仮想ルーターを使用したリバースルートパケットモード

フロー処理中に、サーバーとクライアント間のトラフィックルートが変更されると、トラフィックは仮想ルーター(VR)を使用して再ルーティングされます。再ルーティングに使用されるVRは、インターフェイスまたはフィルターベースのフォワーディング(FBF)で利用できます。再ルートの動作は、 set security flow advanced-options reverse-route-packet-mode-vr コマンドを使用して監視されます。

注:

reverse-route-packet-mode-vrコマンドはルート論理システムで動作し、グローバルに有効になります。

リバースルートオプションが有効になっている場合、パケットフローに変更はありません。リバースルートオプションが無効になっている場合、ルートルックアップはパケット受信インターフェイスからのVRを使用します。ルート内のVRが正しく設定されていない場合、サーバーとクライアント間のトラフィックはドロップされます。

注:

クライアントからサーバーパケットへのVR情報が利用できないため、フローファーストパスの解決予約ルートは設定されません。

例えば、図1 は、 reverse-route-packet-mode-vr コマンドが設定されていない場合のパケットフローの動作を示しています。クライアントからサーバーへのトラフィックは、着信インターフェイスge-0/0/0.0のルーティングインスタンスVR2を使用してトラフィックをルーティングします。また、サーバーからクライアントへのトラフィックは、着信インターフェイスge-0/0/0.0のルーティングインスタンスVR2を使用してトラフィックをルーティングします。

図1:リバースルート無効化 Network traffic flow with SRX Series device and virtual routers. C2S traffic from VR2 to SRX via interface ge-0/0/0.0. S2C traffic from SRX to VR3 via interface ge-0/0/1.0. Route lookup occurs on VR2.

Network traffic flow with SRX Series device and virtual routers. C2S traffic from VR2 to SRX via interface ge-0/0/0.0. S2C traffic from SRX to VR3 via interface ge-0/0/1.0. Route lookup occurs on VR2.

図2は、reverse-route-packet-mode-vrコマンドがインターフェイスを使用して設定されている場合のパケットフローの動作を示しています。クライアントからサーバーへのトラフィックは、着信インターフェイスge-0/0/0.0のルーティングインスタンスVR2を使用してトラフィックをルーティングします。サーバーからクライアントへのトラフィックは、インターフェイスge-0/0/1.0のルーティングインスタンスVR3を使用してトラフィックをルーティングします。

図2:インターフェイス SRX Series device with VR2 and VR3 virtual routers showing C2S traffic from VR2 to SRX via ge-0/0/0.0 and S2C traffic from SRX to VR3 via ge-0/0/1.0.

SRX Series device with VR2 and VR3 virtual routers showing C2S traffic from VR2 to SRX via ge-0/0/0.0 and S2C traffic from SRX to VR3 via ge-0/0/1.0.

で有効なリバースルート

図3は、FBFを使用してreverse-route-packet-mode-vrコマンドを設定した場合のパケットフローの動作を示しています。クライアントからサーバーへのトラフィックは、VR2のパケット受信インターフェイスge-0/0/0.0を使用してトラフィックをルーティングします。インターフェイスge-0/0/1.0でFBFを設定すると、VR3がVR4に変更されます。サーバーからクライアントへのトラフィックは、VR4 を使用してトラフィックをルーティングします。

図3:FBF

Network configuration showing Juniper SRX Series with virtual routers VR2 and VR3 using FBF to route S2C traffic to VR4 for advanced traffic management.

で有効にしたリバースルート

仮想ルーター上のホスト間トラフィックを理解する

SRXシリーズファイアウォールでは、ファイアウォールフィルターを通過するすべてのトラフィックをホスト間トラフィックと呼びます。ファイアウォールからデバイスへのトラフィックは、ホストからのトラフィックと呼ばれます。ホスト間トラフィックはegressインターフェイスを使用し、ホストからトラフィックはingressインターフェイスを使用します。両方のインターフェイスが同じルーティングインスタンスにない場合、セッションの不一致が発生します。この問題を解決するために、ホスト間トラフィックとホスト間トラフィックは、同じルーティングインスタンスで利用可能なインターフェースを選択します。

図4は、インターフェイスge-0/0/0.0のルーティングインスタンスVR5と宛先インターフェイスlo0.1のルーティングインスタンスVR6を使用したホスト間トラフィックを示しています。

図4:VR

Network diagram of Juniper SRX Series showing C2S traffic from interface ge-0/0/0.0 in VR5 to loopback lo0.1 in VR6 with IP 192.168.91.1.

のホスト間トラフィック

例えば、ホスト間トラフィックがローカルインターフェイス(ローカル...など)を使用する場合X)がルーティングインスタンス5(VR5)にあり、from-hostトラフィックはルーティングインスタンス6(VR6)のインターフェイスを使用します。ホスト間トラフィックのインターフェイス情報を表示するセッション出力は次のとおりです。

注:

セッション出力には、ホスト先トラフィックのローカルインターフェイスがローカルとして表示されます。5.

ホスト間トラフィックとホスト間トラフィックを同期するために、ホスト間トラフィックはVR6で利用可能なトラフィック宛先IPインターフェイス(lo0.1)を使用します。ホストからのトラフィックはVR6で利用可能なインターフェイスを使用しているため、セッションは一致します。ホスト間トラフィックのインターフェイス情報を表示するセッション出力は次のとおりです。

注:

セッション出力には、ホスト先トラフィックのローカルインターフェイスがローカルとして表示されます。6.

仮想ルーターを使用したリバースルートパケットモード

仮想ルーター上のホスト間トラフィックを理解する

関連ドキュメント