VLAN タグの設定
仮想LAN(VLAN)を使用すると、ネットワークアーキテクトは、論理グループに基づいてLANを異なるブロードキャストドメインにセグメント化できます。以下のトピックでは、SRXシリーズファイアウォールでこれらのタグ付きVLAN、VLAN ID、およびサポートされているイーサネットインターフェイスタイプの設定について説明します。
仮想LANを理解する
LAN は 1 つのブロードキャスト ドメインです。トラフィックがブロードキャストされると、LAN 内のすべてのホストがブロードキャスト トラフィックを受信します。LAN は、ドメイン内のデバイスの物理的な接続によって決定されます。
従来のLAN内では、ホストはハブまたはリピータによって接続され、ネットワーク全体に受信トラフィックを伝搬します。各ホストとその接続ハブまたはリピーターは、LANセグメントを構成します。LAN セグメントは、スイッチとブリッジを介して接続され、LAN のブロードキャスト ドメインを形成します。 図 1 は、典型的な LAN トポロジーを示しています。
仮想LAN(VLAN)を使用すると、ネットワークアーキテクトは、論理グループに基づいてLANを異なるブロードキャストドメインにセグメント化できます。グループは論理的であるため、ブロードキャストドメインはネットワーク内のデバイスの物理的な接続によって決定されません。論理機能に従ってホストをグループ化し、VLAN内のトラフィックブロードキャストを、トラフィックが意図したデバイスのみに制限できます。
企業ネットワークに、エンジニアリング、営業、サポートという 3 つの主要な組織があるとします。VLANタギングを使用すると、各組織内のホストに異なるVLAN識別子をタグ付けできます。ブロードキャストドメインに送信されたトラフィックは、VLAN識別子と照合され、適切なVLAN内のデバイスのみにブロードキャストされます。 図 2 は、典型的な VLAN トポロジーを示しています。
参照
SRXシリーズデバイスでサポートされているVLAN IDとイーサネットインターフェイスタイプ
表1 は、SRXシリーズファイアウォールでサポートされているインターフェイスタイプ別のVLAN ID範囲を示しています。
インターフェイスタイプ |
インターフェイス タイプ VLAN ID 範囲 |
|---|---|
2ポート10ギガビットイーサネット |
1 から 4094 |
10ギガビットイーサネット |
1 から 4094 |
16ポートギガビットイーサネット |
1 から 4094 |
24ポートギガビットイーサネット |
1 から 4094 |
ファストイーサネット向けの集合型イーサネット |
1 から 1023 |
ギガビット イーサネット用アグリゲート イーサネット |
1 から 4094 |
ギガビットイーサネット |
1 から 4094 |
管理用および内部イーサネットインターフェイス |
1 から 1023 |
SRX210、SRX220、SRX240、SRX320、SRX340 デバイスでは、1-GE SFP Mini-PIM の VLAN ID 4093 は予約済み VLAN アドレス範囲に該当します。(プラットフォームのサポートは、インストールされたJunos OSのリリースによって異なります)。このため、この範囲から VLAN ID を設定することはできません。
参照
VLAN タグの設定
SRX300、SRX320、SRX340、SRX345、SRX380、およびSRX550HMデバイスを設定して、単一タグフレーム、デュアルタグフレーム、または単一タグフレームとデュアルタグフレームの組み合わせを受信および転送できます。
柔軟な VLAN については、 表 2 を参照してください。
| タグの数 | VLAN ID |
|---|---|
0 (タグなし) |
ネイティブ |
1 (タグ付き) |
単 |
2(デュアルタグ付き) |
デュアル |
このトピックは、以下のセクションで構成されています。
単一タグ フレーミングの設定
802.1Q VLANタグを持つ単一タグフレームを受信および転送するようにデバイスを設定するには、[edit interfaces interface-name]階層レベルでvlan-taggingステートメントを含めます。
[edit interfaces interface-name] vlan-tagging;
SRX5400、SRX5600、SRX5800は単一タグのフレーミングのみをサポートしています。
デュアルタギングの設定
802.1Q VLANタグを持つデュアルタグフレームを受信および転送するようにデバイスを設定するには、 [edit interfaces interface-name]階層レベルでflexible-vlan-taggingステートメントを含めます。
[edit interfaces interface-name] flexible-vlan-tagging;
混合タギングの設定
混合タギングは、SRX300、SRX320、SRX340、SRX345、SRX380、およびSRX550HMデバイスのイーサネットインターフェイスでサポートされています。混合タギングでは、同じイーサネットポート上に2つの論理インターフェイス(1つは単一タグフレーミング、もう1つはデュアルタグフレーミング)を設定できます。
混合タギングを設定するには、[edit interfaces ge-fpc/pic/port ]階層レベルでflexible-vlan-taggingステートメントを含めます。また、innerおよびouterオプションを持つvlan-tagsステートメント、または[edit interfaces ge-fpc/pic/port unit logical-unit-number]階層レベルにvlan-idステートメントを含める必要があります。
[edit interfaces ge-fpc/pic/port]
flexible-vlan-tagging;
unit logical-unit-number {
vlan-id number;
family family {
address address;
}
}
unit logical-unit-number {
vlan-tags inner tpid.vlan-id outer tpid.vlan-id;
family family {
address address;
}
}
物理インターフェイスのMTUを混合タギング用に設定した場合、MTUを標準のVLANタグ付きインターフェイスに設定するMTU値より4バイト大きくする必要があります。
たとえば、MTU 値が VLAN タグ付きインターフェイスで 1018 に設定されている場合、フレキシブル VLAN タグ付きインターフェイスの MTU 値は 1022(4 バイト多い)である必要があります。この4バイト分は、将来同じ物理インターフェイス上にスタックVLANタグ設定を追加する場合に対応できます。
次の例では、混合タギングを設定します。デュアルタグおよびシングルタグの論理インターフェイスは、同じ物理インターフェイスの下にあります。
[edit interfaces ge-0/2/0]
flexible-vlan-tagging;
unit 0 {
vlan-id 232;
family inet {
address 10.66.1.2/30;
}
}
unit 1 {
vlan-tags outer 0x8100.222 inner 0x8100.221;
family inet {
address 10.66.1.2/30;
}
}
タグなしパケットに対する混合タグ付けサポートの設定
ポート上のタグなしパケットに対する混合タグなしパケットサポートを設定できます。タグなしパケットは、同じ混合VLANタグ付きポートで受け入れられます。タグなしパケットを受け入れるには、[edit interfaces interface-name]階層レベルで native-vlan-id ステートメントと flexible-vlan-tagging ステートメントを含めます。
[edit interfaces ge-fpc/pic/port] flexible-vlan-tagging; native-vlan-id number;
flexible-vlan-taggingは、カプセル化なしまたは VPLS VLAN カプセル化のいずれかでのみサポートされます。
タグなしパケットを受信する論理インターフェイスは、物理インターフェイス上で構成したものと同じネイティブ VLAN ID で構成する必要があります。論理インターフェイスを設定するには、[edit interfaces interface-name unit logical-unit-number]階層レベルでvlan-idステートメント(物理インターフェイスのnative-vlan-idステートメントと一致)を含めます。
次の例では、論理ユニット番号 0 にマッピングされる タグなしパケット を設定します。
[edit interfaces ge-0/2/0]
flexible-vlan-tagging;
native-vlan-id 232;
unit 0 {
vlan-id 232;
family inet {
address 10.66.1.2/30;
}
}
unit 1 {
vlan-tags outer 0x8100.222 inner 0x8100.221;
family inet {
address 10.66.1.2/30;
}
}