ACXおよびPTXシリーズルーターでのインラインアクティブフロー監視の設定
このトピックでは、IPv4およびIPv6トラフィックに対してこの機能をサポートするACXおよびPTXシリーズルーターでインラインアクティブフロー監視を設定する方法について説明します。
概要
「Feature Explorer: JFlow」および「Feature Explorer: Traffic Sampling」を使用して、特定の機能に対するプラットフォームおよびリリースのサポートを確認します。サポートされるステートメントはプラットフォームによって異なるため、設定ステートメントの構文については flow-monitoring を参照してください。
VRFサポート: Junos OS Evolved 24.2R1以降、インラインアクティブフロー監視サンプリングパケットのIPFIXまたはバージョン9レコードのエクスポートを、以下から到達可能なコレクターにサポートしています。
-
mgmt_junos VRF インスタンスに属するインターフェイス。
-
デフォルト以外の VRF インスタンスに属する WAN ポート。
この機能は、[edit forwarding-options sampling instance name family type output flow-server IP-address] 階層レベルで routing-instance 設定ステートメントを使用して設定します。コレクターが管理インターフェイスを介して到達可能であることを確認する必要があります。VRF インスタンスのタイプごとに最大 4 つのコレクターがサポートされます。同じサンプリング設定で、両方のタイプの VRF インスタンスのコレクターを設定できます。ただし、ファミリーごとに指定できる送信元 IP アドレスは 1 つだけであるため、mgmt_junos VRF インスタンスを介して到達可能なコレクターと WAN ポートを介して到達可能なコレクターは、同じファミリー下で共存できません。inet コレクター、inet6 コレクター、または 2 つのタイプの組み合わせを指定できます。デフォルトおよび非デフォルト VRF の両方での入力および出力サンプリングは、物理、AE、および IRB インターフェイスでサポートされています。mgmt_junos VRF インスタンスを設定するには、「専用インスタンスの管理インターフェイス」を参照してください。
MPLS-over-UDPサポート: PTXシリーズルーターでMPLS-over-UDPトラフィックのインラインフロー監視を設定するには、 PTXシリーズルーターでのMPLS-over-UDPフローのインラインアクティブフロー監視を参照してください。MPLS-over-UDP トラフィックのインライン アクティブ フロー監視は、PTX10001-36MR、PTX10003、PTX10004、および PTX10008(JNP10008-SF3 搭載)ルーターではサポートされていません。
コレクター：Junos OS リリース 18.2R1 以降、インライン アクティブ フロー監視用にファミリーで最大 4 つのコレクターを設定できます。以前のリリースの Junos OS では、インライン アクティブ フロー監視用に 1 つのファミリーで 1 つのコレクターしか設定できました。Junos OS Evolved 20.3R1以降、インラインアクティブフロー監視用に最大4つのコレクターを設定できます。インラインアクティブフロー監視用にファミリー下のコレクターを設定するには、edit forwarding-options sampling-instance instance-name family (inet | inet6) output階層レベルでflow-serverステートメントを設定します。最大4つのコレクターを指定するには、最大4つのflow-serverステートメントを含めます。
ラインカードCPU: インライン アクティブ フロー監視は、すべての機能がハードウェアではなくソフトウェアに基づいている Junos OS Evolvedを実行するACXシリーズルーターを除き、ラインカードCPU(LCPU)に実装されます。サポートされている他のすべてのプラットフォームでは、フローの作成、フローの更新、フローレコードのエクスポートなどのすべての機能が LCPU によって実行されます。フロー レコードは、IPFIX 形式またはバージョン 9 形式で送信されます。
フロー：Junos OS Evolvedリリース21.2R1およびJunos OS リリース21.3R1以降、フローは維持されません。サンプリングされたすべてのパケットはフローと見なされます。サンプリングされたパケットを受信すると、フローが作成され、すぐに非アクティブとしてタイムアウトし、ソフトウェアはレコードをコレクターにエクスポートします。したがって、コレクターに送信されるレコードの数は以前よりも多くなります。IPFIX およびバージョン 9 のオプションテンプレートデータレコードの Flow Active Timeout (要素 ID 36) フィールドと Flow Inactive Timeout (要素 ID 37) フィールドに 0 が含まれるようになりました。したがって、オプションテンプレートデータレコードはIPFIX RFC 7011に準拠していません。show services accounting flow inline-jflow fpc-slot slot運用モードコマンドで、すべての Active Flows フィールドと Timed Out フィールドに 0 が表示されるようになりました。さまざまな Total Flows フィールドの値が、それぞれの Flow Packets フィールド値と等しくなりました。これで、さまざまな Flows Inactive Timed Out フィールドの値が、それぞれの Flow Packets フィールド値と等しくなりました。このフローなし動作に対する[edit services flow-monitoring version version template template-name]階層レベルの nexthop-learning ステートメントの影響は、オペレーティング システムによって異なります。Junos OS Evolvedでは、nexthop-learningステートメントを設定すると処理可能なパケット数が減少するため、設定することはお勧めしません。Junos OSについては、nexthop-learning ステートメントを設定して、このデフォルトのフローなし動作を変更し、再度フローを作成および維持してから、以前の動作を必要とする FPC に関連付けられているすべてのサンプリング インスタンスにテンプレートをアタッチできます。
制限と制約事項
Junos OSおよびJunos OS Evolvedのインラインアクティブフロー監視機能には、以下の制限と制約事項が適用されます。
-
エグレスMPLSフィルターは、PTX10001-36MR、PTX10003、PTX10004、およびPTX10008(JNP10008-SF3搭載)ルーターではサポートされていません。
-
PTX10001-36MRルーターは、ルーティングエンジンが1つしかないため、複数のFPCサンプリング収集をサポートしていません。
-
真のOIF(発信インターフェイス)レポートは、エグレスサンプリングではサポートされていません。Junos OS Evolvedでは、GREカプセル化解除パケットの真のOIF(発信インターフェイス)レポートはサポートされていません。
-
この要素はバージョン 9 のエクスポート バージョンには存在しないため、実際の受信インターフェイスのインターフェイス タイプ フィールドはバージョン 9 のテンプレートに含まれていません。
-
PTX10003 ルーターの GRE トンネル トラフィックの場合、物理インターフェイスはレイヤー 2 ヘッダーで報告され、フロー作成時にキーの 1 つと見なされます。そのため、物理インターフェイスを集合型イーサネットバンドル内または集合型イーサネットバンドルから移動すると、新しいフローが作成され、非アクティブな状態が一定時間続くと古いフローがタイムアウトします。物理インターフェイス、論理インターフェイス、または集約された論理インターフェイス(設定に基づく)は、設定に基づくエクスポートレコードの受信インターフェイスとして報告されます。
PTX10008(JNP10008-SF3 を使用する)ルータ上の GRE トンネル トラフィックの場合、FTI インターフェイスは GRE トンネルを終端するように設定されます。このインターフェイスは、フロー作成時に物理インターフェイスではなく、キーの 1 つとして使用されます。そのため、物理インターフェイスを集合型イーサネットバンドル内または集合型イーサネットバンドルから移動しても、鍵は変更されないため、新しいフローは作成されません。物理インターフェイス、論理インターフェイス、または集約された論理インターフェイス(設定に基づく)が、エクスポートされたレコードの受信インターフェイスとして報告されます。
-
ACXシリーズ ルーターはMPLSテンプレートをサポートしていません。
-
ACXルーターの場合、論理インターフェイスで直接サンプリングを設定することはできません。代わりに、インターフェイスにファイアウォールフィルターを設定してサンプリングを有効にする必要があります。
ACXまたはPTXシリーズルーターでインラインアクティブフロー監視を設定する方法
この例では、IPv4 および IPv6 トラフィック フローを記録するための version-ipfix テンプレートを設定します。
- 出力プロパティを指定するテンプレートの構成
- 入力プロパティを指定するサンプリング インスタンスの構成
- サンプリング インスタンスを FPC に割り当てる
- フローを受け入れ、サンプルするようにファイアウォールフィルターを設定する
- ファイアウォールフィルターをインターフェイスに割り当てる
- サンプル設定の結果
出力プロパティを指定するテンプレートの構成
-
テンプレートを定義し、テンプレートが記録するフローのタイプを設定します。(ACXシリーズルーターはMPLSテンプレートをサポートしていません)。
[edit services flow-monitoring] user@host# set version-ipfix template template-name ipv4-template user@host# set version-ipfix template template-name ipv6-template user@host# set version-ipfix template template-name mpls-template
-
(オプション、これらの機能をサポートするPTXシリーズルーターのみ)フロー レコードを制御するために、フローのタイムアウト間隔やテンプレート/オプションの更新レートなど、テンプレートの追加出力プロパティを設定します。
template-refresh-rateオプションを使用すると、フロージェネレータがテンプレート定義に関する更新をパケット数または秒数でフローコレクタに送信する頻度を設定することができます。[edit services flow-monitoring] user@host# set version-ipfix template template-name flow-active-timeout seconds user@host# set version-ipfix template template-name flow-inactive-timeout seconds user@host# set version-ipfix template template-name template-refresh-rate (packets packets | seconds seconds) user@host# set version-ipfix template template-name option-refresh-rate (packets packets | seconds seconds)
- (オプション、これらの機能をサポートするPTXシリーズルーターのみ)
MPLS フローを監視する場合、つまり、使用中のテンプレートが MPLS プロトコル ファミリー用に設定されている場合、
tunnel-observationオプションを使用して MPLS フローのタイプを識別します。[edit services flow-monitoring] user@host# set version-ipfix template template-name tunnel-observation (ipv4 | ipv6 | mpls-over-udp)
-
(オプション)ネクストホップアドレスの学習を有効にして、真の発信インターフェイスが報告されるようにします。
手記：Junos OS Evolved 21.2R1以降では、ネクストホップアドレスの学習を有効にすることは、処理可能なパケット数を減らすため、お勧めしません。しかし、Junos OS リリース 21.3R1以降、
nexthop-learningステートメントを設定して、デフォルトのフローなし動作を変更し、再度フローを作成および維持してから、以前の動作を必要とするFPCに関連付けられたすべてのサンプリングインスタンスにテンプレートをアタッチできます。[edit services flow-monitoring] user@host# set version-ipfix template template-name nexthop-learning enable
入力プロパティを指定するサンプリング インスタンスの構成
-
サンプリングインスタンスを定義し、サンプリングするパケット数の比率を設定します。たとえば、レートを 10 に指定すると、10 番目のパケットごと(10 パケット中 1 パケット)がサンプリングされます。
[edit forwarding-options sampling] user@host# set instance instance-name input rate number
ベスト プラクティス:MPLS フローには 1000 以上の値を使用することを推奨します。
-
サンプリングインスタンスのプロトコルファミリーを設定し、トラフィック集約を送信するフローコレクターを指定します。(ACXシリーズルーターは、
family inetまたはfamily inet6設定のみをサポートします。)[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) output flow-server hostname
-
(オプション)サンプリング インスタンスで使用するフロー コレクターとテンプレートの UDP ポートを指定します。(ACXシリーズルーターはMPLSテンプレートをサポートしていません)。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) output flow-server hostname port port-number user@host# set instance instance-name family (inet | inet6 | mpls) output flow-server hostname version-ipfix template template-name
-
サンプリングされたパケットのインライン処理を設定します。
(ACXシリーズルーターは、
family inetまたはfamily inet6設定のみをサポートします。)[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) output inline-jflow source-address address
サンプリング インスタンスを FPC に割り当てる
-
フロー監視を実装するFPCにサンプリングインスタンスを割り当てます。
[edit chassis] user@host# set fpc slot-number sampling-instance instance-name
フローを受け入れ、サンプルするようにファイアウォールフィルターを設定する
-
プロトコルファミリーのファイアウォールフィルターを設定し、トラフィックフローのサンプリングを有効にします。(ACXシリーズ ルーターは、インライン アクティブ フロー監視機能の
family inetまたはfamily inet6設定のみをサポートします)。[edit firewall] user@host# set family (inet | inet6 | mpls) filter filter-name user@host# set family (inet | inet6 | mpls) filter filter-name term term-name then accept user@host# set family (inet | inet6 | mpls) filter filter-name term term-name then sample
ファイアウォールフィルターをインターフェイスに割り当てる
-
監視したいインターフェイスに入力ファイアウォールフィルターを割り当てます。(ACXシリーズ ルーターは、インライン アクティブ フロー監視機能の
family inetまたはfamily inet6設定のみをサポートします)。[edit interfaces] user@host# set interface-name unit unit-number family (inet |inet6 | mpls) filter input filter-name
サンプル設定の結果
以下は、 family inet および family inet6でのインラインアクティブフロー監視をサポートするインスタンスのPTXシリーズルーターでのサンプリング設定例です。
[edit chassis]
fpc 0 {
sampling-instance sample-1;
}
[edit services]
flow-monitoring {
version-ipfix {
template test-template {
flow-active-timeout 30;
flow-inactive-timeout 60;
nexthop-learning {
enable;
}
template-refresh-rate {
seconds 10;
}
ipv4-template;
}
template v6 {
ipv6-template;
}
}
}
[edit interfaces]
et-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
output ipv4-filter;
}
address 192.168.100.10/24;
}
}
}
et-1/0/2 {
unit 0 {
family inet6 {
filter {
input ipv6-filter;
output ipv6-filter;
}
address 2001:db8:0:2::1/64;
}
}
}
lo0 {
unit 0 {
family inet {
address 192.168.100.1/32;
}
}
}
[edit forwarding-options]
sampling {
instance {
sample-1 {
input {
rate 10;
}
family inet {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
test-template;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
family inet6 {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
v6;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
}
}
}
[edit firewall]
family inet {
filter ipv4-filter {
term ipv4-accept {
then {
accept;
sample;
}
}
}
}
family inet6 {
filter ipv6-filter {
term ipv6-accept {
then {
accept;
sample;
}
}
}
}
show services accounting flow コマンドを使用して、アクティブなフロー統計を確認できます。
変更履歴
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer を使用します。