Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

インライン監視サービスの設定

インライン監視サービスについて

インライン監視サービスのメリット

柔軟性—インライン監視サービスでは、すべてのインスタンスがFPC(フレキシブルPICコンセントレータ)にマッピングされる従来のサンプリング技術とは異なり、異なるインライン監視インスタンスを異なるファイアウォールフィルター条件にマッピングすることができます。これにより、単一のインターフェイス上で異なるレートで異なるトラフィックストリームをサンプリングする柔軟性が得られます。

パケット形式に依存しない - 従来のフロー収集技術は、ネットワーク要素によるパケット解析とアグリゲーションに依存しています。インライン監視サービスでは、パケットヘッダーがコレクターにエクスポートされ、さらなる処理が行われますが、アグリゲーションは行われません。これにより、任意のパケットフィールドを使用して、コレクターで監視対象パケットを処理できるという利点があります。

インライン監視サービス機能の概要

サービスプロバイダやコンテンツプロバイダは通常、ピアリング契約の評価、トラフィックの異常やポリシー違反の検知、ネットワークパフォーマンスの監視のために、トラフィックフローの可視化を必要とします。これらの要件を満たすため、従来はインラインのアクティブフロー監視またはIPFIXバリアントを使用して、総フロー統計情報をエクスポートしていました。

別の方法として、パケットの内容をサンプリングし、メタデータ情報を追加し、監視されたパケットをコレクターにエクスポートすることもできます。インライン監視サービスを使用すると、MXシリーズルーターとJunos OS Evolvedを実行するPTXルーターでこれを行うことができます。

インライン監視サービスを使用すると、インターフェイスのingress方向とegress方向の両方で、すべてのIPv4およびIPv6パケットを監視できます。MX304ルーターのJunos OSリリース26.2R1以降、IPFIXまたはsFlowバージョン5(RFC 3176)のエクスポート形式を選択できます。IPFIXがデフォルトのエクスポート形式です。IPFIXエクスポート形式は、すべてのトラフィックファミリーをサポートします。sFlowバージョン5のエクスポート形式は、 family inet と family inet6のみをサポートします。

インライン監視サービスインスタンスは、IPFIXエクスポートバージョンまたはsFlowバージョン5エクスポートバージョンのいずれかをサポートできます。1つのインライン監視サービスインスタンスで両方のバージョンをサポートすることはできません。また、1つのインスタンスでエクスポート形式を切り替えることもお勧めしません。エクスポート形式ごとに異なるインスタンスを設定する必要があります。

テンプレートは、IPFIXエクスポート形式用にのみ設定します。インライン監視サービスインスタンスに sflow-v5 エクスポートフォーマットステートメントが設定されている場合、テンプレートを設定することはできません。

sFlow規格の詳細については、 RFC3176を参照してください。sFlow バージョン 5 フォーマットの詳細については、「 sFlow バージョン 5」を参照してください。

インライン監視サービスIPFIXエクスポート形式の概要

インライン監視サービスを使用すると、インターフェイスのingress方向とegress方向の両方で、すべてのIPv4およびIPv6パケットを監視できます。このソフトウェアは、監視されたトラフィックをIPFIX形式でカプセル化し、設定されたクリップ長までの実際のパケットをコレクターにエクスポートして、さらに処理します。デフォルトでは、Junos OSはイーサネットヘッダーから始まる最大126バイトのクリップ長をサポートし、Junos OS Evolvedはイーサネットヘッダーから始まる最大256バイトのクリップ長をサポートします。

図 1 は、IPFIX フォーマットの仕様を示しています。

図1:インライン監視IPFIX仕様Table of IPFIX Information Elements: ID, Length, Description, and Details. Includes ingressInterface, egressInterface, flowDirection, dataLinkFrameSize, and dataLinkFrameSelection. Describes network data structure with protocol layers like Ethernet and IP.

IPFIXヘッダーとIPFIXペイロードは、IPまたはUDPトランスポート層を使用してカプセル化されます。エクスポートされたIPFIX形式には、すべてのコレクターにエクスポートされる2つのデータレコードと2つのデータテンプレートが含まれています。

  • データレコード—着信および発信インターフェイス、フロー方向、データリンクフレームセクション、データリンクフレームサイズが含まれます。この情報は、サンプリングされたパケットがエクスポートされている場合にのみコレクターに送信されます。

    図2 は、IPFIXデータレコードパケットの例です。

  • オプションデータレコード—エクスポートプロセスID、サンプリング間隔などのシステムレベルの情報が含まれます。この情報は、サンプリングパケットがエクスポートされているかどうかに関係なく、定期的にコレクターに送信されます。

    図3 は、IPFIXオプションのデータレコードパケットの例です。

    表1:IPFIXオプションデータパケットの情報要素フィールド

    番号

    情報要素ID

    情報要素の長さ

    詳細

    1

    144

    4B

    監視ドメインID - IPFIXデバイスごとのエクスポートプロセスの一意の識別子。このフィールドの目的は、他の情報要素フィールドの範囲を制限することです。

    2

    34

    4B

    パケットがサンプリングされるサンプリング間隔。1000 は、1000 パケットのうちの 1 つがサンプリングされることを示します。

  • データテンプレート - 5つの情報要素が含まれます。

    • イングレスインターフェイス

    • エグレスインターフェイス

    • フロー方向

    • データリンクフレームサイズ

    • 可変データリンクフレーム選択

    図4 は、IPFIXデータテンプレートパケットの例です。

  • オプションデータテンプレート—フローエクスポーターとサンプリング間隔情報が含まれます。

    図5 は、IPFIXオプションデータテンプレートパケットのサンプル図です。

インライン監視サービス設定が新規または変更された場合、データテンプレートとオプションデータテンプレートの定期的なエクスポートが直ちに各コレクターに送信されます。

図2:IPFIXデータレコードIPFIX Data Record
図3:IPFIXオプションデータレコードScreenshot of a decoded network packet showing IPFIX version 10, length 28 bytes, timestamp Feb 28, 2019, flow sequence 11, observation domain ID 1342242816, flow set ID 2600, flow set length 12 bytes, template frame 1, flow exporter 1, and sampling interval 1.
図4:IPFIXデータテンプレートNetwork flow data template showing IPFIX version 10. Timestamp: Feb 28, 2019. FlowSequence: 474. Observation Domain ID: 1342242816. Set ID: 2. Template ID: 2000. Field Count: 5. Fields include INPUT_SNMP, OUTPUT_SNMP, DIRECTION, dataLinkFrameSize, dataLinkFrameSection. Used for network monitoring and traffic analysis.
図5:IPFIXオプションデータテンプレートIPFIX message with version 10, length 36 bytes, timestamp Feb 28, 2019, 14:21:10 IST, FlowSequence 11, Observation Domain ID 1342242816. Set includes FlowSet ID for Options Template, Template ID 2600 with fields FLOW_EXPORTER and SAMPLING_INTERVAL. Used for network monitoring and analysis.

インライン監視サービス sFlow バージョン 5 エクスポート形式の概要

インライン監視サービス(IMON)を使用すると、インターフェイスのイングレス方向とエグレス方向の両方で、すべてのIPv4およびIPv6パケットを監視できます。ソフトウェアは、監視されたトラフィックをsFlowバージョン5形式でカプセル化し、設定されたクリップ長までの実際のパケットをIPv4アドレス可能なコレクターにエクスポートして、さらに処理します。デフォルトでは、Junos OSは、イーサネットヘッダーから始まる最大126バイトのクリップ長をサポートしています。

このエクスポート形式では、各IMONインスタンスの下に最大4つのコレクターを含めることができます。エクスポート形式はコレクターレベルではなくインスタンスレベルで設定されるため、エクスポート形式はそのインスタンスの下にあるすべてのコレクターに適用されます。物理インターフェイスごとに1つの論理インターフェイスでのみトラフィックをサンプリングできます。その論理インターフェイスの下にあるすべてのトラフィックがサンプリングされます。デフォルト以外のVRFを介してsFlowデータグラムをエクスポートできます。

sFlowバージョン5のヘッダーとペイロードは、IPまたはUDPトランスポート層を使用してカプセル化されます。このsFlowバージョン5のデータグラムには、以下のものが含まれます。

  • IPv4データグラムヘッダー

  • UDPデータグラムヘッダー

  • バージョン 5 のデータグラム ヘッダーの例

  • フローサンプルヘッダー

  • 生パケットヘッダー

IPv4データグラムヘッダーには、以下のフィールドが含まれています。

表2:IPv4データグラムヘッダー
フィールド 説明

ipv4.version

4

ipv4.header_length

20

ipv4.tos

CLIコマンド set services inline-monitoring instance name collector name dscpで設定します。

ipv4.total_length

ソフトウェアによって計算されます。

ipv4.identification

LFSRを使用してランダムに生成された値。

ipv4.flags

常に0。

ipv4.fragment_offset

常に0。

ipv4.ttl

250

ipv4.protocol

UDP

ipv4.header_checksum

ソフトウェアによって計算されます。

ipv4.source_address

CLIコマンド set services inline-monitoring instance name collector name source-address addressで設定します。

ipv4.destination_address

CLIコマンド set services inline-monitoring instance name collector name destination-address addressで設定します。

UDP データグラムには、以下のフィールドが含まれています。

表3:UDPデータグラムヘッダー
フィールド 説明

udp.source_port

50151

udp.destination_port

CLIコマンド set services inline-monitoring instance name collector name destination-port port-numberで設定します。

udp.length

ソフトウェアによって計算されます。

udp.checksum

常に0。

これらのデータグラムの情報は、コレクターで確認できます。サンプルキャプチャについては 、図6 を参照してください。

図6:サンプルsFlowバージョン5 IP/UDPデータグラムSample sFlow version 5 IP/UDP Datagram

エクスポートされたデータグラムのsample_datagram_v5ヘッダーのフィールドを表4に示します。このヘッダーは、図9に示すサンプルキャプチャでInMon sFlowラベル付けされています。

表4:サンプルデータグラムバージョン5ヘッダー
フィールド 説明

sample_datagram_v5.version

5

sample_datagram_v5.agent_type

1 - IPv4を示します。

sample_datagram_v5.agent_address

CLIコマンド set services inline-monitoring instance name collector name source-address addressで設定します。

sample_datagram_v5.sub_agent_id

図7に示すように、インライン監視サービスインスタンスインデックス、コレクターインデックス、FPCスロット番号、パケット転送エンジンインスタンスを使用して生成されます。

sample_datagram_v5.sequence_number

データグラムごとに1ずつ増分されるインクリメントシーケンス番号。この番号は、SubAgentIdごとに一意です。

sample_datagram_v5.uptime

デバイスが最後に起動してからの時間(ミリ秒)。

sample_datagram_v5.num_samples

 常に 1.サンプリングされた各パケットは、コレクタへのsFlowデータグラムをトリガーします。
図7:サブエージェントIDフォーマットSub-agent ID Format

エクスポートされたデータグラムのフローサンプルヘッダーのフィールドを表5に示します。このヘッダーは、図9に示すサンプルキャプチャでFlow Sampleラベル付けされています。

表5:フローサンプルヘッダー
フィールド 説明

flow_sample.type

値1は、flow_sampleを示します。

flow_sample.length

sFlow標準に従って計算されます。

flow_sample.sequence_number

シーケンス番号のインクリメント。このソースIDによって生成されたフローサンプルごとに1ずつ増加します。コレクターレベルで維持されます。

flow_sample.source_id

インライン監視サービスインスタンスインデックスとコレクターインデックスを使用して生成されます( 図8を参照)。

flow_sample.sampling_rate

CLIコマンド set services inline-monitoring instance name collector name sampling-rateで設定します。

flow_sample.sample_pool
以下の表に示すように、サンプリングされたすべてのパケットで計算されます。
表5:サンプルプール
パッケージ サンプリングレート sample_pool値

第1位

10

10

第2位

10

+= 10 => 20

3位

20

+= 20 => 40

第4位

30

+= 30 => 70

第5位

10

+= 10 => 80

flow_sample.drops

常に0。

flow_sample.input_interface

イングレスインターフェイスのSNMPインデックス。集合型イーサネットインターフェイスの場合、AEインターフェイスのSNMPインデックスが報告されます。

注:

SNMP インデックスは、論理インターフェイス用ではなく、物理インターフェイス用です。

flow_sample.output_interface

イングレスサンプリングの場合、値は常に0です。

egressサンプリングの場合、egressインターフェイスのSNMPインデックス。集合型イーサネットインターフェイスの場合、AEインターフェイスのSNMPインデックスが報告されます。

ECMP の場合、正確な物理インターフェイス インデックスを報告する必要があります。

注:

SNMP インデックスは、論理インターフェイス用ではなく、物理インターフェイス用です。

flow_sample.flow_record_count

sampled_headerのみが報告されるため、常に1です。他のタイプの構造物は報告されていません。
図8:ソースIDフォーマットSource ID Format

エクスポートされたデータグラムのsampled_headerヘッダーのフィールドを表7に示します。このヘッダーは、図9に示すサンプルキャプチャでRaw Packet Header ラベル付けされています。

表7:sampled_headerヘッダー
フィールド 説明

data length

sFlow標準に従って計算されます。

sampled_header.protocol

sFlow規格に従って常に1。値1はイーサネットトラフィックを示します。

sampled_header.frame_length

イーサネットヘッダーから始まるパケットの元の長さ

sampled_header.stripped

 FCSは削除され、サンプリングされたフレームの一部として報告されないため、常に4

sampled_header.sampled_pkt_length

イーサネットヘッダーのサイズを含む、報告されたサンプリングされたパケットのサイズ

sampled_header.sampled_pkt

最小126バイトまたはパケットの元の長さのイーサネットヘッダーから始まる、最大126バイトのサンプリングされたパケット。サンプリングされたパケットの126バイトを報告するだけで、レイヤー4までの情報を取得できます。例えば、タグなしのVLANや単一のMPLSラベル付きMPLSoUDPパケットの場合、110バイトで十分です。

例 1: イーサネット(18)+V4(20)+UDP(8)+MPLS(4)+InnerV4(20)+TCP(20) = 90バイト

例 2: イーサネット(18)+V4(20)+UDP(8)+MPLS(4)+InnerV6(40)+TCP(20) = 110バイト

これらのヘッダーの情報は、コレクターで確認できます。サンプルについては 図9 を参照してください。

図9:sFlowデータグラムSample Capture of sFlow Datagramのサンプルキャプチャ

インライン監視サービス設定の概要

テンプレートとコレクター固有の設定パラメーターをサポートする最大16個(Junos OS)または7個(Junos OS Evolved)のインライン監視インスタンスを設定できます。各インライン監視インスタンスは、最大4つのコレクター(合計最大64個のコレクター)をサポートしており、Junos OSとIPFIXのエクスポート形式の場合のみ、各コレクター設定で異なるサンプリングレートを指定できます。この柔軟性により、インライン監視サービスは、インラインアクティブフロー監視、sFlow、ポートミラーリングなどの従来のサンプリング技術の限界を克服します。

インライン監視を設定するには:

  1. [edit services]階層レベルでinline-monitoringステートメントを含める必要があります。ここでは、テンプレートとインライン監視インスタンスのパラメーターを指定します。インライン監視インスタンスでコレクターパラメーターを指定する必要があります。

  2. ファイアウォールフィルターの条件とアクションを使用して、任意の一致条件を指定し、設定されたインライン監視インスタンスを受け入れます。これにより、インライン監視インスタンスがファイアウォール条件にマッピングされます。

  3. [edit firewall filter name] 階層レベルで inline-monitoring-instance ステートメントを使用して、ファミリー inetまたはinet6 ステートメントの下にファイアウォール フィルターをマッピングします。Junos OS Release 21.1R1以降、IPFIXエクスポート形式では、ファミリーany, bridge, ccc, mpls,またはvplsステートメントの下にファイアウォールフィルターをマッピングすることもできます。Junos OS Evolvedでは、bridgeファミリとvplsファミリはサポートされていないため、代わりにethernet-switchファミリを使用してください。Junos OS Evolvedは、any、ccc、inet、inet6、mplsファミリもサポートしています。また、ファイアウォールフィルターを転送テーブルフィルターに入力文または出力文で適用して、それぞれイングレスパケットまたはエグレスパケットをフィルタリングすることもできます。

覚えておいてください:

  • インライン監視サービスを有効にするには、デバイスが最大パケット長(クリップ長)を126バイト(Junos OS)または256バイト(Junos OS Evolved)をサポートする必要があります。

  • 転送パスのパケットで利用可能なビットが不足するため、16個(Junos OS)または7個(Junos OS Evolved)を超えるインライン監視インスタンスを設定することはできません。

  • インライン監視サービスは、コレクターインターフェイス、つまりコレクターが到達可能なインターフェイスにのみ適用します。IPFIXトラフィックにインライン監視を適用しないでください。サンプリング用の別のIPFIXパケットが生成され、ループが発生します。これには、IPFIXエクスポート形式用のテンプレートおよびレコードパケット、オプションテンプレート、オプションレコードパケット、およびsFlowバージョン5エクスポート形式用のデータグラムなど、サービスによって生成されたトラフィックのインライン監視が含まれます。

  • インライン監視サービスが集合型イーサネット(AE)インターフェイスで有効になっている場合、IPFIXエクスポート形式の情報要素値は次のようになります。

    表8:集合型イーサネットインターフェイスの情報要素値

    AEインターフェイス上のインライン監視サービスの方向

    情報要素-10(着信インターフェイス)

    情報要素-14(発信インターフェイス)

    イングレス

    AEのSNMP ID

    0

    エグレス

    AEのSNMP ID

    メンバーリンクのSNMP ID

  • IRB インターフェイスでインライン監視サービスが有効になっている場合、IPFIX エクスポート形式の情報要素値は次のようになります。

    表 9:IRB インターフェイスの情報要素値

    IRB インターフェイス上のインライン監視サービスの方向

    情報要素-10(着信インターフェイス)

    情報要素-14(発信インターフェイス)

    イングレス

    IRB の SNMP ID

    0

    エグレス

    IRB の SNMP ID

    vlanブリッジカプセル化インターフェイスのSNMP ID

  • (IPFIXエクスポート形式のみ)XL-XMベースのデバイス(ルックアップチップ(XL)とバッファリングASIC(XM)を搭載)では、エクスポートされたパケットのデータリンクフレームセクション情報要素の長さが、エグレスパケットの長さがクリップの長さよりも長くても、クリップの長さよりも短くなることがあります。

    データリンクフレームセクション情報要素の長さは、バイト数「N」で減少します。ここで、「N」=(イングレスパケットレイヤー2カプセル化長 - エグレスパケットレイヤー2カプセル化長)になります。

    例えば、イングレスパケットにMPLSラベルがあり、エグレスパケットがIPv4またはIPv6タイプの場合、イングレスパケットのレイヤー2カプセル化長はエグレスパケットのカプセル化長よりも大きくなります。プロバイダエッジ(PE)デバイスからカスタマーエッジ(CE)デバイスにトラフィックが流れる場合、イングレスパケットにはVLANタグがあり、エグレスパケットにはタグが付けられません。

    このような場合、クリップの長さがパケット ヘッドの最後のアドレス位置を超えて、 PKT_HEAD_SIZE システム ログ メッセージが生成される可能性があります。これにより、デバイスのパケット転送が機能低下する可能性があります。

  • ingress方向では、IPFIX egressInterface (情報要素ID14)またはsFlow flow_sample.output_interface フィールドは、出力インターフェイスのSNMPインデックスを報告しません。これらのフィールドは、イングレス方向の場合、常に値ゼロを報告します。IPFIXエクスポート形式の場合、受信側コレクタープロセスは、 flowDirection (情報要素ID 61)に基づいてこのフィールドの有効性を特定する必要があります。

  • (sFlowエクスポート形式のみ)一部の転送シナリオでは、パケットのライフタイム中にイングレス論理または物理インターフェイス情報が上書きされる場合があります。このような場合、実際のメディアWANポート(ge-/xe-/et-/ae-)を報告することはできません。次に例を示します。

    1. MPLS トンネルのテールエンドでは、MPLS パケットを受信すると、VPN ラベルを使用してターゲット VRF が識別され、パケットは顧客 VRF に関連付けられた LSI インターフェイスを使用してデフォルト VRF から顧客 VRF に切り替わります。そのため、LSIインターフェイスインデックスは、データパス内のイングレス論理または物理インターフェイスインデックスを上書きします。インライン監視サービスは、常に最新のインターフェイス情報(この場合はLSIインターフェイス)を報告します。

    2. 動的トンネルを通過するパケットは、ingressインターフェイスではなくFTIインターフェイスを報告します。

  • (sFlowエクスポート形式のみ)エグレス方向では、パケットがイーサネット カプセル化ネクストホップを通過する前にパケットがトラップまたはドロップされた場合、 sampled_header.sampled_pkt データグラム フィールドはイーサネット ヘッダーなしで報告され、 sampled_header.protocol データグラム フィールドは値 1(イーサネット)を報告します。

  • (sFlowエクスポート形式のみ)管理インターフェイスからsFlowデータグラムをエクスポートすることはできません。コレクターには、WANポートを介して到達可能である必要があります。

インライン監視サービスでサポートされている機能とサポートされていない機能

インライン監視サービスでは以下がサポートされます。

  • グレースフルルーティングエンジンスイッチオーバー

  • ISSU(インサービスソフトウェアアップグレード)、NSSU(ノンストップソフトウェアアップグレード)、NSR(ノンストップアクティブルーティング)

  • イーサネット インターフェイスと IRB(Integrated Routing and Bridging)インターフェイス

  • Junos Node Slicing

  • Junos OS Evolvedリリース22.4R1以降、コレクターのDSCP、転送クラス、またはルーティングインスタンスの設定。

  • Junos OS Evolvedリリース22.4R1以降では、テンプレートIDまたはオプションテンプレートIDを設定します。

インライン監視サービスは現在、以下をサポートしていません。

  • 16(Junos OS)または7(Junos OS Evolved)以上のインライン監視インスタンスを設定する。

  • Junos Traffic Vision

  • リリース21.1R1以前のJunos OS、inline-monitoring-instance用語アクションは、 inet および inet6 ファミリーファイアウォールフィルターでのみサポートされています。リリース21.1R1以降Junos OS IPFIXエクスポート形式でのみ、 any, bridge, ccc, mpls, および vpls ファミリーファイアウォールフィルターでサポートされています。

  • IPv6アドレス指定可能なコレクター

  • 仮想プラットフォーム

  • 論理システム

  • (IPFIXエクスポート形式のみ)観測ドメイン ID と観測クラウド ID の両方を設定します。そのうちの1つだけを選択する必要があります。

  • 例外レポートに使用されるインライン監視インスタンスアクションは、ファイアウォールリダイレクトアクションや通常のインライン監視アクションなど、他の目的には使用できません。

  • ファイアウォールのリダイレクトアクションに使用されるインライン監視インスタンスは、例外報告や通常のインライン監視アクションなど、他の目的には使用できません。

  • Junos OS Evolvedリリース22.4R1より前では、コレクターのDSCP、転送クラス、またはルーティングインスタンスの設定。

  • Junos OS Evolvedリリース22.4R1より前のバージョンでは、テンプレートIDまたはオプションテンプレートIDを設定します。システムがこれらを生成します。

  • (Junos OS Evolved)同じファイアウォールフィルター条件の下でポートミラーリングとインライン監視サービスを設定する。

  • (Junos OS Evolved)egress方向では、sFlowと例外レポートの両方を設定します。そのうちの1つだけを選択する必要があります。

IPFIXエクスポートフォーマットを使用したインライン監視サービスの設定

インライン監視サービスは、イングレス方向とエグレス方向の両方で、IPv4とIPv6の両方のトラフィックを監視できます。MPC(Junos OS)を搭載したMXシリーズルーターや、Junos OS Evolvedを実行するPTXルーターでインライン監視を有効にできます。元のパケットサイズを、インターフェイス送信元に関する情報とともにコレクターにエクスポートして、効果的なトラブルシューティングを行うことができます。IPFIXエクスポート形式では、インライン監視サービスを設定して、インターフェイスの同じ論理ユニット上で異なるサンプリングレートで異なるトラフィックストリームを監視することもできます。

設定する前に

インライン監視サービスを設定すると、次のことができます。

  • 最大16個(Junos OS)または7個(Junos OS Evolved)のインライン監視インスタンスを設定できます。各インスタンスの下で、特定のコレクターおよびテンプレートパラメーターを設定できます。

  • 各インライン監視インスタンスの下に最大4つのIPv4アドレス指定可能なコレクターを設定します。合計で最大64台のコレクターを設定できます。コレクターは遠隔地に配置することも、さまざまな場所に配置することもできます。

    コレクターごとに、送信元アドレスや宛先アドレスなどの特定のパラメーターを設定できます。コレクターのデフォルトのルーティングインスタンス名は default.inetです。

  • Junos OSでは、inetまたはinet6ファミリーファイアウォールフィルターをアクションinline-monitoring-instance inline-monitoring-instance-name という用語で設定できます。リリース21.1R1以降、IPFIXエクスポート形式Junos OS、アクションinline-monitoring-instance inline-monitoring-instance-name という用語でany, bridge, ccc, mpls,またはvplsファミリーファイアウォールフィルターを設定できます。Junos OS Evolvedでは、any, ccc, ethernet-switch, inet, inet6,またはmplsファミリーのファイアウォールフィルターをアクションinline-monitoring-instanceinline-monitoring-instance-nameという用語で設定できます。

    各条件は、異なるインライン監視インスタンスをサポートできます。

  • インライン監視ファイアウォールフィルターを、インターフェイスの論理ユニットのファミリーの下に取り付けます。

設定が正常にコミットされたら、CLIから show services inline-monitoring statistics fpc-slot コマンドを発行することで、インライン監視サービスの実装を確認できます。

注:

パケットに、従来のサンプリング技術(インラインアクティブフロー監視やsFlowなど)と一緒にインライン監視サービスを適用する必要がある場合、パケット転送エンジンは、そのパケットに対してインライン監視サービスと従来のサンプリング技術の両方を実行します。現在、ポートミラーリングは、Junos OS Evolvedの別の条件の下で設定する必要があります。

図10 は、インライン監視サービスの例を示しています。デバイスインターフェイス上で2つの異なるサンプリングレートでトラフィックを監視し、IPFIXカプセル化形式で4つのリモートコレクターにエクスポートします。Junos OSでは、各コレクターのサンプリングレートを設定し、各コレクターに異なるレートを許可します。Junos OS Evolvedでは、インライン監視インスタンスでサンプリングレートを設定し、そのインスタンスに設定されたすべてのコレクターに適用されます。

図10:インライン監視サービスのNetwork flow collection using IPFIX format with two collector instances. Instance 1: Sampling rate 1:10,000. Instance 2: Sampling rate 1:1. Source IPs 10.1.1.1, 10.11.1.1. Destination IPs 10.2.2.1, 10.12.2.1.

この例では、デバイスのet-1/0/0インターフェイスにインライン監視サービスが設定されています。設定の詳細は以下のとおりです。

  • インライン監視インスタンスには、インスタンス1とインスタンス2の2つがあります。

  • 4 つのコレクターがあり、各インライン監視インスタンスの下に 2 つのコレクターがあります。

    • インスタンス1には、Collector-1とCollector-2があります。

    • インスタンス2には、コレクター-101とコレクター-102があります。

  • インスタンス1のコレクタのサンプリングレートは1:10000です。

  • インスタンス2のコレクターのサンプリングレートは1:1です。

  • インスタンス1コレクタの送信元アドレスと宛先アドレスは、それぞれ10.1.1.1および10.2.2.1です。

  • インスタンス2のコレクターの送信元アドレスと宛先アドレスは、それぞれ10.11.1.1と10.12.2.1です。

  • パケットは、IPFIXカプセル化された形式でコレクターにエクスポートされます。

インライン監視サービスを設定するには:

  1. インライン監視サービスを提供するために、各インライン監視インスタンスのファイアウォールフィルターを定義します。ファミリーファイアウォールフィルターは、アクション inline-monitoring-instanceという用語で設定できます。

    ファイアウォールフィルターを定義するには:

    この例では、インスタンス 1 とインスタンス 2 にそれぞれ条件 t1 と t2 が設定されています。

  2. 関連するテンプレート、インスタンス、コレクターパラメーターを設定して、インライン監視サービスを有効にします。
    1. インライン監視サービステンプレートを設定するには:

      この例では、テンプレートtemplate-1とtemplate-2が設定されています。

    2. インライン監視インスタンスとコレクターパラメーターを設定するには:

      Junos OS の場合:

      この Junos OS の例では、インスタンス 1 にはコレクター 1 とコレクター 2 の 2 つのコレクターがあり、インスタンス 2 にはコレクター 101 とコレクター 102 の 2 つのコレクターがあります。両方のインスタンスに異なるサンプリングレートが設定されています。

      Junos OS Evolvedの場合:

      この例では、Junos OS Evolvedの場合、インスタンス1にはcollector-1とcollector-2の2つのコレクターがあり、Instance2にはcollector-101とcollector-102の2つのコレクターがあります。両方のインスタンスに異なるサンプリングレートが設定されています。

  3. インターフェイスの論理ユニットのファミリーの下にファイアウォールフィルターをマッピングして、イングレスまたはエグレス方向にインライン監視を適用します。

    または、ファイアウォールフィルターを転送テーブルフィルターにマッピングし、入力または出力ステートメントを使用して、それぞれイングレスパケットまたはエグレスパケットをフィルタリングすることで、インライン監視を適用できます。

    ファイアウォールフィルターを取り付けるには:

    この例では、インライン監視フィルターが、et-1/0/0のユニット0のファミリーinetに接続されています。

変更履歴テーブル

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。

リリース
説明
26.2R1
サンプリングされたパケットをsFlowバージョン5形式(MX304)でエクスポートするインライン監視サービス—インライン監視サービスは、現在のIPFIX形式ではなく、sFlowバージョン5形式でfamily inetおよびfamily inet6 サンプリングされたパケットをエクスポートできるようになりました。IPFIX形式がデフォルトです。[edit inline-monitoring instance instance-name]階層レベルでexport-format sflow-v5ステートメントを設定して、エクスポート形式を変更します。この機能を有効にするためにsFlow(set protocols sflowCLIコマンド)を設定する必要はありません。
23.4R1-EVO
インライン監視サービス(JNP10K-LC1201またはJNP10K-LC1202ラインカードを備えたPTX10003ルーター)—Junos OS Evolvedリリース23.4R1以降、PTX10003ルーターでインライン監視サービスを設定して例外を報告できます。また、 any, ccc, ethernet-switch, inet, inet6, または mpls ファミリーのファイアウォールフィルターを、action inline-monitoring-instance inline-monitoring-instance-name という用語で設定することもできます。
22.4R1-EVO
インライン監視サービス(JNP10K-LC1201またはJNP10K-LC1202ラインカードを備えたPTX10001-36MR、PTX10004、PTX10008、PTX10016ルーター) - Junos OS Evolvedリリース22以降。 4R1では、PTX10001-36MR、PTX10004、PTX10008、PTX10016ルーターでインライン監視サービスを構成して、パケットをサンプリングし、メタデータを追加し、設定されたクリップ長までパケットをIPFIXコレクターにエクスポートして、さらに処理することができます。また、 any, ccc, ethernet-switch, inet, inet6, または mpls ファミリーのファイアウォールフィルターを、action inline-monitoring-instance inline-monitoring-instance-name という用語で設定することもできます。
22.3R1
インライン監視サービス(MX304ルーター) - Junos OSリリース22.3R1以降、MX304ルーターでインライン監視サービスを設定できるようになりました。
22.2R1-EVO
インライン監視サービス(JNP10K-LC1201またはJNP10K-LC1202ラインカードを備えたPTX10001-36MR、PTX10004、PTX10008、PTX10016ルーター) - Junos OS Evolvedリリース22.1R1以降、PTX10001-36MR、PTX10004、PTX10008、PTX10016ルーターでインライン監視サービスを設定して例外を報告できるようになりました。また、 any, ccc, ethernet-switch, inet, inet6, または mpls ファミリーのファイアウォールフィルターを、action inline-monitoring-instance inline-monitoring-instance-name という用語で設定することもできます。
21.4R1
インライン監視サービス(MX10008 ルーター用 LC9600 ラインカード) - Junos OS リリース 21.4R1 以降、LC9600 ラインカードを含む MX10008 ルーターでインライン監視サービスを設定できるようになりました。
21.2R1
インライン監視サービス用のレイヤー2および任意のファイアウォールフィルターファミリのサポート(MPC10EおよびMPC11Eラインカードを備えたMXシリーズ)—Junos OSリリース21.2R1以降、 any, bridge, ccc, mpls, または vpls ファミリーのファイアウォールフィルターをaction inline-monitoring-instance inline-monitoring-instance-nameという用語で設定できます。
21.2R1
インライン監視サービス(MX10008およびMX10016ルーター用LC480ラインカード - Junos OSリリース21.2R1以降、LC480ラインカードを含むMX10008およびMX10016ルーターでインライン監視サービスを設定できます。
21.1R1
インライン監視サービス用のレイヤー 2 および任意のファイアウォール フィルター ファミリのサポート(MPC10E および MPC11E ラインカードを除く MPC MXシリーズ)—Junos OS リリース 21.1R1 以降、any、bridge、ccc、mpls、または vpls ファミリー ファイアウォール フィルターを action inline-monitoring-instance inline-monitoring-instance-name という用語で設定できます。
20.4R1
インライン監視サービス(MXシリーズルーター用MPC10EおよびMPC11Eラインカード - Junos OSリリース20.4R1以降、MPC10EおよびMPC11Eラインカードを含むMXシリーズルーターでインライン監視サービスを設定できます。
19.4R1
インライン監視サービス(MPC10EおよびMPC11Eラインカードを除くMPCを備えたMXシリーズ) - Junos OSリリース19.4R1以降、同じインターフェイス上で異なるサンプリングレートで異なるトラフィックストリームを柔軟に監視する新しい監視技術を設定できるようになりました。また、設定されたクリップ長までのパケットをIPFIX(IP Flow Information Export)形式でコレクターにエクスポートすることもできます。IPFIX形式には、コレクターでさらに処理するために、監視対象パケットに関する重要なメタデータ情報が含まれています。