない場合、デフォルトがパケットの破棄であっても、パケットはネットワークに受け入れられます。これは、egressがポリシーを適用できるようにするためです。

EVPN-VXLANのingressでのGBPポリシー適用とタグ伝搬

ingressポリシーの適用により、egressで破棄されるタグ付きパケットをingressで破棄することで、ネットワーク帯域幅を節約します。イングレス時またはそれに近い位置でのポリシー適用をサポートするため、EVPNタイプ2およびタイプ5ルート内の拡張BGPコミュニティを使用して、MACおよびIP-MACベースのタグをネットワーク全体に伝播します。これらのタイプのルートについては、「 EVPN タイプ 2 およびタイプ 5 ルートと EVPN-VXLAN との共存 」を参照してください。

EVPNルートアドバタイズメントは、新しいホストからパケットを受信したときのMAC-IP学習などによる、EVPNルートのインストール(または変更)によってトリガーされます。この場合、送信元 IP ルートが evpn.0 データベースにインストールされ、EVPN タイプ 2 アドバタイズメント(割り当てられている場合は GBP タグを含む)がすべての eBGP ピアに送信されます。

これらのアドバタイズメントがネットワークを介してリモートエンドポイントに伝播された後、リモートエンドポイントは、リモートingressで受信したパケットに対してGBPファイアウォールフィルターを決定するのに十分な情報を持っています。受信時にパケットを受信すると、リモートエンドポイントは宛先ルートを検索し、EVPNタイプ2アドバタイズメントを通じて以前に受信した宛先GBPタグを取得できます。宛先GBPタグを使用することで、リモートエンドポイントはその後、ingressパケットに対してGBPポリシー適用の決定を下すことができます。

GBPタグはEVPNタイプ2のルートアドバタイズメントを使用して伝送されるため、タグ伝送は必ずMACまたはIPアドレス単位で実行されます。ただし、これはタグの割り当てには関係なく、VLANやインターフェイスなどのサポートされている方法のいずれかであり続けることができます。

例えば、インターフェイスに基づいてタグ割り当てを設定し、新しいホストからのパケットがそのインターフェイスで受信された場合、そのインターフェイスに割り当てられたタグは、受信パケットの送信元MACおよびIPアドレスとともに、タイプ2ルートアドバタイズメントに伝送されます。その後、別のホストからのパケットが同じインターフェイスで受信された場合、同じタグが、この異なるホストの送信元 MAC および IP アドレスとともに、別のタイプ 2 ルート アドバタイズメントに伝送されます。

注:

ボーダーリーフスイッチがGBPタグ付きのEVPNタイプ2アドバタイズメントを受信した場合、スイッチはタイプ2ルートをインストールし、他のデータセンターのボーダーリーフスイッチなどのeBGPピアに、そのGBPタグを持つEVPNタイプ5アドバタイズメントを生成します(DC間トラフィックの場合)。このタイプ 5 ルートには、/32 IP アドレスと GBP タグが含まれています。

このタイプ2からタイプ5へのGBPタグ伝播はサポートされていますが、タイプ5からタイプ2へのGBPタグ伝播はサポートされていません。

マルチホーミングトポロジーの場合、マルチホーミングメンバー間で設定を同一に保ちます。

ingressノードでポリシーの適用を実行するには、以下のステートメントを有効にする必要があります。イングレスの適用が有効または無効になっている場合、パケット転送エンジン(PFE)が再起動します。

表14は 、プラットフォームごとにメインライン機能との違いを示しています。

表14:プラットフォーム固有のingress適用動作

プラットフォーム

違い

QFX5130、QFX5700

  • Ingressの適用は自動的にサポートされます。ingressの適用を設定する必要はなく、ingressの適用を無効にすることもできません。

  • ingressに到着するパケットの宛先GBPタグがどのGBPポリシーにも一致しない場合、デフォルトがパケットの破棄であっても、パケットはネットワークに受け入れられます。これは、egressがポリシーを適用できるようにするためです。

EVPNタイプ5アドバタイズメントを使用したIPプレフィックスルートのタグ伝搬

MAC-IP学習によってトリガーされるタグ伝搬(その結果/32 IPルート)に加えて、EVPNタイプ5アドバタイズメントを使用したIPプレフィックスルートのGBPタグ伝搬もサポートしています。

注:すべてのプラットフォームがIPプレフィックスルートのタグ伝搬をサポートしているわけではありません。表15を参照してください。

IPプレフィックスルートでは、例えば、インターフェイスを作成し、ダイレクトEVPNルート(set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop)のアドバタイズメントを有効にした場合に、タグ伝播が発生する可能性があります。そのIPプレフィックスにGBPタグも割り当てた場合、後続のEVPNタイプ5アドバタイズメントにはGBPタグが含まれ、MAC-IP学習が行われる前にタグが伝播します。

一般に、EVPN タイプ 5 アドバタイズメント内での GBP タグ伝播は、IP プレフィックスにタグを割り当てる GBP フィルターを作成し、その IP プレフィックス ルートが evpn.0 ルーティング データベースにインストールされるたびに発生します。(GBPフィルターは、ルートをインストールする前または後に作成できます。

スイッチがタイプ5アドバタイズメントを生成しても、スイッチが新しいホストを学習した場合(例えば、データプレーンでのMAC-IP学習を通じて)、スイッチはタイプ2アドバタイズも生成します。多くの場合、これらの冗長な/32アドバタイズメントを抑制して、EVPNトラフィックを削減することが望ましい場合があります。そのためには、/32ルートを拒否するBGPポリシーを作成します。

例えば、以下は、IPv4ホストからの/32ルートを拒否するfm_v4_hostという用語を持つT5_EXPORTというポリシーを作成します。

注:

スイッチがIPプレフィックスルートと関連するGBPタグのEVPNアドバタイズメントを受信し、同じIPプレフィックスルートに異なるタグを割り当てるGBPフィルターを設定している場合、ローカルに設定されたGBPフィルターのGBPタグが優先されます。スイッチは、EVPNルートを再アドバタイズする前に、受信したEVPNアドバタイズメント内のGBPタグをローカルに割り当てられたGBPタグに置き換えます。

IPプレフィックス用のGBPフィルターを作成し、GBPフィルターをルーティングインスタンスに関連付けると、IPプレフィックスタグの伝播が自動的に有効になります。次に例を示します。

ここで <routing-instance> は、フィルターを適用するルーティングインスタンスの名前です。

IPプレフィックスルートがGBPタグに関連付けられると、GBPタグはそのIPプレフィックスルートの show route コマンドの出力に表示されます。次に例を示します。

ルーティングインスタンスとGBPフィルター間のバインディングを確認するには、 show evpn gbp-src-tag filter-bind routing-instance コマンドを使用します。

GBPタグマッピングへのIPプレフィックスルートを確認するには、 show evpn gbp-src-tag ip-prefix inet コマンドを使用します。

この機能には、以下の制限があります。

  • GBPフィルターは1つのルーティングインスタンスにのみ関連付けることができます。同じGBPフィルターを複数のルーティングインスタンスに関連付けることはできません。

  • 同じルーティングインスタンスに、同じIPプレフィックス一致条件を持つ2つの異なるGBPフィルターを関連付けることはできません。

  • IPベースのGBPフィルターは、ルーティングインスタンスにのみ関連付けることができます。他のタイプのGBPフィルターを関連付けても効果はありません。

表15は 、異なるプラットフォームでのメインライン機能との違いを示しています。

表15:IPプレフィックスルートの動作に対するプラットフォーム固有のタグ伝搬

プラットフォーム

違い

EX4100

IPプレフィックスルートのタグ伝搬はサポートされていません。

QFX5130、QFX5700

IPプレフィックスルートのタグ伝搬はサポートされていません。

GBPタグ付きトラフィックのフィルターベースフォワーディング

フィルターベースフォワーディングとは、トラフィックに割り当てられたGBPタグがフィルターで指定されたGBPタグと一致する場合に、指定されたネクストホップにトラフィックを転送する機能を指します。この機能を使用して、指定されたタグ付きトラフィックと通常のトラフィックに異なるルーティング処理を適用できます。

注:すべてのプラットフォームがフィルターベースの転送をサポートしているわけではありません。表19を参照してください。

転送フィルターを作成するには、一致させる送信元タグと宛先タグ、および一致したトラフィックを転送するネクストホップを指定します。

フィルターベースの転送に関するCLIステートメントは、製品によって異なります。 表16 および 表17をご覧ください。

表16:GBPタグ付きトラフィックのフィルターベースの転送例(EX4xxxシリーズおよびQFXシリーズスイッチ)

フィルターベースの転送設定例(EX4xxx、EX5200、QFX5120スイッチ)

説明

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1

デフォルトのルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを10.10.1.1ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.0/24

デフォルトのルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを10.10.1.0/24ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1 routing-instance VRF-100

VRF-100ルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを10.10.1.1ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2

デフォルトのルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを2001:db8:4136:e378:8000:63bf:3fff:fdd2ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136::/48

デフォルトのルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを2001:db8:4136::/48ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2 routing-instance VRF-100

VRF-100ルーティングインスタンスを使用して、GBP送信元タグ100と宛先タグ200のトラフィックを2001:db8:4136:e378:8000:63bf:3fff:fdd2ルートのネクストホップに転送します。

制限事項:

  • フィルターベースの転送は、IPv4/IPv6アドレス一致条件を使用して割り当てられたタグに対してのみサポートされています。MACアドレス、インターフェイス、VLAN、インターフェイス+VLANなどの他の一致条件を使用して割り当てられたタグには対応していません。

  • ネクストホップの有効性や存在については、チェックは行われません。ネクストホップがルーティングテーブルにない場合、またはその他の方法で解決されない場合、またはアウトバウンドインターフェイスがダウンしている場合、フィルターベースの転送は実行されず、パケットはドロップされます。

  • next-ipとnext-ip6が共存できる唯一の行動はcountです。次に例を示します。

    set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then count num_100_200_packets
set firewall family any filter f1 term t1 then next-ip 10.10.1.1
表17:GBPタグ付きトラフィック(EX92xxシリーズスイッチとMXシリーズルーター)のフィルターベースフォワーディング例

フィルターベースの転送設定例(EX92xxシリーズスイッチとMXシリーズルーター)

説明

 
set firewall family any filter f1 term t1 from ip-version ipv4
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1/32

GBP送信元タグ100と宛先タグ200のトラフィックを10.10.1.1/32ルートのネクストホップに転送します。

 
set firewall family any filter f1 term t1 from ip-version ipv6
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2/128

GBP送信元タグ100と宛先タグ200のトラフィックを2001:db8:4136:e378:8000:63bf:3fff:fdd2/128ルートのネクストホップに転送します。

制限事項:

  • ネクストホップとしてサポートされているのは、IPv4 /32およびIPv6 /128アドレスのみです。

  • ネクストホップの有効性や存在については、チェックは行われません。ネクストホップがルーティングテーブルにない場合、またはその他の方法で解決されない場合、またはアウトバウンドインターフェイスがダウンしている場合、フィルターベースの転送は実行されず、パケットはドロップされます。

  • next-ipとnext-ip6共存できるアクションは、count、policer、acceptです。次に例を示します。

    set firewall family any filter f1 term t1 from ip-version ipv4
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then count num_100_200_packets
set firewall family any filter f1 term t1 then policer CIR-100
set firewall family any filter f1 term t1 then next-ip 10.10.1.1/32

EX92xxシリーズスイッチとMXシリーズルーターの場合、フィルターでルーティングテーブルを直接指定しないため、転送フィルターを明示的にルーティングテーブルにアタッチする必要があります。CLIの設定例については 、表18 を参照してください。

表18:転送フィルターの取り付け 例(EX92xxシリーズスイッチとMXシリーズルーター)
転送フィルターの取り付け 設定例(EX92xxシリーズスイッチとMXシリーズルーター) 説明 
set routing-instances VRF-100 forwarding-options family inet filter output f1
 VRF-100 IPv4 ルーティングテーブルでルートを検索した後に、f1転送フィルターを適用します。 
set routing-instances VRF-100 forwarding-options family inet6 filter output f1
 VRF-100 IPv6 ルーティングテーブルでルートを検索した後、f1 転送フィルターを適用します。
注:転送フィルターは、タイプvrfまたはvirtual-routerのルーティングインスタンスにのみアタッチできます。転送フィルターを他のルーティングインスタンスや他の接続ポイントにアタッチすることはできません。

表19は 、お客様のプラットフォームにおけるフィルターベースのフォワーディングプラットフォーム固有の動作をまとめたものです。

表19:プラットフォーム固有のフィルターベースのフォワーディング動作

プラットフォーム

違い

EX4xxx、EX5200

  • フィルターのネクストホップは、プレフィックスルートにすることができます。

  • 該当するルーティングインスタンスをフィルターで直接指定します。

EX92xx

  • フィルターのネクストホップは、/32 IPv4 または /128 IPv6 ルートである必要があります。

  • 該当するルーティングインスタンスにフィルターを明示的にアタッチして、該当するルーティングインスタンスを指定します。

MXシリーズ

  • フィルターのネクストホップは、/32 IPv4 または /128 IPv6 ルートである必要があります。

  • 該当するルーティングインスタンスにフィルターを明示的にアタッチして、該当するルーティングインスタンスを指定します。

QFX 5120

  • フィルターのネクストホップは、プレフィックスルートにすることができます。

  • 該当するルーティングインスタンスをフィルターで直接指定します。
QFX5130、QFX5700 フィルターベースの転送はサポートされていません。

GBP MAC/IP インタータギング

MAC/IPインタータグにより、MACベースのGBPタグ割り当てをルーティングトラフィックに適用し、IPベースのGBPタグ割り当てをスイッチトラフィックに適用できます。

  • MAC/IPインタータグを有効にすると、MACベースとIPベースの両方のGBPフィルターがスイッチトラフィックとルーティングトラフィックに適用されます。

  • MAC/IPインタータグが無効になっている場合、MACベースのGBPフィルターはスイッチされたトラフィックにのみ適用され、IPベースのGBPフィルターはルーティングされたトラフィックにのみ適用されます。

有効にすると、スイッチは次のように対応するエントリーを自動的に追加します。

  • MAC ベースの GBP フィルターを作成した場合、その MACアドレスに一致する最初のパケットが到着すると、スイッチは対応する IP ベースの GBP 割り当てを自動的に作成します。この割り当ては、元のMACベースのGBPフィルターと同じタグを適用しますが、MACアドレスではなく送信元IPアドレスに一致します。

  • IPベースGBPフィルターを作成した場合、そのIPアドレスに一致する最初のパケットが到着すると、スイッチは対応するMACベースGBP割り当てを自動的に作成します。この割り当ては、元のIPベースのGBPフィルターと同じタグを適用しますが、IPアドレスではなく送信元MACアドレスで一致します。

対応するエントリーを作成することで、その後のフローがスイッチングされるかルーティングされるかに関係なく、目的のGBPタグが割り当てられます。

注:この機能を有効にした場合、競合するGBPタグの割り当てが作成されないように注意してください。例えば、この機能を有効にして、次のように2つのフィルターを作成するとします。

  • フィルター1:GBPタグ100をMACアドレス52:54:00:00:00:11のトラフィックに割り当てます

  • フィルター2:IPアドレス172.16.0.11のトラフィックにGBPタグ200を割り当てます

    • 次に、
スイッチがそのMAC/IPの組み合わせのトラフィックを受信しないようにします。上記のフィルターを作成してMAC/IPインタータグを有効にした場合、スイッチがMACアドレス52:54:00:00:00:11およびIPアドレス172.16.0.11のパケットを受信した場合、タグ付けの動作は不確定です。

MAC/IPインタータグを有効にするには:

注:

mac-ip-inter-taggingオプションを設定または削除すると、パケット転送エンジン(PFE)が自動的に再起動します。
注:

オンライン シャーシでmac-ip-inter-taggingオプションを設定または削除した場合は、オンライン シャーシのすべてのメンバーを再起動する必要があります。 request system reboot all-members

以下は、MAC/IPインタータグを有効にすると、MACテーブルとIPテーブルの両方に同じGBPタグ100が表示されることです。

表20 は、異なるプラットフォームでのメインライン機能との違いを示しています。

表20:プラットフォーム固有のMAC/IPインタータグ動作

プラットフォーム

違い

QFX5130、QFX5700

MAC/IPインタータグは自動的に有効になります。無効にすることはできません。

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース
説明
26.2R1S1
Junos OSリリース26.2R1S1以降、EX5200プラットフォームはGBP処理をサポートします。
25.4R1
Junos OSリリース25.4R1以降、 gbp-pure-l2-profileを使用する際に宛先IPアドレスに基づくポリシーを適用できるようになりました。 宛先IPアドレスを使用した適用を参照してください。
25.4R1
EX4100、EX4400、EX4650、QFX5120プラットフォーム上のJunos OSリリース25.4R1以降、MAC/IPインタータグがデフォルトで有効になります。 GBP MAC/IPインタータグを参照してください。
25.2X100-D30
Junos OS Evolvedリリース25.2X100-D30以降、QFX5130およびQFX5700プラットフォームはGBP処理をサポートします。
25.2R1
EX9200およびMXプラットフォームでのJunos OSリリース25.2R1以降、GBPタグ付きトラフィックのフィルターベースフォワーディングをサポートしています。 GBPタグ付きトラフィックのフィルターベースの転送を参照してください。
24.4R1
Junos OSリリース24.4R1以降、GBPタグ割り当てフィルターで厳密なファイアウォール用語順序に加えて、最長プレフィックス一致もサポートします。最 長プレフィックス一致と厳密なファイアウォール条件順序を参照してください。
24.4R1
EX4100、EX4400、EX4650、QFX5120プラットフォームでのJunos OSリリース24.4R1以降、GBPタグ付きトラフィックのフィルターベースフォワーディングがサポートされています。 GBPタグ付きトラフィックのフィルターベースの転送を参照してください。
24.2R1
EX4100、EX4400、EX4650、QFX5120プラットフォームでのJunos OSリリース24.2R1以降、MAC/IPインタータグがサポートされています。 GBP MAC/IPインタータグを参照してください。
24.2R1
EX4100、EX4400、EX4650、およびQFX5120プラットフォームでのJunos OSリリース24.2R1以降、GBPポリシー適用フィルターで明示的なデフォルト破棄がサポートされています。 「明示的なデフォルトの破棄」を参照してください。
24.2R1
EX4400、EX4650、EX9200、QFX5120プラットフォームでのJunos OSリリース24.2R1以降、EVPNタイプ5アドバタイズメントを使用したIPプレフィックスルートでのGBPタグ伝搬がサポートされています。 EVPNタイプ5アドバタイズメントを使用したIPプレフィックスルートのタグ伝搬を参照してください。
23.4R1
Junos OSリリース23.4R1以降、GBPタグ割り当てフィルタのインターフェイス範囲、インターフェイスリスト、および複数のインターフェイスエントリーがサポートされています。 IPアドレスでの照合例を参照してください。
23.4R1
EX4400、EX4650、QFX5120プラットフォーム上のJunos OSリリース23.4R1以降、GBPタグ割り当てフィルターのVLAN範囲、VLANリスト、および複数のVLANエントリーがサポートされています。 VLANでのマッチングの例を参照してください。
23.4R1
EX4400、EX4650、QFX5120プラットフォーム上のJunos OSリリース23.4R1以降、GBPタグ割り当てフィルターで1つの条件内でインターフェイスとVLANの一致条件の組み合わせをサポートしています。 インターフェイスでのマッチングの例を参照してください。
23.4R1
Junos OSリリース23.4R1以降、RADIUS認証でjuniper-group-based-policy-id VSAがサポートされています。 RADIUSを使用したGBPタグの割り当てを参照してください。
23.4R1
Junos OSリリース23.4R1以降、protocols dot1x authenticator interfaceCLIステートメントでgbp-tagオプションがサポートされています。RADIUSを使用したGBPタグの割り当てを参照してください。
23.2R1
EX4100、EX4400、EX4650、QFX5120プラットフォーム上のJunos OSリリース23.2R1以降、GBPポリシー適用フィルターでL4一致をサポートしています。 L4フィールドを使用した適用を参照してください。
22.4R1
Junosリリース22.4R1以降、ingressでポリシー適用を実行できます。 EVPN-VXLANのingressおよびタグ伝搬でのGBPポリシー適用を参照してください。