X2トラフィックの監視

X2トラフィック監視の概要

IPsec トンネルを通過する X2 トラフィックは暗号化されます。このため、モバイルネットワーク事業者は、eNodeB間でのハンドオーバーの問題をデバッグできるように、X2トラフィックを監視する方法を必要としています。Junos OS を実装することで、トラフィックが復号化され、再び暗号化されるまでに、SRXシリーズ ファイアウォールを通過して 1 つの IPsec トンネルから別の IPsec トンネルに入るクリアテキストの X2 トラフィックを覗き見することで、X2 トラフィックを監視できます。

図1 は、SRXシリーズファイアウォール内のX2トラフィックのフローを示しています。トラフィックが1つのst0.xインターフェイス上のSRXシリーズファイアウォールに到達すると、トラフィックが復号化されます。その後、暗号化され、専用のst0.yインターフェイスを介して宛先eNodeBに転送されます。スヌーピングは、SRXシリーズファイアウォール上の復号化されたX2トラフィックに対して実行されます。

図1:LTEモバイルネットワークにおけるSRXシリーズファイアウォール

図 2 は、2 つの eNodeB 間の接続を提供するSRXシリーズファイアウォールを備えたIPsec トンネルモバイル事業者のネットワークを示しています。SRXシリーズ ファイアウォールは、X2 トラフィックの収集と監視に使用されるパケットアナライザ ( sniffing デバイスとも呼ばれます) に接続されています。各 eNodeB からのIPsec トンネルは、SRXシリーズ ファイアウォール上の専用のセキュア トンネル インターフェイスで終了します。IPsec トンネルから出るインバウンド トラフィックは復号化され、デバイスから出る送信トラフィックは暗号化されます。

図 2: X2 トラフィック の監視

X2トラフィックを監視するために、トラフィックを照合するパラメーターの一意のセットを指定する最大15の異なるミラーフィルターを設定できます。フィルタリングされたパケットは複製され、物理インターフェイスに送信されます。パケットアナライザがフィルタリングされたパケットをキャプチャできるようにするには、SRXシリーズファイアウォールの出力インターフェイスとパケットアナライザのMACアドレスを指定します。出力インターフェイスはパケットアナライザと同じレイヤー2ネットワークに接続されているため、ミラーフィルタリングをオンにすると、パケットアナライザはX2トラフィックを収集して分析できます。

SRXシリーズミラーフィルター機能は、セッションのように双方向です。ミラー フィルターに一致する IPSec VPN を通過する X2 トラフィックは、ミラーリングおよび分析されます。これらのデバイスから返されるトラフィックもミラーリングされ、分析されます。

Junos OS リリース 18.4R1 以降、ミラーフィルターの出力 X2 インターフェイスが、分析するトラフィックをフィルタリングするために st0 インターフェイス用に設定されている場合、パケットは st0 インターフェイスにバインドされた IPsec トンネルによって複製され、暗号化されます。この機能拡張により、SRXシリーズファイアウォールがIPsec トンネル上のポートからミラーリングされたトラフィックを送信できるようになります。ミラーリングされたトラフィックには、変更されていないレイヤー3ヘッダーが含まれます。

X2 トラフィック監視の制限

• シャーシ クラスタ設定の X2 トラフィックの場合、ミラーリングされたパケットはデータ リンク(ファブリック インターフェイス)を通過できません。

• X2 トラフィック ミラーリングのサポートは、PowerMode IPsec(PMI)が有効な場合は利用できません。PMI が 1 つの方向で使用可能で、もう 1 つの方向で使用不可になっている場合、PMI がアクティブでない方向でのみ X2 トラフィック ミラーリングをキャプチャーできます。

X2トラフィックの用語

表 1 に、X2 トラフィック関連の用語とその説明を示します。