このページの内容

VXLAN向けソフトウェアベースFBTの概要
VXLAN向けソフトウェアベースFBTの設定

VXLAN(QFX5120、QFX5240、QFX5241)向けソフトウェアベースのフローベーステレメトリ

Junos OSのVXLAN向けソフトウェアベースのフローベーステレメトリ(FBT)により、IRBインターフェイス上でフローレベルごとの分析が可能になり、インライン監視サービスを使用してフローを作成、収集し、オープンスタンダードのIPFIX(IP Flow Information Export)テンプレートを使用してコレクターにエクスポートしてフローを整理できます。

VXLAN向けソフトウェアベースFBTの概要

VXLAN向けソフトウェアベースのFBTは、中央ルーティングされたブリッジング(CRB)またはエッジルーティングされたブリッジング(ERB)オーバーレイを持つVXLANのインラインテレメトリデータを可能にします。VXLAN向けソフトウェアベースのFBTは、インライン監視サービスを使用してフローを作成、収集、コレクターにエクスポートすることで、IRBインターフェイスのフローレベルごとの分析を可能にします。インライン監視サービスを使用すると、インターフェイスのingress方向とegress方向の両方で、すべてのIPv4およびIPv6パケットを監視できます。

VXLAN向けソフトウェアベースFBTのメリット
フローエクスポートの概要
制限と注意事項

VXLAN向けソフトウェアベースFBTのメリット

VXLAN向けソフトウェアベースのFBTを使用すると、CRBオーバーレイまたはERBオーバーレイを持つEVPN-VXLANアーキテクチャのインラインテレメトリデータを有効にし、ネットワークに関する追加の情報ソースを提供できます。

CRBオーバーレイを備えたVXLANには、コアスイッチがレイヤー/レイヤー3 VXLANゲートウェイとして設定されており、仮想ネットワーク用のIRB(統合型ルーティングおよびブリッジング)インターフェイスがコアスイッチで設定されています。対照的に、ERB オーバーレイを備えた VXLAN のコアスイッチは、EVPN タイプ 2 およびタイプ 5 ルートのトランスポートを提供し、IRB インターフェイスは分散型スイッチで設定されます。ERB設計により、サーバー間キャンパス内のトラフィックも高速化できます。その結果、ERBオーバーレイでは、CRBオーバーレイの場合よりもエンドシステムの近くでルーティングが行われます。図1と図2 は、これらのオーバーレイのトポロジーの例を示しています。これらのEVPN-VXLANアーキテクチャの詳細については、技術入門:キャンパス向けEVPN-VXLANファブリックを参照してください。

図1:CRB(Centrally-Routed Bridging)トポロジー Centrally-Routed Bridging (CRB) Topology

図2:エッジルーティングブリッジング(ERB)トポロジー Network diagram showing a hierarchical structure: SRX Series Device, WAN Router, Core 1 and Core 2 with IPs 192.168.0.1/32 and 192.168.0.2/32, Distribution 1 and 2 with IPs 192.168.1.1/32 and 192.168.1.2/32, EX4300-VC, EX4300, Mist APs, and ESI connection.

Network diagram showing a hierarchical structure: SRX Series Device, WAN Router, Core 1 and Core 2 with IPs 192.168.0.1/32 and 192.168.0.2/32, Distribution 1 and 2 with IPs 192.168.1.1/32 and 192.168.1.2/32, EX4300-VC, EX4300, Mist APs, and ESI connection.

フローエクスポートの概要

VXLAN向けソフトウェアベースのFBTは、ソフトウェアベースのIPFIXフローエクスポートを使用します。(IPFIXはRFC 7011で定義されています。)フローとは、インターフェイス上に同じコアパラメータセットを持つパケットのシーケンスであり、その中には送信元IP、宛先IP、送信元ポート、宛先ポート、プロトコルなどがあります。このコアとなるパラメータセットはフローキーと呼ばれ、ソフトウェアはこのキーを使用してフローについて学習します。ソフトウェアはフローごとにさまざまなパラメータを収集し、オープンスタンダードのIPFIXテンプレートを使用して、設定されたクリップ長までの実際のパケットをコレクターにエクスポートし、フローを整理します。フローにアクティブなトラフィックがなくなると、設定された非アクティブタイムアウト期間([edit services inline-monitoring template template-name]階層レベルでflow-inactive-timeoutステートメントを設定する)後に、フローはエージングアウトされます。

VXLAN 向けソフトウェアベースの FBT の場合、フローキーは、監視するトラフィックが IPv4 と IPv6 のどちらかによって異なります。IPv4トラフィックのフローキーを表1 に、IPv6トラフィックのフローキーを表2に説明します。IPv4 と IPv6 の両方のトラフィックについて、フローには、キーフィールドに加えて、イングレスポートとエグレスポート、フローの開始時刻と終了時刻、バイト数とパケット数の差分などのフィールドが含まれています。フロー開始時刻は、ソフトウェアがフローを学習したタイムスタンプです。フロー停止時刻は、最新のカウンタークエリのタイムスタンプです。IPv4トラフィック用のIPFIXデータテンプレートの例を図3に示します。

表1:IPv4フローキー
フィールド	フィールドサイズ(バイト単位)
送信元IPアドレス	4
宛先IPアドレス	4
プロトコル(TCPまたはUDP)	1
送信元ポート(TCPまたはUDP)	2
宛先ポート(TCPまたはUDP)	2
仮想ルーティングおよび転送テーブル(VRF)識別子	2
イングレスポート	1
VXLANネットワーク識別子(レイヤー2セグメントID)	3

表2:IPv6フローキー
フィールド	フィールドサイズ(バイト単位)
送信元IPアドレス	4
宛先IPアドレス	4
プロトコル(TCPまたはUDP)	1
送信元ポート(TCPまたはUDP)	2
宛先ポート(TCPまたはUDP)	2
仮想ルーティングおよび転送テーブル(VRF)識別子	2

図3:IPv4トラフィック

Decoded NetFlow IPFIX packet showing version 10, length 76 bytes, timestamp Jan 24, 2022, flow sequence 1159, observation domain ID 167837696. Data template set with flow set ID 2, length 60 bytes, template ID 65000, field count 13. Fields: source and destination IP addresses, protocol, Layer 4 source and destination ports, ingress and egress interfaces, flow start and end times, packets, bytes. Used for network monitoring and analysis.

用のサンプルIPFIXデータテンプレート

制限と注意事項

VXLAN向けソフトウェアベースのFBTは、QFX5120-32CおよびQFX5120-48Y-8CスイッチのJunos OSでサポートされています。Junos OS Evolvedリリース25.2X100D30以降、ソフトウェアベースのFBTは、QFX5240スイッチとQFX5241スイッチのJunos OS Evolvedでサポートされています。

いくつかの制限と注意点は、サポートされているすべてのプラットフォームに共通です。一部のプラットフォームには、プラットフォームに固有の制限や注意点があります。表3に、これらの制限と注意事項を示します。

表3:プラットフォーム別にまとめられた制限事項と注意事項
プラットフォーム	制限と注意事項
サポートされるすべてのプラットフォーム	すべてのコレクターは IPv4 コレクターである必要があります。コレクターには、管理インターフェイスやループバックインターフェイスだけでなく、ネットワークインターフェイスを介して到達可能である必要があります。ソフトウェアは、フローのエージングにTCP FIN/RSTフラグを使用しません。このソフトウェアは、パケット内にレイヤー3ヘッダーを必要とし、TCPおよびUDPプロトコルのみをサポートします。エグレスポートが別のVRFにある場合、報告されたエグレスポートは、LAG、ECMP、ブロードキャスト、マルチキャスト、または不明なトラフィックで正しくない可能性があります。 IRB インターフェイスのみがサポートされます。CRBオーバーレイを使用したEVPN-VXLANネットワークの場合、監視できるのはスパイン上のIRBインターフェイスのみです。ERBオーバーレイがあるEVPN-VXLANネットワークでは、リーフ上のIRBインターフェイスのみを監視できます。ソフトウェアがフローを学習し、フローテーブルにフローをインストールするまで、カウンターはアクティブになりません。
QFX5120スイッチ	IPFIXオプションデータレコードとIPFIXオプションデータテンプレートはサポートされていません。オプションテンプレート識別子や転送クラスを設定することはできません。ソフトウェアベースのFBTは、VXLAN-GBPではサポートされていません。サポートされているインライン監視インスタンスとコレクターは 1 つだけです。フローの学習と追跡は、外部トンネルヘッダーではなく、クライアントトラフィックデータのみに基づいています。フロー学習はソフトウェアベースで、1フローあたり最大10秒かかります。 IPv6トラフィックの場合、フローテーブルの一致に最大6タプルがサポートされています。そのため、IPv6フローテーブルキーは、送信元IPアドレス、宛先IPアドレス、プロトコル(TCPまたはUDP)、送信元ポート番号、宛先ポート番号、VRF IDで構成されます。
QFX5240およびQFX5241スイッチ	サポートされているのは、2つのインライン監視インスタンス(IPv4トラフィック用に1つ、IPv6トラフィック用に1つ)と4つのコレクターのみです。 IPv4宛先アドレスのみがフローレコードに正しく表示されます。IPv6の宛先アドレスは `::`として表示されます。

VXLAN向けソフトウェアベースFBTの設定

VXLAN向けソフトウェアベースのFBTは、中央ルーティングされたブリッジング(CRB)またはエッジルーティングされたブリッジング(ERB)オーバーレイを持つVXLANのインラインテレメトリデータを可能にします。VXLAN 向け FBT は、IRB インターフェイスのフローレベルごとの分析を可能にし、インライン監視サービスを使用してフローを作成、収集し、コレクターにエクスポートします。インライン監視サービスを使用すると、インターフェイスのingress方向とegress方向の両方で、すべてのIPv4およびIPv6パケットを監視できます。

VXLANにソフトウェアベースのFBTを設定する前に、まずソフトウェアベースのIPFIXフローエクスポートを有効にし、フローを学習するために統合転送テーブルに完全一致メモリを割り当てる必要があります。統合転送テーブルに設定する内容は、デバイスモデルによって異なります。

QFX5120-32CおよびQFX5120-48Y-8Cスイッチの統合転送テーブルを設定するには、次の手順に従います。
set chassis forwarding-options em-hw-profileコマンドは、VXLAN-GBPに対して設定する必要があるコマンドset chassis forwarding-options vxlan-gbp-profileと相互に排他的です。そのため、同じデバイスで両方のコマンドを設定することはできません。

QFX5240スイッチとQFX5241スイッチの統合転送テーブルを設定するには:

設定をコミットすると、システムはシステムを再起動するように求めます。

VXLANにソフトウェアベースのFBTを設定するには:

IPFIXテンプレートを定義します。

テンプレートの属性を設定するには:

この例では、非アクティブフローのタイムアウト期間を10秒、テンプレートのリフレッシュレートを30秒に設定し、テンプレート識別子を設定し、IPv4テンプレートを使用しています。

インスタンスにテンプレートを添付し、コレクターについて説明します。

VXLAN向けソフトウェアベースのFBTは、コレクターのIPv4アドレスのみをサポートします。インスタンスとコレクターを設定するには:

この例では、 template_1という名前のテンプレートを作成し、インライン監視インスタンス i1を作成し、IPv4アドレスを使用してコレクター c2 の設定を作成します。

ファイアウォールフィルターを作成し、アクション inline-monitoring-instanceを設定します。

ファイアウォールフィルターを設定するには:

この例では、 ipv4_ingressという名前のIPv4ファイアウォールフィルターを設定し、用語名 rule1 にアクション inline-monitoring-instanceが含まれ、インライン監視インスタンス i1 がこれにマッピングされます。

ファイアウォールフィルターを、すでに設定済みのインターフェイスの論理ユニットの下にあるファミリにマッピングして、イングレス方向にインライン監視を適用します。
ファイアウォールフィルターをマッピングするには:
この例では、 ipv4_ingress ファイアウォールフィルターをユニット100の inet ファミリーにマッピングします。
設定をコミットします。
show services inline-monitoring statistics fpc-slot slot-number コマンドでインライン監視統計を監視します。

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。機能エクスプローラーを使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース

説明

25.2X100D30-EVO

QFX5240スイッチとQFX5241スイッチのVXLANにソフトウェアベースのフローベースのテレメトリ(FBT)を設定できます。VXLAN向けFBTは、中央ルーティングされたブリッジング(CRB)またはエッジルーティングされたブリッジング(ERB)オーバーレイのいずれかを持つVXLANのインラインテレメトリデータを可能にします。VXLAN 向け FBT は、IRB インターフェイスのフローレベルごとの分析を可能にし、インライン監視サービスを使用してフローを作成、収集し、コレクターにエクスポートします。

22.2R1

QFX5120-32CおよびQFX5120-48Y-8CスイッチのVXLANにソフトウェアベースのフローベーステレメトリ(FBT)を設定できます。VXLAN向けFBTは、中央ルーティングされたブリッジング(CRB)またはエッジルーティングされたブリッジング(ERB)オーバーレイのいずれかを持つVXLANのインラインテレメトリデータを可能にします。VXLAN 向け FBT は、IRB インターフェイスのフローレベルごとの分析を可能にし、インライン監視サービスを使用してフローを作成、収集し、コレクターにエクスポートします。