Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

専用インスタンスの管理インターフェイス

専用の管理インスタンスを使用して、管理トラフィックをネットワークの他の部分から分離します。

デフォルト以外の VRF インスタンスを使用する理由

デフォルトでは、管理イーサネット インターフェイス(Junos OS では通常 fxp0 または em0、Junos OS Evolved で re0:mgmt-* または re1:mgmt-* という名前)が、デバイスのアウトオブバンド管理ネットワークを提供します。アウトオブバンド管理トラフィックは、インバンドプロトコル制御トラフィックから明確に分離されていません。代わりに、すべてのトラフィックがデフォルトのルーティング インスタンスを通過し、デフォルトの inet.0 ルーティングテーブルを共有します。このようなトラフィック処理システムにより、セキュリティ、パフォーマンス、およびトラブルシューティングに関する懸念が生じます。ネットワーク管理者は、管理インターフェイスを専用非デフォルト VRF(仮想ルーティングおよび転送)インスタンスに限定することで、これらの問題を解決できます。

専用管理インスタンスのメリット

  • セキュリティの改善

  • 管理トラフィックが、他の制御トラフィックやプロトコルトラフィックとルーティングテーブルを共有する必要がなくなりました

  • 管理インターフェイスを使用してトラブルシューティングが容易

管理インスタンスの概要

専用の管理 VRF インスタンスの名前は、 mgmt_junos として予約およびハードコードされています。 mgmt_junos という名前で他のルーティング インスタンスを設定することはできません。アプリケーションによっては、管理インターフェイスがデフォルトの inet.0 ルーティングテーブルに常に存在することを前提としているため、専用の管理 VRF インスタンスはデフォルトでインスタンス化されません。有効にするには、設定する必要があります。

mgmt_junos VRF インスタンスを展開すると、管理トラフィックはシステム内の他の制御トラフィックやプロトコル トラフィックとルーティングテーブル(つまり、デフォルト ルーティングテーブル)を共有しなくなります。mgmt_junos VRF インスタンスのトラフィックは、プライベート IPv4 および IPv6 ルーティング テーブルを使用します。mgmt_junosを設定した後は、管理インターフェイスで動的プロトコルを設定することはできません。

管理インスタンスを設定する

管理インターフェイス上にネクスト ホップがあるスタティック ルートは、 mgmt_junos VRF インスタンスに追加する必要があります。必要に応じて、 mgmt_junosを使用する適切なプロセスまたはアプリケーションも構成する必要があります。これらの変更はすべて、1 回のコミットで行う必要があります。そうしないと、既存のセッションが失われ、再ネゴシエートが必要になる可能性があります。

開始する前に:スタティック ルートを決定する

一部のスタティック ルートには、管理インターフェイスを経由するネクスト ホップがあります。 mgmt_junos VRF インスタンスの設定の一環として、これらのスタティック ルートをすべて mgmt_junos に追加して、管理インターフェイスに到達できるようにする必要があります。それぞれのセットアップは異なります。まず、管理インターフェイスを経由するネクスト ホップを持つスタティック ルートを特定する必要があります。

  1. show interfaces interface-name terse コマンドを使用して、デフォルトの管理インターフェイスの IP アドレスを検索します。デフォルトの管理インターフェイスは、Junos OSの場合はfxp0またはem0、Junos OS Evolvedの場合はre0:mgmt-0またはre1:mgmt-0です。

  2. show route forwarding-table コマンドを使用して、スタティック ルートのネクストホップ情報の 転送テーブル を確認します。スタティックルートは、タイプuserとして表示されます。影響を受ける静的ルートのネクスト ホップには、管理インターフェイスに設定された IP アドレスのサブネットに該当する IP アドレスがあります。

  3. 管理ネットワークに関連付けられた静的ルートを見つける別の方法は、 show route protocol static next-hop <management-network-gateway-address> コマンドを使用することです。

    または、デバイス設定の静的ルート部分を表示するだけです。CLI match 機能を使用して、管理ネットワークのデフォルトゲートウェイを指すすべての静的ルートをすばやく特定します。

管理インスタンスの有効化

手記：

これらの操作には、デバイスのコンソール ポートの使用を推奨します。

管理インスタンスを変更すると、管理ポートの基盤となる VRF インスタンスが変更されます。SSH、Telnet、または NETCONF を使用している場合、設定をコミットするとデバイスへの接続が切断され、再確立する必要があります。

SSH、Telnet、または NETCONF を使用する場合は、 commit confirm を使用してください。

専用の管理 VRF インスタンスを有効にするには、次の手順を実行します。

  1. mgmt_junosを設定するVRF インスタンス。
  2. management-instance ステートメントを設定します。
  3. 適切なスタティックルートをmgmt_junosに追加しますVRF インスタンス。

    変更するスタティック ルートを決定する方法については、「 開始する前に:スタティック ルートを決定する」を参照してください。

    設定グループを使用している場合は、これらの変更をグループの一部として設定できます。

  4. 設定をコミットします。
    SSH、Telnet、または NETCONF を使用している場合は、 commit confirm を使用します。SSH、Telnet、または NETCONF セッションを失うことが予想され、その後、再確立する必要があります。

管理インスタンスを使用するためのプロセスの構成

多くのプロセスは、管理インターフェイスを介して通信します。mgmt_junosを使用するには、プロセスが管理 VRF インスタンスをサポートする必要があります。 管理インスタンスが有効になっていない限り、これらのプロセスのすべてがデフォルトでmgmt_junosを使用するわけではありません。mgmt_junosを使用するには、これらのプロセスを設定する必要があります。

次のプロセスでは、この追加構成が必要です。

表 1:管理 VRF インスタンスを使用するために設定できるプロセス

過程

管理 VRF をサポートする最初のリリース

詳しくの参照先

自動化スクリプト

Junos OS Evolvedリリース24.1R1以前

スクリプトの代替ソースの場所の使用

スクリプトのマスターソースの場所の設定と使用

BGP モニタリング・プロトコル(BMP)

Junos OS Evolvedリリース24.1R1以前

異なるルーティング インスタンス上で実行するための BGP 監視プロトコルの設定

インライン アクティブ フロー監視

Junos OS Evolvedリリース24.2R1

インライン アクティブ フロー監視の理解

Network Time Protocol(NTP)

Junos OS Evolvedリリース24.1R1以前

NTP

アウトバウンド SSH

Junos OS Evolvedリリース24.1R1

 アウトバウンド SSH サービスを設定する

半径

Junos OS Evolvedリリース24.1R1以前

RADIUS サーバ認証の設定

RADIUSシステムアカウンティングの設定

REST API

Junos OS Evolvedリリース24.1R1以前

休む

TACACS+

Junos OS Evolvedリリース24.1R1以前

TACACS+ 認証の設定

Junos OS Evolvedリリース24.1R1以前

TACACS+ システム アカウンティングの設定

Junos OS Evolved では、management-instance ステートメントを設定するとすぐに、システム ロギングはデフォルトで mgmt_junos VRF インスタンスを使用します。システム ロギング用に mgmt_junos VRF インスタンスを設定する必要はありません。

mgmt_junos VRF インスタンスを使用するためのこれらのプロセスの設定はオプションです。このステップをスキップすると、これらのプロセスはデフォルトのルーティング インスタンスのみを使用してパケットを送信し続けます。

  1. コミット、op、SNMP、イベントスクリプトなどの自動化スクリプトをmgmt_junosを使用してソースから更新するには、次のように設定します。
    1. Commit、op、または SNMP スクリプト:
    2. イベントスクリプト:
  2. Google が開発したリモート プロシージャ コール(gRPC)を使用する自動化スクリプトやアプリケーションの場合:
    • gRPC ネットワーク管理インターフェイス(gNMI)
    • gRPC ネットワーク運用インターフェイス(gNOI)
    • gRPC ルーティング情報ベース インターフェイス(gRIBI)
    • Juniper Juniper Extension Toolkit(JET)
    1. 構成：
    1. JET アプリケーションの場合は、以下も構成します。
  3. BMP:
    1. パッシブ接続モードの BMP:
    2. アクティブ接続モードの BMP:
  4. インラインアクティブフロー監視:
  5. NTPサービス:

    また、デフォルトのルーティング インスタンス内の物理インターフェイスまたは論理インターフェイスに、少なくとも 1 つの IP アドレスを設定する必要があります。NTP サービスが mgmt_junos VRF インスタンスと動作できるように、このインターフェイスが稼働していることを確認します。

  6. 半径：
  7. TACACS+:
  8. REST API:
  9. アウトバウンド SSH:

管理インスタンスを無効にする方法

mgmt_junos VRF インスタンスを無効にする場合は、行った他の設定変更も削除する必要があります。

  1. management-instance ステートメントを削除して、専用の管理 VRF インスタンスを無効にします。
  2. (オプション)mgmt_junosからスタティックルートを削除しますVRF インスタンス。
  3. (オプション)mgmt_junosを使用するプロセスの設定を削除します。これらのプロセスは、デフォルトのルーティング インスタンスを使用したパケットの送信に戻ります。例えば、TACACS+ の mgmt_junos 設定を削除するには: