Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページで
 

テナントシステムの概要

テナントシステムは、ルーティング、サービス、セキュリティ機能をサポートします。

テナントシステムについて

テナント システムは、物理ファイアウォールを分離された独立した論理ファイアウォールに論理的にパーティション化します。論理システムと同様ですが、テナント システムの方が拡張性が大幅に高く、ルーティング機能が少なくて済みます。デバイス上の各テナント システムでは、セキュリティ サービス用に個別の管理ドメインを制御できます。デバイスをマルチテナント システムに変換することで、環境に応じて、さまざまな部門、組織、顧客、パートナーを提供できます。システム リソースの使用と、セキュリティ設定と KPI のテナント固有のビューは、プライベートおよび論理的に分離されています。プライマリ管理者は、すべてのテナント システムを作成および管理します。 図 1 は、プライマリ論理システムと個別のテナント システムを持つ単一のデバイスを示しています。

図 1:テナント システム Tenant Systems

論理システムとテナント システムの違い

表 1 は、論理システムとテナント システムの主な違いを示しています。

表 1:論理システムとテナント システムの違い

機能

論理システム

テナントシステム

機能のサポート

すべてのルーティング機能をサポートし、最適なデータルーティングパスを提供します。

ルーティング機能と高度なセキュリティ仮想化をサポートし、お客様の環境を分離します。

スケーラビリティ

物理 SRX シリーズ ファイアウォールでは、最大 32 個の論理システムを設定できます。

物理 SRX シリーズ ファイアウォール上に最大 500 個のテナント システムを設定して、高い拡張性を実現できます。

ルーティング プロトコル プロセス

すべての論理システムは、デバイス上のリソースを論理的に分離するために、ルーティングプロトコルプロセスの個々のコピーを必要とします。

プライマリ論理システムには、単一のルーティングプロトコルプロセスがあり、テナントシステムで共有されます。この単一のルーティング プロトコル プロセスでサポートされるルーティング インスタンスは、ファイアウォール上でセキュリティ リソースの分離を実現します。

ルーティング インスタンス

デフォルトのルーティングインスタンスは、すべての論理システムに対して自動的に作成されます。

Junos OS リリース 19.2R1 以降、テナント システムで設定された仮想ルーターは、 、tracerouteshow ipv6 neighborstelnetsshshow arpclear arpおよび clear ipv6 neighbors のコマンドにpingデフォルトのルーティングインスタンスとして渡されます。

論理インターフェイス設定

プライマリ管理者は論理インターフェイスを割り当て、論理システム管理者はインターフェイス属性を設定できます。

テナントシステム管理者は、論理インターフェイスを設定できません。プライマリ管理者は、論理インターフェイスをテナントシステムに割り当てます。

論理システムとテナント システムの使用事例

論理システムは、複数の仮想ルーターが必要な場合に使用されます。例えば、外部ネットワークに複数の接続があり、それらが同じ仮想ルーターに共存することはできません。テナント システムは、部門、組織、顧客を分離する必要がある場合に使用され、各テナントを 1 台の仮想ルーターに制限できます。論理システムとテナント システムの主な違いは、論理システムが複数のルーティング インスタンスを使用して高度なルーティング機能をサポートしていることです。一方、テナント システムはルーティング インスタンスを 1 つだけサポートしますが、システムごとにかなり多くのテナントの導入をサポートします。

マルチテナント システムの導入シナリオ

マルチテナント システムを実行する SRX シリーズ ファイアウォールは、マネージド セキュリティ サービス プロバイダ(MSSP)、エンタープライズ ネットワーク、支社セグメントなど、多くの環境に導入できます。 表 2 は、さまざまな導入シナリオと、そのようなシナリオにおけるテナント システムが果たす役割を示しています。

表 2:テナント システムに関する導入シナリオ

導入シナリオ

テナント システムの役割

マネージド セキュリティ サービス プロバイダ(MSSP)

  • マネージド セキュリティ サービス プロバイダ(MSSP)では、各顧客を他の顧客から分離してデータのプライバシを保護できます。定義されたSLA(サービスレベル合意)を必要とする顧客は、これらのSLAを満たすためにメモリとシステムリソースを割り当てることができます。

  • お客様は、テナントシステムごとのコンプライアンスと制御のために個別のセキュリティポリシーを設定できます。

エンタープライズ ネットワーク

  • テナントシステムは、エンタープライズ内のワークグループ、部門、またはその他の組織構成に割り当てることができます。

  • テナントシステムは、エンタープライズワークグループ、部門、またはエンタープライズの他の組織構成に対して異なるセキュリティポリシーを定義できます。

支社セグメント

  • 支社では、テナント システムで企業とゲストのトラフィックを個別に管理および分離できます。

  • 高度なセキュリティポリシーはテナントシステムごとに設定できます。このアプローチでは、セキュリティポリシーをきめ細かく制御できます。

  • テナント システムにより、管理とトラブルシューティングが容易になります。

テナントシステムのメリット

  • 組織に必要な物理デバイスの数を減らすことで、コストを削減します。1台のデバイスでさまざまなユーザーグループのサービスを統合し、ハードウェアのコスト、電力費、ラックスペースを削減できます。

  • テナントシステムレベルで分離と論理的分離を提供します。各テナント システムが他のテナント システムに影響を与えることなく独自のセキュリティ制御と制限を定義できる、大規模な管理上の分離によってテナント システムを分離する機能を提供します。

プライマリ管理者とテナント システム管理者の役割と責任

プライマリ管理者は、すべてのテナント システムを作成および管理します。1 つのプライマリ論理システムがルート レベルで作成され、単一のルーティング プロトコル プロセスが割り当てられます。このルーティング プロトコル プロセスは共有されますが、テナント システムによってファイアウォール上で論理的なリソースを分離できます。デフォルトでは、すべてのシステム・リソースが 1 次論理システムに割り当てられ、1 次管理者はそれらをテナント・システム管理者に割り当てます。

メモ：

Junos OS コマンドライン リファレンスでは、プライマリ論理システムは root 論理システムと呼ばれます。

テナント システムは、プライマリ論理システムによってサブインテントされたテナント システムが作成されます。プライマリ論理システムの下のすべてのテナントは単一のルーティングプロセスを共有しますが、各テナントシステムには単一のルーティングインスタンスがあります。 表 3 は、プライマリ管理者とテナント システム管理者の役割と責任を示しています。

表3 テナントシステムに対する役割と責任

役割

定義

責任

プライマリ管理者

すべての論理システムとテナント システムに対するスーパーユーザー設定および検証権限を持つユーザー アカウント。

  • すべての論理システムとテナント システムを表示およびアクセスします。

  • すべてのテナント システムのログイン アカウントを作成し、そのログイン アカウントを適切なテナント システムに割り当てます。

  • リソースを作成してテナント システムに割り当てます。

  • テナントシステムのデフォルトルーティングインスタンスとして機能するテナントシステムの下に、1つのカスタムルーティングインスタンスを作成します。

  • テナント システムの下に仮想ルーターを作成し、テナント システムに割り当てます。

  • テナントシステムに割り当てる論理インターフェイスを作成します。

  • 1 次論理システム内のテナント・システムを管理します。

  • テナント システム、ログ、トレース ファイルの名前が重複していることを確認します。

テナント システム管理者

すべての構成と検証権限を持つテナント システム アカウント。

メモ：

テナント システム管理者の構成および検証権限は、テナント システム管理者の作成時に 1 次管理者が割り当てた権限によって異なります。要件に基づいてアクセス許可レベルが異なるテナント システムに対して、複数のテナント システム管理者を作成できます。

  • テナント システムのリソースにアクセスして表示します。

  • 割り当てられたリソースとルーティングプロトコルを設定します。

  • スケジューラ、セキュリティプロファイル、セキュリティ機能を設定します。

テナント システム管理者は、以下の権限をサポートしていません。

  • テナントシステムのアクセス制限とデフォルトのルーティングインスタンスを定義します。

  • 他のテナント システムのリソースにアクセスして表示します。

  • テナント システムに割り当てられたリソースの数を変更します。

  • 論理インターフェイス、仮想ルーター、ポリシー オプションを作成します。

テナント システムの容量

デバイスで作成できるテナント システムの最大数を 表 4 に示します。

表 4:テナント システムの容量

プラットフォーム

論理システムの容量

Junos OS リリース 18.4R1 のテナント システム容量

SRX1500

32

50

SRX4100とSRX4200

32

200

SRX4600

32

300

SPC2カードを搭載したSRX5400、SRX5600、SRX5800シリーズのデバイス

32

100

SPC3カードを搭載したSRX5400、SRX5600、SRX5800シリーズのデバイス

32

500

SPC2およびSPC3カードを搭載したSRX5400、SRX5600、SRX5800シリーズのデバイス

32

100

Junos OSリリース18.4R1以降、テナントシステムは、第3世代サービス処理カード(SRX5K-SPC3)と第2世代サービス処理カード(SRX5K-SPC-4-15-320)を組み合わせて装備したSRX5000ラインセキュリティサービスゲートウェイでサポートできます。Junos OS リリース 18.4R1 以前は、テナント システムは SPC2 でのみサポートされていました。

「」も参照

テナントシステム構成の概要

プライマリ管理者はテナント システムを作成し、テナント システムを管理するための管理者を割り当てます。1 つのテナント システムに複数の管理者を設定できます。テナント システム管理者の役割と責任については、「 テナント システムについて」を参照 してください。

プライマリ管理者は、論理インターフェイスを設定し、これらのインターフェイスをテナントシステムに割り当てます。1つのルーティングインスタンスとルーティングプロトコルを設定し、ルーティングインスタンスのオプションを追加します。 テナントシステムのルーティングインスタンスの設定を参照してください。

テナント システムには、独自の設定データベースがあります。設定に成功すると、各テナント システムのプライマリ データベースに変更がマージされます。複数のテナントシステムで、一度に設定変更を実行できます。一度に1つのテナントに対してのみ変更をコミットできます。1 次管理者とテナント・システム管理者が構成変更を同時に実行すると、1 次管理者が実行した構成変更によって、テナント・システム管理者が行った構成変更が上書きされます。

次の手順では、テナント システム管理者がテナント システムのセキュリティ機能を構成するために実行するタスクについて説明します。

  1. SSHサービスを使用してデバイスにアクセスし、プライマリ管理者が提供するログインIDとパスワードを使用してテナントシステムにログインします。

    認証が完了すると、「」プロンプトが>表示され、CLI動作モードにアクセスしたことを示します。プロンプトの前には、ユーザー名、デバイスのホスト名、テナント システムの名前を含む文字列が表示されます。CLI が起動すると、運用モードの最上位レベルにいます。

  2. コマンドを入力して、設定モードに configure アクセスします。
  3. コマンドを quit 入力して設定モードを終了し、CLI動作モードに戻ります。
  4. 必要に応じて、テナントシステムで以下のセキュリティ機能を設定します。

テナントシステムのルーティングインスタンスの設定

ルーティングインスタンスは、ルーティングテーブル、インターフェイス、ルーティングプロトコルパラメーターの集合です。ルーティング インスタンスに属する一連のインターフェイスとルーティング プロトコル パラメーターは、ルーティング インスタンス内の情報を制御します。テナントシステムは、割り当てられたルーティングインスタンスと、テナントシステム内のルーティングインスタンスに属するインターフェイスを設定できます。

メモ：

1 つのテナント システムに対して作成できるルーティング インスタンスは 1 つだけです。

以下の手順では、テナントシステムのルーティングテーブルでルーティングインスタンスとインターフェイスを設定する手順を説明します。

  1. という名前のテナント システムを作成します TSYS1。
  2. ルーティングインスタンス r1 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。
  3. ルーティングインスタンスのインターフェイス名を指定します。
  4. ルーティングインスタンスのルーティングオプションを指定します。
  5. 設定をコミットします。

テナント システム TSYS1の設定を表示するには、 コマンドを show tenants TSYS1 実行します。

コマンドは show tenants TSYS1 、テナント システム TSYS1に設定されたすべてのルーティング インスタンス パラメーターを表示します。

テナント システムのルーティングとインターフェイスについて

ルーティングインスタンスは、ルーティングテーブル、インターフェイス、ルーティングプロトコルパラメーターの集合です。インターフェイスは、ルーティングインスタンスのデータ転送や、ルーティングプロトコルを使用して他のピア(SRXシリーズファイアウォール)からルーティング情報を学習するために使用されます。

論理インターフェイス(IFL)は、以下のいずれかのレベルで定義できます。

  • グローバル レベル(ルート論理システム)

  • ユーザー論理システム レベル

  • テナント システム レベル(リリース Junos OS 18.4R1 以降)

グローバル レベルで定義された IFL は、ルート論理システムまたはいずれかのテナント システムで使用できます。テナント システムで定義された IFL は、そのテナント システムでのみ使用できます。

テナント システムでは、デフォルトのルーティング インスタンスを使用できません。そのため、テナント システム用にカスタム ルーティング インスタンスを作成する場合、そのテナント システムで定義されたすべてのインターフェイスを、そのルーティング インスタンスに追加する必要があります。

概要: テナント システムのルーティングとインターフェイスの設定

この概要では、テナント システムのインターフェイスとルーティング インスタンスを設定する方法を示します。

要件

開始する前に、以下を行います。

  • どの論理インターフェイスと、オプションで割り当てられる論理トンネル インターフェイスを決定します。 テナントシステム構成の概要を参照してください。

概要

以下の手順では、テナントシステム内のルーティングテーブルにルーティングインスタンスとインターフェイスを設定する手順を説明します。

このトピックでは、 表 5 で説明するインターフェイスとルーティング インスタンスを設定します。

表 5:ユーザー テナント システム インターフェイスとルーティング インスタンスの設定

機能

名前

設定パラメータ

インターフェイス

ge-0/0/2.1

ge-0/0/2.2

ge-0/0/2.3

  • IP アドレス 10.0.0.1/24

  • IP アドレス 10.0.0.2/24

  • IP アドレス 10.0.0.3/24

ルーティング インスタンス

r1

R2

  • インスタンス タイプ:仮想ルーター

  • インターフェイス ge-0/0/2.1、ge-0/0/2.3、ge-0/0/2.2 を含む

構成

手順
CLI クイックコンフィギュレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。

手順

次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 Junos OS CLIユーザーガイド の 設定モードでのCLIエディターの使用 を参照してください。

ユーザー論理システムでインターフェイスとルーティングインスタンスを設定するには:

  1. VLANタグ付けをサポートするようにインターフェイスを設定します。

  2. ルート レベルで IFL を設定します。

  3. という名前のテナント システムを作成します TSYS1。

  4. テナント システム TSYS1 でインターフェイスを定義します。

  5. ルーティングインスタンス r1 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。

  6. ルーティングインスタンスのインターフェイス名を指定します。

  7. という名前のテナント システムを作成します TSYS2。

  8. テナント システム TSYS2 でインターフェイスを定義します。

  9. ルーティングインスタンス r2 を作成し、テナントシステムにルーティングインスタンスタイプを割り当てます。

  10. ルーティングインスタンスのインターフェイス名を指定します。

  11. 設定をコミットします。

結果

設定モードから、 および show tenants コマンドを入力して設定をshow interfaces確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。

コマンドはshow tenants、テナント システムで定義されているすべてのインターフェイスと、TSYS2両方のテナント システムTSYS1に設定されたルーティング インスタンス パラメーターを表示します。

「」も参照

テナント システム セキュリティ プロファイルについて(プライマリ管理者のみ)

テナントシステムでは、サポートされているSRXシリーズファイアウォールを複数のデバイスに事実上分割し、侵入や攻撃から保護し、独自のコンテキスト外の障害状態から保護することができます。テナントシステムを保護するために、セキュリティリソースは、個別のデバイスに対して設定する方法と同様の方法で設定されます。ただし、1 次管理者はリソースをテナント・システムに割り当てます。

テナントシステムを実行するSRXシリーズファイアウォールは、テナントシステム、必要に応じて相互接続されたテナントシステム、デフォルトのプライマリ論理システムに分割できます。システムを初期化すると、ルートに 1 次論理システムが作成されます。すべてのシステム リソースが割り当てられ、デフォルトの 1 次論理システム セキュリティー プロファイルが効果的に作成されます。テナント・システム全体にセキュリティー・リソースを分散するために、1 次管理者は、テナント・システムに割り振られるリソースを指定するセキュリティー・プロファイルを作成します。セキュリティプロファイルを設定し、テナントシステムにバインドできるのは、プライマリ管理者だけです。テナント システム管理者は、対応するテナント システムにこれらのリソースを使用します。

テナント システムは、セキュリティ コンポーネント、インターフェイス、ルーティング インスタンス、静的ルート、動的ルーティング プロトコルなど、割り当てられたリソースによって定義されます。1 次管理者がセキュリティー・プロファイルを構成し、それらをテナント・システムに割り当てます。セキュリティ プロファイルが割り当てられないテナント システム設定はコミットできません。

このトピックには、以下のセクションが含まれています。

テナント システム セキュリティ プロファイル

プライマリ管理者は、特定のテナントシステムまたは複数のテナントシステムにセキュリティプロファイルを設定し、割り当てることができます。設定可能なセキュリティ プロファイルの最大数は、SRX シリーズ ファイアウォールの容量によって異なります。セキュリティ プロファイルの最大数が作成されている場合は、別のセキュリティ プロファイルを作成してコミットする前に、セキュリティ プロファイルを削除して設定変更をコミットする必要があります。多くの場合、1 つのセキュリティー プロファイルを複数のテナント システムにバインドできるため、必要なセキュリティ プロファイルが少なくて済みます。

セキュリティ プロファイルを使用すると、次のことができるようになります。

  • ポリシー、ゾーン、アドレスとアドレス帳、フロー セッション、各種形式の NAT など、デバイスのリソースをすべてのテナント システムで適切に共有します。さまざまなリソースをテナント システムに割り当て、テナント システムがリソースを効果的に利用できるようにすることができます。

    セキュリティ プロファイルは、他のテナント システムが同時に必要とするリソースを使い果たす 1 つのテナント システムから保護します。セキュリティ プロファイルは、重要なシステム リソースを保護し、デバイスのトラフィック フローが重いときにテナント システム間のパフォーマンスを向上させます。セキュリティ プロファイルは、リソースの使用が支配する一方のテナント システムから保護し、他のテナント システムがリソースを効果的に使用できるようにします。

  • 追加のテナント システムを作成できるように、拡張性に優れた方法でデバイスを構成します。

テナント システムを削除する前に、テナント システムのセキュリティ プロファイルを削除する必要があります。

システムがテナント システム全体のリソース割り当てと使用を評価する方法を理解する

テナント システムにセキュリティ機能を備えたプロビジョニングを行うために、プライマリ管理者は、各セキュリティ機能のリソースを指定するセキュリティ プロファイルを設定します。

  • 指定されたリソース量がテナント システムで常に使用可能であることを保証する予約済みクォータ。

  • 割り当て可能な最大クォータ。テナントシステムが、予約済みクォータを超える追加リソースを必要とする場合、グローバルリソースが他のテナントシステムに割り当てられない場合、グローバル最大量に設定されたリソースを利用できます。最大許容クォータによって、セキュリティー・プロファイル内のリソースに指定された量が使用可能であるとは限りません。テナントシステムは、利用可能なリソースに基づいてグローバルリソースを効果的に活用する必要があります。

リソースに対して予約済みクォータが構成されていない場合、デフォルト値は 0 です。リソースに対して許可される最大クォータが構成されていない場合、デフォルト値はリソースのグローバル システム クォータになります(グローバル システム クォータはプラットフォームに依存します)。1 次管理者は、特定のテナント・システムのリソース使用率の最大化がデバイス上に構成されている他のテナント・システムに悪影響を及ぼさないように、セキュリティー・プロファイルに適切な最大許容クォータ値を構成する必要があります。

システムは、テナント システムが削除されたときに予約され、使用され、再び使用可能になる、割り当てられたすべてのリソースの数を維持します。このカウントによって、リソースをテナント システムに使用するか、セキュリティ プロファイルを通じて既存のテナント システムに割り当てられるリソースの量を増やすかが決まります。

セキュリティ プロファイルで構成されるリソースは、静的モジュラー 型リソースまたは動的リソースとして特徴付けられます。静的リソースの場合は、テナント システムの拡張可能な構成を可能にするために、予約済みクォータとして指定された量またはそれに近いリソースに対して最大クォータを設定することをお勧めします。リソースの最大クォータでは、そのリソースの多くへのアクセスを通じてテナント システムに柔軟性が高くなりますが、他のテナント システムに割り当てるためのリソースの量が制約されます。

セキュリティ プロファイルでは、以下のセキュリティ機能リソースを指定できます。

  • セキュリティ ゾーン

  • セキュリティ ポリシー用のアドレスとアドレスブック

  • アプリケーション ファイアウォール ルール セット

  • アプリケーション ファイアウォール ルール

  • ファイアウォール認証

  • フロー セッションとゲート

  • NATには以下が含まれます。

    • 円錐形 NAT バインディング

    • NAT 宛先ルール

    • NAT 宛先プール

    • PAT(ポート アドレス変換)を使用しないソース プール内の NAT IP アドレス

      メモ：

      PAT なしの IPv6 ソース プール内の IPv6 アドレスは、セキュリティ プロファイルには含まれません。

    • PAT を使用したソース プール内の NAT IP アドレス

    • NAT ポート 過負荷

    • NAT ソース プール

    • NAT ソース ルール

    • NAT 静的ルール

メモ：

フロー セッションを除くすべてのリソースは静的です。

セキュリティ プロファイルが他のテナント システムに割り当てられている間、テナント システム セキュリティ プロファイルを動的に変更できます。ただし、システム リソースのクォータを超過しないように、システムは次のアクションを実行します。

  • 静的クォータが変更された場合、セキュリティ プロファイルで指定されたリソースのテナント システム カウントを維持するシステム プロセスは、その後、静的クォータに関連付けられたプロファイルに割り当てられたセキュリティ プロファイルを再評価します。このチェックでは、すべてのテナント システムに割り当てられたリソースの数を識別して、割り当てられたリソース(増加したリソースを使用できるかどうかを含む)を判断します。

    これらのクォータ チェックは、テナント システムを追加してセキュリティ プロファイルをバインドするときにシステムが実行するクォータ チェックと同じです。また、現在割り当てられているセキュリティ プロファイルから別のセキュリティ プロファイルを既存のテナント システム(またはプライマリ論理システム)にバインドする場合にも実行されます。

  • 動的クォータが改訂された場合、チェックは実行されませんが、将来のリソース使用に対して改訂クォータが適用されます。

ケース: セキュリティ プロファイルによって割り当てられた予約済みリソースの評価

システムがセキュリティ プロファイルを使用して予約済みリソースの割り当てを評価する方法を理解するには、 表 7 で説明する次の 3 つのケースと、リソースとゾーンの割り当てについて検討してください。この例をシンプルにするため、security-profile-1 には 10 のゾーンが割り当てられます。4 つの予約ゾーンと最大 6 つのゾーン。この例では、指定された最大量(6 つのゾーン)がテナント システムで使用可能であると仮定しています。ゾーンの最大数はシステムで 10 です。

3 つのケースは、テナント システム全体の設定に対応します。3 つのケースでは、ゾーンの割り当てに基づいて設定がコミットされたときに構成が成功するか失敗するかを確認します。

表 6 は、セキュリティ プロファイルとそのゾーン割り当てを示しています。

表 6:予約済みリソース評価に使用されるセキュリティ プロファイル

設定ケースで使用される 2 つのセキュリティ プロファイル

security-profile-1

  • ゾーンの予約済みクォータ = 4

  • ゾーンの最大クォータ = 6

メモ：

プライマリ管理者は、後でこのプロファイルで指定された予約ゾーン数を動的に増やします。

プライマリ-論理-システムプロファイル

  • ゾーンの最大クォータ = 10

  • 予約済みクォータなし

表 7 は、 セキュリティ プロファイルの設定に基づいて、システムがテナント システム全体のゾーンの予約済みリソースを評価する方法を示す 3 つのケースを示しています。

  • すべてのテナント システムにバインドされたセキュリティ プロファイルで構成されたゾーンの累積予約リソース クォータが 8 で、システムの最大リソース クォータより小さいため、最初のケースの構成は成功します。

  • すべての論理システムにバインドされたセキュリティ プロファイルで構成されたゾーンの累積予約リソース クォータが 12 で、システムの最大リソース クォータを超えるため、2 番目のケースの構成は失敗します。

  • すべてのテナント システムにバインドされたセキュリティ プロファイルで構成されたゾーンの累積予約リソース クォータが 12 で、システムの最大リソース クォータを超えるため、3 番目のケースの構成は失敗します。

表 7:テナント システム全体の予約済みリソース割り当てアセスメント

テナント システム全体の予約済みリソース クォータ チェック

例 1: 成功

この設定は制限内です:4+4+0=8、最大容量 =10。

使用されるセキュリティ プロファイル

  • セキュリティ プロファイル security-profile-1 には、テナント システム-1 とテナント システム-2 という 2 つのテナント システムが使用されます。

  • 1 次論理システム・プロファイルは、1 次論理システムのみに使用されます。

  • テナントシステム-1 = 4つの予約ゾーン。

  • テナントシステム-2 = 4つの予約ゾーン。

  • プライマリ論理システム = 0 予約済みゾーン。

例2:失敗

この設定は範囲外です:4+4+4=12、最大容量 =10。

  • テナントシステム-1 = 4つの予約ゾーン。

  • テナントシステム-2 = 4つの予約ゾーン。

  • プライマリ論理システム = 0 予約済みゾーン。

  • new-tenant-system = 4 つの予約済みゾーン。

セキュリティ プロファイル

  • セキュリティ プロファイル security-profile-1 には、テナント システム-1 とテナント システム-2 という 2 つのテナント システムが使用されます。

  • 1 次論理システム・プロファイルは 1 次論理システムにバインドされ、それに対して排他的に使用されます。

  • プライマリ管理者は new-tenant-system と呼ばれる新しいテナント システムを設定し、security-profile-1 をそれにバインドします。

例 3: 失敗

この設定は範囲外です:6+6=12、最大容量 =10。

一次管理者は、security-profile-1 で予約済みゾーンのクォータを変更し、カウントを 6 に増やします。

  • テナントシステム-1 = 6つの予約ゾーン。

  • テナントシステム-2 = 6つの予約ゾーン。

  • プライマリ論理システム = 0 予約済みゾーン。

例:テナントシステム、テナントシステム管理者、相互接続VPLSスイッチの作成

この例では、テナントシステム、テナントシステム管理者、相互接続VPLSスイッチを作成する方法を示しています。テナントシステム管理者のユーザーログインアカウントを作成し、VPLSスイッチを相互接続できるのは、プライマリ管理者だけです。

要件

この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。

  • テナント システム、テナント システム管理者、相互接続 VPLS スイッチの作成を開始する前に、 テナント システムの概要 を読んで、このタスクが全体の構成プロセスにどのように適合するかを理解してください。

概要

この例では、テナント システム 、TSYS2および TSYS3のテナント システムTSYS1管理者を作成する方法を示します。要件に応じて異なる権限レベルを持つテナント システムに対して、複数のテナント システム管理者を作成できます。

このトピックでは、同じデバイス上の別のテナント システムを接続する仮想プライベート LAN サービス(VPLS)スイッチの相互接続についても取り上げます。VPLSスイッチは、テナントシステムで終了したトランジットトラフィックと、テナントシステム間を通過するトラフィックの両方を有効にします。トラフィックがテナントシステム間を通過できるようにするには、同じサブネット内に論理トンネル(lt-0/0/0)インターフェイスを設定する必要があります。

トポロジ

図 2 は、テナント システムに導入および設定された SRX シリーズ ファイアウォールを示しています。この設定例では、静的ルーティングを使用してPCがインターネットに到達できるようにします。

図 2:テナント システムの作成と VPLS スイッチ Creating Tenant Systems and Interconnect VPLS Switchの相互接続

フルSRXクイック構成

論理システムとテナントシステムの設定、VPLSスイッチの相互接続

CLI クイックコンフィギュレーション

この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に合わせて必要な詳細を変更して、インターフェイスとユーザー パスワードを含めます。次に、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストし、設定モードから を入力 commit します。

手順

次の例では、設定階層内のさまざまなレベルに移動する必要があります。その方法の詳細については、 CLIユーザーガイドの設定モードでのCLIエディターの使用を参照してください。ここでは、1 つのテナントの構成について順を追った手順について説明します。

  1. 各テナントのログイン ユーザーアカウントを作成します。テナント TSYS1 ユーザー アカウントを作成するための手順のみを示します。

    1. ユーザーログインクラスを作成し、テナントシステムに割り当てます。

    2. ログインクラスにパーミッションレベルを割り当てます。この例では、テナントシステム管理者へのフルアクセスを許可するレベル all を使用します。

    3. ユーザー アカウントを作成し、前の手順のクラスに割り当てます。これにより、ユーザーはテナント システムにログインできます。

    4. ユーザーアカウントのユーザーログインパスワードを作成します。

  2. VPLSスイッチを設定します。VPLS スイッチにより、テナント システムで終了したトランジット トラフィックとトラフィックの両方が、単一の論理トンネルを持つテナント システム間を通過できます。テナント システム間のトラフィックを許可するために、同じサブネット内に論理トンネル インターフェイスを設定する必要があります。

    1. 論理トンネル インターフェイスを設定します。

    2. VPLSスイッチのルーティングインスタンスを設定し、論理トンネルインターフェイスを割り当てます。

  3. テナントシステムを設定します。1つのテナントの設定のみを表示しています

    1. テナントに関連付けられたインターフェイスを設定します。

    2. テナント、ルーティングインスタンス、スタティックルーティングを設定し、インターフェイスを割り当てます。

  4. セキュリティプロファイルを設定します。この例では、論理システムとテナントシステムの設定に必要な最小限の構成のみを示しています。

  5. 論理システムを設定します。相互接続 VPLS スイッチを使用するこの例では、論理システムが必要です。

    1. インターフェイスを設定します。

    2. 静的ルートを設定します。

  6. 論理システムにセキュリティ ゾーンとポリシーを設定し、テナントからインターネットへのトラフィック フローを許可します。論理システムとテナント システムの両方に追加のセキュリティ ポリシーを設定して、テナント間のトラフィックを許可できます。

    1. セキュリティ ゾーンを設定します。

    2. セキュリティポリシーを設定します。

  7. 各テナントシステムでセキュリティゾーンとポリシーを設定し、インターネットへのトラフィックフローを許可します。

    1. セキュリティ ゾーンを設定します。

    2. セキュリティポリシーを設定します。

結果

設定モードから、 コマンドを入力して設定を show tenants TSYS1 確認し、テナントシステムが作成されていることを確認します。コマンドを show system login class TSYS1admin1 入力して、定義した各クラスのパーミッション レベルを表示します。テナント システム管理者が作成されるようにするには、 コマンドを show system login user TSYS1admin1 入力します。相互接続 VPLS スイッチ用のインターフェイスが作成されるようにするには、 コマンドを show interfaces 入力します。を入力 show logical-systems して、ルート論理システムの設定を確認します。

出力に意図した設定が表示されない場合は、これらの例の設定手順を繰り返して修正します。デバイスの設定が完了したら、設定モードから を入力します commit 。

検証

設定が正しく機能していることを確認します。

プライマリ管理者を使用したテナント システムとログイン設定の検証

目的

テナントシステムが存在し、プライマリ管理者としてルートからテナントを入力できることを確認します。テナント システムからルートに戻ります。

アクション

運用モードから、以下のコマンドを使用してテナント システムに入ります TSYS1。

これで、テナント システムに入ります TSYS1。テナント システム TSYS1 からルートに向けて出る場合は、以下のコマンドを使用します。

意味

テナント システムが存在し、プライマリ管理者としてルートからテナント システムに入ることができます。

SSHを使用したテナントシステムとログイン設定の検証

目的

作成したテナント システムが存在し、作成した管理者ログイン ID とパスワードが正しいことを確認します。

アクション

SSHを使用して各ユーザーテナントシステム管理者にログインします。

  1. SRXシリーズファイアウォールのIPアドレスを指定したSSHを実行します。

  2. 作成したテナント システム管理者のログイン ID とパスワードを入力します。ログイン後、プロンプトにテナント システム管理者名が表示されます。この結果は、ルートにあるプライマリ論理システムからテナント システムにログインしたときに生成される結果とどのように異なっているかに注意してください。すべてのテナント システムについて、この手順を繰り返します。

意味

テナント システム管理者 TSYS1admin1 が存在し、テナント システム管理者としてログインできます。

インターネットへの PC1 接続の検証

目的

エンドツーエンドの接続性を検証します。

アクション

ping を実行し、PC1 からインターネットへの traceroute を実行します。この例では、インターネットは192.168.10.254です。

  1. PC1 から ping を実行します。

  2. PC1 から traceroute を実行します。

意味

PC1 はインターネットに接続できます。

「」も参照

関連ドキュメント

リリース履歴テーブル
リリース
説明
19.2R1
Junos OS リリース 19.2R1 以降、テナント システムで設定された仮想ルーターは、 、 traceroute show ipv6 neighbors telnet ssh show arp clear arpおよび clear ipv6 neighbors のコマンドに pingデフォルトのルーティングインスタンスとして渡されます。