PTXシリーズルーターでのインラインアクティブフロー監視の設定
このトピックでは、IPv4およびIPv6トラフィックに対してPTXシリーズルーターでインラインアクティブフロー監視を設定する方法について説明します。
プラットフォームと機能のサポート
表 1 は、インライン アクティブ フロー監視のためのさまざまなタイプのトラフィックに対する PTX シリーズ プラットフォームのサポートを示しています。
| プラットフォーム |
サポート |
|---|---|
| PTX3000 シリーズ |
Junos OS 18.1R1 - IPv4 および IPv6 トラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1 — MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX5000 シリーズ |
Junos OS 18.1R1 - IPv4 および IPv6 トラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX1000 |
Junos OS 17.3R1 — IPv4 および IPv6 トラフィック(バージョン 9 のみ)。 |
| PTX10001-36MR |
Junos OS Evolved 20.3R1 — IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10002-60C |
Junos OS 18.4R1— IPv4 および IPv6 トラフィック(IPFIX とバージョン 9 の両方)。 Junos OS 19.4R1 — MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10003 |
Junos OS Evolved 19.3R1— IPv4 および IPv6 トラフィック(IPFIX およびバージョン 9)。 Junos OS Evolved 20.1R1 — MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10004 |
Junos OS Evolved 20.4R1 — IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック(IPFIX およびバージョン 9) |
| PTX10008(JNP10008-SF3 および JNP10K-LC1201 ライン カード搭載) |
Junos OS Evolved 19.3R1— IPv4 および IPv6 トラフィック(IPFIX およびバージョン 9)。 Junos OS Evolved 20.1R1 — MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
| PTX10008(JNP10008-SF3 および JNP10K-LC1202 ライン カード使用) |
Junos OS Evolved 20.3R1 — IPv4、IPv6、MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック(IPFIX およびバージョン 9) |
| PTX10008(JNP10008-SF3 なし)および PTX10016 |
Junos OS 18.1R1 - IPv4 および IPv6 トラフィック(IPFIX とバージョン 9 の両方) Junos OS 18.2R1 — MPLS、MPLS-IPv4、MPLS-IPv6 トラフィック。 |
PTXシリーズルーター上のMPLS-over UDPトラフィックのインラインフロー監視を設定するには、 PTXシリーズルーター上のMPLS-over-UDPフローのインラインアクティブフロー監視を参照してください。MPLS-over-UDP トラフィックのインライン アクティブ フロー監視は、PTX10001-36MR、PTX10003、PTX10004、PTX10008(JNP10008-SF3 を使用)ルーターではサポートされていません。
Junos OSリリース18.2R1以降、インラインアクティブフロー監視用にファミリーの下に最大4つのコレクターを設定できます。Junos OSの以前のリリースでは、インラインアクティブフロー監視用にファミリーの下に1つのコレクターのみを設定できました。Junos OS Evolved 20.3R1 以降、PTX10003 および PTX10008(JNP10K-LC1201 ライン カードと JNP10008-SF3)ルーターでは、インライン アクティブ フロー監視用に最大 4 個のコレクターを設定できます。Junos OS Evolved 20.4R1 以降、PTX10001-36MR および PTX10008(JNP10K-LC1202 ライン カードおよび JNP10008-SF3)ルーターでは、インライン アクティブ フロー監視用に最大 4 個のコレクターを設定できます。Junos OS Evolved 21.1R1 以降、PTX10004 ルーターでは、インライン アクティブ フロー監視用に最大 4 個のコレクターを設定できます。インラインアクティブフロー監視用にファミリーの下でコレクターを設定するには、 階層レベルで ステートメントをedit forwarding-options sampling-instance instance-name family (inet | inet6) output設定flow-serverします。最大 4 つのコレクターを指定するには、最大 4 つのflow-serverステートメントを含めます。
インラインアクティブフロー監視は、LCPU(論理CPU)に実装されます。フロー作成、フロー更新、フローレコードのエクスポートなどのすべての機能は、LCPUによって行われます。フロー・レコードは、IPFIX フォーマットまたはバージョン 9 形式のいずれかで送信されます。
Junos OS Evolved リリース 21.2R1 および Junos OS リリース 21.3R1 以降、フローは維持されません。サンプルされたパケットはすべてフローと見なされます。サンプルされたパケットを受信すると、フローが作成され、すぐに非アクティブとしてタイムアウトし、ソフトウェアがコレクターにレコードをエクスポートします。そのため、コレクターに送信されるレコードの数が以前よりも多くなります。IPFIX およびバージョン 9 オプション・テンプレート・データ・レコードには、(エレメント ID 36) フィールドおよび Flow Inactive Timeout (エレメント ID 37) フィールドに 0 Flow Active Timeout が入っています。そのため、オプション テンプレート データ レコードは、IPFIX RFC 7011 に準拠していません。操作モード コマンドはshow services accounting flow inline-jflow fpc-slot slot、 および Timed Out のすべてのフィールドに対して 0 をActive Flows表示します。さまざまなTotal Flowsフィールドの値は、それぞれのFlow Packetsフィールド値と同じになりました。さまざまなFlows Inactive Timed Outフィールドの値は、それぞれのFlow Packetsフィールド値と同じになりました。階層レベルでの [edit services flow-monitoring version version template template-name] ステートメントがこのnexthop-learningフローなし動作に与える影響は、オペレーティング システムによって異なります。Junos OS Evolvedの場合、処理可能なパケット数がnexthop-learning減少するため、 ステートメントを設定することは推奨しません。Junos OSでは、 ステートメントをnexthop-learning設定して、このデフォルトのフローなし動作を変更し、フローの作成と維持を再度行ってから、前の動作を必要とするFPCに関連するすべてのサンプリングインスタンスにテンプレートをアタッチできます。
Junos OSおよびJunos OS Evolvedのインラインアクティブフロー監視機能には、以下の制限と制限が適用されます。
-
エグレスMPLSフィルターは、PTX10001-36MR、PTX10003、PTX10004、およびPTX10008(JNP10008-SF3)ルーターではサポートされていません。
-
PTX10001-36MR ルーターは、ルーティング エンジンが 1 つしかないため、複数の FPC サンプリング収集をサポートしていません。
-
エグレス サンプリングでは、真の OIF(発信インターフェイス)レポートはサポートされていません。Junos OS Evolvedでは、GRE カプセル化解除パケットに対する真の OIF(発信インターフェイス)レポートはサポートされていません。
-
真の受信インターフェイスのインターフェイス タイプ フィールドは、バージョン 9 のエクスポート バージョンにこの要素は存在しないため、バージョン 9 テンプレートの一部ではありません。
-
PTX10003 ルーター上の GRE トンネル トラフィックの場合、物理インターフェイスはレイヤー 2 ヘッダーで報告され、フロー作成時に鍵の 1 つと見なされます。そのため、物理インターフェイスが集約されたイーサネット・バンドル内または集合型イーサネット・バンドル外に移動すると、新しいフローが作成され、一定時間非アクティブになると古いフローがタイムアウトします。物理インターフェイス、論理インターフェイス、または集合型論理インターフェイス(設定に基づく)は、設定に基づいてエクスポートレコードの受信インターフェイスとして報告されます。
PTX10008(JNP10008-SF3 を使用)ルーターの GRE トンネル トラフィックの場合、FTI インターフェイスが GRE トンネルを終端するように設定されています。このインターフェイスは、物理インターフェイスではなく、フローの作成時にキーの 1 つとして使用されます。したがって、物理インターフェイスが集約されたイーサネット・バンドル内または集合型イーサネット・バンドル外に移動された場合、キーが変更されずに残されるため、新しいフローは作成されません。物理インターフェイス、論理インターフェイス、または集合型論理インターフェイス(設定に基づく)は、エクスポートされたレコードの受信インターフェイスとして報告されます。
PTXシリーズルーターでインラインアクティブフロー監視を設定する方法
概要 この例では、IPv4およびIPv6トラフィックフローを記録するテンプレートを設定 version-ipfix します。
- 出力プロパティを指定するテンプレートの設定
- 入力プロパティを指定するサンプリングインスタンスの設定
- FPC へのサンプリング インスタンスの割り当て
- フローを受け入れ、サンプルするようにファイアウォールフィルターを設定する
- インターフェイスへのファイアウォールフィルターの割り当て
- 設定例の結果
出力プロパティを指定するテンプレートの設定
-
テンプレートを定義し、テンプレートが記録するフローのタイプを設定します。
[edit services flow-monitoring] user@host# set version-ipfix template template-name ipv4-template user@host# set version-ipfix template template-name ipv6-template user@host# set version-ipfix template template-name mpls-template
-
(オプション)フローレコードを制御するために、フロータイムアウト間隔やテンプレート/オプションのリフレッシュレートなど、テンプレートの追加の出力プロパティを設定します。
オプションを
template-refresh-rate使用して、フロー ジェネレータがパケット数または秒を使用してテンプレート定義に関する更新をフロー コレクターに送信する頻度を設定できます。[edit services flow-monitoring] user@host# set version-ipfix template template-name flow-active-timeout seconds user@host# set version-ipfix template template-name flow-inactive-timeout seconds user@host# set version-ipfix template template-name template-refresh-rate (packets packets | seconds seconds) user@host# set version-ipfix template template-name option-refresh-rate (packets packets | seconds seconds)
- (オプション)
MPLS フローを監視する場合、つまり、使用中のテンプレートが MPLS プロトコル ファミリー用に設定されている場合、 オプションを
tunnel-observation使用して MPLS フローのタイプを識別します。[edit services flow-monitoring] user@host# set version-ipfix template template-name tunnel-observation (ipv4 | ipv6 | mpls-over-udp)
-
(オプション)真の発信インターフェイスが報告されるように、ネクストホップアドレスの学習を有効にします。
メモ：Junos OS Evolved 21.2R1 以降、処理可能なパケット数が減少するため、ネクストホップ アドレスの学習を有効にすることはお勧めしません。ただし、Junos OS リリース 21.3R1 以降では、 ステートメントを設定
nexthop-learningしてデフォルトのノーフロー動作を変更し、フローの作成と維持を再度実行してから、前の動作を必要とする FPC に関連するすべてのサンプリング インスタンスにテンプレートをアタッチできます。[edit services flow-monitoring] user@host# set version-ipfix tempate template-name nexthop-learning enable
入力プロパティを指定するサンプリングインスタンスの設定
-
サンプリングインスタンスを定義し、サンプリングするパケット数の比率を設定します。例えば、レートを 10 に指定すると、10 番目のパケット(10 個のうち 1 パケット)がサンプリングされます。
[edit forwarding-options sampling] user@host# set instance instance-name input rate number
ベスト プラクティス:MPLS フローには 1000 以上の値を使用することをお勧めします。
-
サンプリングインスタンスのプロトコルファミリーを設定し、トラフィック集約を送信するフローコレクターを指定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname
-
(オプション)サンプリング インスタンスで使用するフロー コレクターとテンプレートの UDP ポートを指定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname port port-number user@host# set instance instance-name family (inet | inet6 | mpls) flow-server hostname version-ipfix template template-name
-
サンプルされたパケットのインライン処理を設定します。
[edit forwarding-options sampling] user@host# set instance instance-name family (inet | inet6 | mpls) output inline-flow source-address address
FPC へのサンプリング インスタンスの割り当て
-
フロー監視を実装するFPCにサンプリングインスタンスを割り当てます。
[edit chassis] user@host# set fpc slot-number sampling-instance instance-name
フローを受け入れ、サンプルするようにファイアウォールフィルターを設定する
-
プロトコルファミリーのファイアウォールフィルターを設定し、トラフィックフローのサンプリングを有効にします。
[edit firewall] user@host# set family (inet | inet6 | mpls) filter filter-name user@host# set family (inet | inet6 | mpls) filter filter-nameterm term-name then accept user@host# set family (inet | inet6 | mpls) filter filter-nameterm term-name then sample
インターフェイスへのファイアウォールフィルターの割り当て
-
監視するインターフェイスに入力ファイアウォールフィルターを割り当てます。
[edit interfaces] user@host# set interface-name unit unit-number family (inet |inet6 | mpls) filter input filter-name
設定例の結果
以下は、オンとオンのインラインフロー監視 family inet をサポートするインスタンスのサンプリング設定の例です family inet6。
[edit chassis]
fpc 0 {
sampling-instance sample-1;
}
[edit services]
flow-monitoring {
version-ipfix {
template test-template {
flow-active-timeout 30;
flow-inactive-timeout 60;
nexthop-learning {
enable;
}
template-refresh-rate {
seconds 10;
}
ipv4-template;
}
template v6 {
ipv6-template;
}
}
}
[edit interfaces]
et-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
}
}
}
}
lo0 {
unit 0 {
family inet {
address 192.168.100.1/32;
}
}
}
[edit forwarding-options]
sampling {
instance {
ipv4 {
input {
rate 10;
}
family inet {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
test-template;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
family inet6 {
output {
flow-server 10.208.174.127 {
port 2055;
version-ipfix {
template {
v6;
}
}
}
inline-jflow {
source-address 192.168.100.1;
}
}
}
}
}
}
[edit services]
flow-monitoring {
version-ipfix {
template test-template {
flow-active-timeout 30;
flow-inactive-timeout 60;
nexthop-learning {
enable;
}
template-refresh-rate {
seconds 10;
}
ipv4-template;
}
template v6 {
ipv6-template;
}
}
}
show servicesアカウンティングフローコマンドを使用して、アクティブフロー統計を検証できます。