PTXシリーズルーターでのインラインアクティブフロー監視の設定
このトピックでは、PTXシリーズルーターでIPv4およびIPv6トラフィック用のインラインアクティブフロー監視を設定する方法を説明します。
プラットフォームと機能のサポート
表1 は、インラインアクティブフロー監視向けのさまざまなタイプのトラフィックに対応するPTXシリーズプラットフォームの一覧です。
| プラットフォーム |
サポート |
|---|---|
| PTX3000シリーズ |
Junos OS 18.1R1 - IPv4 および IPv6 のトラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1 - MPLS、MPLS-IPv4、MPLS-IPv6 のトラフィック。 |
| PTX5000シリーズ |
Junos OS 18.1R1 - IPv4 および IPv6 のトラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1、MPLS、MPLS-IPv4、MPLS-IPv6のトラフィック。 |
| PTX1000 |
Junos OS 17.3R1—IPv4およびIPv6のトラフィック(バージョン9のみ)。 |
| PTX10001-36MR |
Junos OS Evolved 20.3R1—IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10002-60C |
Junos OS 18.4R1 - IPv4 および IPv6 のトラフィック(IPFIX とバージョン 9 の両方)。 Junos OS 19.4R1 - MPLS、MPLS-IPv4、MPLS-IPv6 のトラフィック。 |
| PTX10003 |
Junos OS Evolved 19.3R1 - IPv4 および IPv6 のトラフィック(IPFIX およびバージョン 9)。 Junos OS Evolved 20.1R1—MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10004 |
Junos OS Evolved 20.4R1—IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック(IPFIX およびバージョン 9)。 |
| PTX10008(JNP10008-SF3およびJNP10K-LC1201ラインカード使用時) |
Junos OS Evolved 19.3R1 - IPv4 および IPv6 のトラフィック(IPFIX およびバージョン 9)。 Junos OS Evolved 20.1R1—MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10008(JNP10008-SF3およびJNP10K-LC1202ラインカード使用時) |
Junos OS Evolved 20.3R1—IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック(IPFIX およびバージョン 9)。 |
| PTX10008(JNP10008-SF3なし)およびPTX10016 |
Junos OS 18.1R1 - IPv4 および IPv6 のトラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1 - MPLS、MPLS-IPv4、MPLS-IPv6 のトラフィック。 |
PTXシリーズルーターでMPLS-overUDPトラフィックのインラインフロー監視を設定するには、 PTXシリーズルーターでのMPLS-over-UDPフローのインラインアクティブフロー監視を参照してください。MPLS-over-UDPトラフィックのインラインアクティブフロー監視は、PTX10001-36MR、PTX10003、PTX10004、およびPTX10008(JNP10008-SF3を使用)ルーターではサポートされていません。
Junos OS リリース 18.2R1 以降、インライン アクティブ フロー監視用に ファミリーで最大 4 つのコレクターを設定できます。Junos OSの以前のリリースでは、インラインアクティブフロー監視用にファミリーの下に1つのコレクターしか設定できませんでした。Junos OS Evolved 20.3R1以降、PTX10003ルーターおよびPTX10008ルーター(JNP10K-LC1201ラインカードとJNP10008-SF3を使用)では、インラインアクティブフロー監視用に最大4つのコレクターを設定できます。Junos OS Evolved 20.4R1以降、PTX10001-36MRおよびPTX10008(JNP10K-LC1202ラインカードとJNP10008-SF3を使用)ルーターでは、インラインアクティブフロー監視用に最大4つのコレクターを設定できます。Junos OS Evolved 21.1R1以降、PTX10004ルーターでは、インラインアクティブフロー監視用に最大4つのコレクターを設定できます。インラインアクティブフロー監視用にファミリー下のコレクターを設定するには、 階層レベルでステートメントflow-serveredit forwarding-options sampling-instance instance-name family (inet | inet6) outputを設定します。最大 4 つのコレクターを指定するには、最大 4 つのflow-serverステートメントを含めます。
インライン アクティブ フロー監視は、論理 CPU(LCPU)に実装されます。フローの作成、フローの更新、フロー レコードのエクスポートなどのすべての機能は、LCPU によって実行されます。フロー レコードは、IPFIX 形式またはバージョン 9 形式のいずれかで送信されます。
Junos OS Evolvedリリース21.2R1およびJunos OSリリース21.3R1以降、フローは維持されません。サンプリングされたパケットはすべてフローと見なされます。サンプルされたパケットを受信すると、フローが作成され、すぐに非アクティブとしてタイムアウトし、ソフトウェアはレコードをコレクターにエクスポートします。したがって、コレクターに送信されるレコードの数は以前よりも多くなります。IPFIX およびバージョン 9 のオプション テンプレート データ レコードの (要素 ID 36) フィールドと Flow Inactive Timeout (要素 ID 37) フィールドに 0 Flow Active Timeout が含まれるようになりました。したがって、オプション テンプレート データ レコードは IPFIX RFC 7011 に準拠していません。これで、運用モードコマンドで、 show services accounting flow inline-jflow fpc-slot slot Active Flows Timed Out および のすべてのフィールドに 0 が表示されるようになりました。これで、さまざまなTotal Flowsフィールドの値は、それぞれのFlow Packetsフィールド値と等しくなります。これで、さまざまなFlows Inactive Timed Outフィールドの値は、それぞれのFlow Packetsフィールド値と等しくなります。このフローなし動作に対する 階層レベルの ステートメント[edit services flow-monitoring version version template template-name]の効果nexthop-learningは、オペレーティングシステムによって異なります。Junos OS Evolvedでは、処理できるパケット数が減少するので、 ステートメントを設定するnexthop-learningことはお勧めしません。Junos OSの場合、 ステートメントを設定してnexthop-learning、このデフォルトのフローなし動作を変更し、再度フローを作成および維持してから、以前の動作を必要とするFPCに関連するすべてのサンプリングインスタンスにテンプレートをアタッチできます。
Junos OSおよびJunos OS Evolvedのインラインアクティブフロー監視機能には、以下の制限が適用されます。
-
エグレスMPLSフィルターは、PTX10001-36MR、PTX10003、PTX10004、およびPTX10008(JNP10008-SF3を使用)ルーターではサポートされていません。
-
PTX10001-36MRルーターは、ルーティングエンジンが1つしかないため、複数のFPCサンプリング収集をサポートしていません。
-
真の発信インターフェイス(OIF)レポートは、エグレスサンプリングではサポートされていません。Junos OS Evolvedでは、GREのカプセル化解除パケットに対して、真の発信インターフェイス(OIF)の報告はサポートされていません。
-
この要素はバージョン 9 のエクスポート バージョンには存在しないため、真の受信インターフェイスのインターフェイス タイプ フィールドはバージョン 9 テンプレートの一部ではありません。
-
PTX10003 ルーターの GRE トンネル トラフィックの場合、物理インターフェイスはレイヤー 2 ヘッダーで報告され、フロー作成時のキーの 1 つと見なされます。そのため、物理インターフェイスが集約されたイーサネットバンドル内外に移動すると、新しいフローが作成され、古いフローは一定期間非アクティブになるとタイムアウトします。物理インターフェイス、論理インターフェイス、または集合論理インターフェイス(設定に基づく)は、設定に基づくエクスポートレコードで受信インターフェイスとして報告されます。
PTX10008(JNP10008-SF3 を使用する)ルーターの GRE トンネル トラフィックの場合、FTI インターフェイスは GRE トンネルを終端するように設定されています。このインターフェイスは、物理インターフェイスではなく、フローの作成時にキーの 1 つとして使用されます。そのため、物理インターフェイスを集約されたイーサネットバンドル内外に移動しても、キーは変更されないため、新しいフローは作成されません。物理インターフェイス、論理インターフェイス、または(設定に基づく)集約された論理インターフェイスは、エクスポートされたレコードの受信インターフェイスとして報告されます。
PTXシリーズルーターでインラインアクティブフロー監視を設定する方法
概要 この例では、IPv4 および IPv6 トラフィック フローを記録するためのテンプレートを設定します version-ipfix 。
- 出力プロパティを指定するためのテンプレートの設定
- 入力プロパティを指定するサンプリング インスタンスの構成
- FPCへのサンプリングインスタンスの割り当て
- フローを受け入れてサンプル フローを実行するようにファイアウォール フィルターを構成する
- ファイアウォールフィルターをインターフェイスに割り当てる
- サンプル構成の結果
出力プロパティを指定するためのテンプレートの設定
-
テンプレートを定義し、テンプレートで記録するフローのタイプを設定します。
[edit services flow-monitoring] user@host# set version-ipfix template template-name ipv4-template user@host# set version-ipfix template template-name ipv6-template user@host# set version-ipfix template template-name mpls-template
-
(オプション)フロー タイムアウト間隔やテンプレート/オプションのリフレッシュ レートなど、テンプレートの追加出力プロパティを設定して、フロー レコードを制御します。
オプションを使用すると
template-refresh-rate、フロージェネレータがテンプレート定義に関する更新をフローコレクタに送信する頻度を、パケット数または秒数を使用して設定できます。[edit services flow-monitoring] user@host# set version-ipfix template template-name flow-active-timeout seconds user@host# set version-ipfix template template-name flow-inactive-timeout seconds user@host# set version-ipfix template template-name template-refresh-rate (packets packets | seconds seconds) user@host# set version-ipfix template template-name option-refresh-rate (packets packets | seconds seconds)
- (オプション)
MPLS フローを監視する場合、つまり、使用中のテンプレートが MPLS プロトコル ファミリー用に設定されている場合は、MPLS
tunnel-observationフローのタイプを識別するための オプションを使用します。[edit services flow-monitoring] user@host# set version-ipfix template template-name tunnel-observation (ipv4 | ipv6 | mpls-over-udp)
-
(オプション)ネクストホップアドレスの学習を有効にして、真の発信インターフェイスが報告されるようにします。
メモ：Junos OS Evolved 21.2R1以降、ネクストホップアドレスの学習を有効にすることは、処理可能なパケット数を減らすため、推奨しません。ただし、Junos OS リリース 21.3R1 以降では、 ステートメントを設定して
nexthop-learningデフォルトのフローなし動作を変更し、もう一度フローを作成および維持してから、以前の動作を必要とする FPC に関連するすべてのサンプリング インスタンスにテンプレートをアタッチできます。[edit services flow-monitoring] user@host# set version-ipfix template template-name nexthop-learning enable
入力プロパティを指定するサンプリング インスタンスの構成
-
サンプリング インスタンスを定義し、サンプリングするパケット数の比率を設定します。例えば、レート 10 を指定すると、10 パケットごと(10 パケットのうち 1 パケット)がサンプリングされます。
[edit forwarding-options sampling] user@host# set instance instance-name input rate number
ベスト プラクティス:MPLS フローには 1000 以上の値を使用することをお勧めします。
-
サンプリングインスタンスのプロトコルファミリーを設定し、トラフィックアグリゲートを送信するフローコレクターを指定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname
-
(オプション)フローコレクターの UDP ポートと、サンプリングインスタンスで使用するテンプレートを指定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname port port-number user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname version-ipfix template template-name
-
サンプル化されたパケットのインライン処理を設定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) output inline-jflow source-address address
FPCへのサンプリングインスタンスの割り当て
-
フロー監視を実装するFPCにサンプリングインスタンスを割り当てます。
[edit chassis] user@host# set fpc slot-number sampling-instance instance-name
フローを受け入れてサンプル フローを実行するようにファイアウォール フィルターを構成する
-
プロトコルファミリーのファイアウォールフィルターを設定し、トラフィックフローのサンプリングを有効にします。
[edit firewall] user@host# set family (inet | inet6 | mpls) filter filter-name user@host# set family (inet | inet6 | mpls) filter filter-name term term-name then accept user@host# set family (inet | inet6 | mpls) filter filter-name term term-name then sample
ファイアウォールフィルターをインターフェイスに割り当てる
-
監視するインターフェイスに入力ファイアウォールフィルターを割り当てます。
[edit interfaces] user@host# set interface-name unit unit-number family (inet |inet6 | mpls) filter input filter-name
サンプル構成の結果
次に、 と のインラインフローモニタリング family inet をサポートするインスタンスのサンプリング設定の family inet6例を示します。
[edit chassis]
fpc 0 {
sampling-instance sample-1;
}
[edit services]
flow-monitoring {
version-ipfix {
template test-template {
flow-active-timeout 30;
flow-inactive-timeout 60;
nexthop-learning {
enable;
}
template-refresh-rate {
seconds 10;
}
ipv4-template;
}
template v6 {
ipv6-template;
}
}
}
[edit interfaces]
et-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
output ipv4-filter;
}
address 192.168.100.10/24;
}
}
}
et-1/0/2 {
unit 0 {
family inet6 {
filter {
input ipv6-filter;
output ipv6-filter;
}
address 2001:db8:0:2::1/64;
}
}
}
lo0 {
unit 0 {
family inet {
address 192.168.100.1/32;
}
}
}
[edit forwarding-options]
sampling {
instance sample-1{
ipv4 {
input {
rate 10;
}
family inet {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
test-template;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
family inet6 {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
v6;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
}
}
}
[edit firewall]
family inet {
filter ipv4-filter {
term ipv4-accept {
then {
accept;
sample;
}
}
}
}
family inet6 {
filter ipv6-filter {
term ipv6-accept {
then {
accept;
sample;
}
}
}
}
show services アカウンティング フロー コマンドを使用して、アクティブなフロー統計を確認できます。
変更履歴テーブル
機能のサポートは、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がプラットフォームでサポートされているかどうかを判断します。