Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

セキュリティデバイスのイーサネットポートスイッチングモード

セキュリティデバイスのスイッチングモードについて

スイッチングモードには2つのタイプがあります。

  • スイッチング モード :uPIM はインターフェイスのリストに、uPIM 上の最初のインターフェイスである 1 つのインターフェイスとして表示されます。たとえば、「ge-2/0/0」のようになります。オプションで、各アップ Im ポートを自動ネゴシエーション、スピード、およびデュプレックスモードに設定することもできます。スイッチングモードでのアップ Im は、次の機能を実行できます。

    • レイヤー 3 転送:シャーシ上に存在する WAN インターフェイスおよび他の PIM 宛てのトラフィックをルーティングします。

    • レイヤー 2 転送:スイッチ LAN 内の 1 つのホストから別の LAN ホスト(uPIM の 1 つのポートから同じ uPIM の別のポート)に LAN 内トラフィックを転送します。

  • 拡張スイッチング モード : 各ポートをスイッチング モードまたはルーティング モードに設定できます。この使用方法は、すべてのポートがスイッチングまたはルーティングモードになっていなければならないルーティングおよびスイッチングモードとは異なります。拡張スイッチングモードで Up Im を導入すると、次のようなメリットが得られます。

    Enhnanced スイッチモードのメリット:

    • さまざまなタイプの Vlan と VLAN 間のルーティングの構成をサポートします。

    • リンクアグリゲーション制御プロトコル (LACP) などのレイヤー2制御プレーンプロトコルをサポートします。

    • 認証サーバーを通じてポートベースのネットワークアクセスコントロール (PNAC) をサポートします。

    注:

    SRX300 と SRX320 のデバイスは、拡張スイッチングモードのみをサポートしています。マルチポートアップ Im を拡張スイッチングモードに設定すると、すべてのレイヤー2スイッチング機能が Up Im でサポートされます。(プラットフォームのサポートは、インストールの Junos OS リリースによって異なります)。

デバイス上でマルチポートギガビットイーサネット upim を設定して、スイッチングモードまたは拡張スイッチのいずれかに切り替えることができます。

マルチポートアップ Im をスイッチングモードに設定すると、監視用に1つのエンティティとしてアップ Im が表示されます。設定可能な物理ポート設定は、各 Up Im ポートでの自動ネゴシエーション、スピード、およびデュプレックスモードであり、これらの設定はオプションです。

イーサネットポートスイッチングの概要セキュリティーデバイス

デバイス内の特定ジュニパーネットワークスは、レイヤー 2 でトラフィックを切り替え、レイヤー 3 でトラフィックをルーティングするイーサネット アクセス スイッチとして機能します。

統合ルーティング機能を使用して、サポートされるデバイスをアクセスまたはデスクトップスイッチとして導入することで、ネットワークトポロジーからの中間的なアクセススイッチデバイスを排除できます。イーサネットポートはスイッチング機能を提供しますが、ルーティングエンジンはルーティングを提供します。単一のデバイスを使用してルーティング、アクセススイッチング、WAN インターフェイスを提供できます。

このトピックは、以下のセクションで構成されています。

サポートされるデバイスとポート

ジュニパーネットワークスは、さまざまなイーサネットポートおよびデバイスでスイッチング機能を表 1サポートしています (を参照)。プラットフォームのサポートは、インストールの Junos OS リリースによって異なります。以下のポートとデバイスが含まれています。

  • SRX300、SRX320、SRX320 PoE、SRX340、SRX345、SRX550M で、SRX1500 デバイスのオンボードイーサネットポート (ギガビットおよび高速イーサネット内蔵ポート)。

  • SRX650 デバイス上のマルチポートギガビットイーサネット XPIM。

表 1: スイッチング機能用のサポート対象デバイスとポート

デバイス

ポート

SRX100 デバイス

オンボード高速イーサネットポート (fe-0/0/0 および fe-0/0/7)

SRX210 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0、ge-0/0/1) および1ポートギガビットイーサネット SFP ミニ PIM ポート

オンボード高速イーサネットポート (fe-0/0/2 および fe-0/0/7)

SRX220 デバイス

オンボードギガビットイーサネットポート (ge 0/0/0 から ge-0/0/7 まで) および1ポートギガビットイーサネット SFP ミニ PIM ポート

SRX240 デバイス

オンボードギガビットイーサネットポート (ge 0/0/0 から ge-0/0/15) および1ポートギガビットイーサネット SFP ミニ PIM ポート

SRX300 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0 ~ ge-0/0/7)

SRX320 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0 ~ ge-0/0/7)

SRX340 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0 ~ ge-0/0/15)

SRX345 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0 ~ ge-0/0/15)

SRX550 デバイス

オンボードギガビットイーサネットポート (ge 0/0/0 ~ ge-0/0/9、マルチポートギガビットイーサネット XPIM モジュール、1ポートギガビットイーサネット SFP ミニ PIM ポート)。

SRX550M でデバイス

オンボードギガビットイーサネットポート (ge-0/0/0 から ge-0/0/9 およびマルチポートギガビットイーサネット XPIM モジュール)

SRX650 デバイス

マルチポートギガビットイーサネット XPIM モジュール

注:

SRX650 デバイスでは、イーサネットスイッチングはギガビットイーサネットインターフェイス (ge-0/0/0 ~ ge-0/0/3 ポート) でサポートされていません。

SRX1500 デバイス

オンボードギガビットイーサネットポート (ge-0/0/0 ~ ge-0/0/19)

SRX100 にあります。SRX220、SRX240、SRX300、SRX320、SRX340、SRX345 の各デバイスでは、オンボードギガビットイーサネットポートをスイッチポートまたはルーティングポートとして動作するように設定できます。(プラットフォームのサポートは、インストールの Junos OS リリースによって異なります)。

統合型ブリッジとルーティング

統合型ブリッジおよびルーティング (IRB) は、同一 VLAN 内でのレイヤー 2 swiching とレイヤー3ルーティングの同時サポートを提供します。VLAN のインターフェイスに到着したパケットは、パケットの宛先 MAC アドレスに基づいてスイッチングまたはルーティングされます。ルーターのパケットが宛先としてMAC アドレスパケットは、他のレイヤー 3 インターフェイスにルーティングされます。

Link Layer Discovery Protocol と LLDP-Media Endpoint Discovery

デバイスは、リンクレイヤー発見プロトコル (LLDP) と LLDP メディアエンドポイント探索 (MED) を使用して、ネットワークリンクに関するデバイス情報の学習と配布を行います。この情報により、デバイスはさまざまなシステムを即座に識別できるようになり、結果として、円滑で効率的に相互運用できる LAN が実現します。

LLDP 対応デバイスは、データをタイプ長値 (TLV) メッセージとして近傍デバイスに送信します。デバイス情報には、シャーシ、ポートの識別、システム名やシステムの機能などの詳細を含めることができます。TLVs は、Junos OS ですでに設定されているパラメーターから取得した情報を活用することではありません。

LLDP はさらに一歩進んでおり、デバイスと IP 電話間の IP テレフォニーメッセージを交換します。これらの TLV メッセージには、Power over Ethernet (PoE) ポリシーの詳細情報が記載されています。PoE 管理は、デバイスポートが必要な電力レベルと電力の優先度を提供します。たとえば、デバイスは、利用可能なリソースを使用して PoE インターフェイス上で実行されている IP 電話が必要とする電力を比較することができます。IP 電話に必要なリソースをデバイスが満たしていない場合、デバイスは電力が侵害されるまで電話でネゴシエーションを行うことができます。

次の基本 TLVs がサポートされています。

  • シャーシ識別子 — ローカル MAC アドレスに関連付けられた番号です。

  • ポート識別子 — ローカル システム内の指定されたポートのポート識別。

  • ポートの説明 — ユーザーが設定したポートの説明。ポートの説明には、最大256文字を使用できます。

  • システム名 — ローカル システムのユーザー設定名。システム名は最大256文字で指定できます。

  • スイッチング機能の概要 — この情報は設定できませんが、ソフトウェアから取得します。

  • システム機能 — システムが実行する主な機能。システムによってサポートされる機能。たとえば、イーサネットスイッチングやルーターなどです。この情報は構成できませんが、製品のモデルに基づいています。

  • 管理アドレス — ローカル システムの IP 管理アドレス。

次の LLDP-MED 対がサポートされています。

  • LLDP-MED Capabilities—ポートの主要機能をアドバタイズする TLV。値の範囲は、0 ~ 15 です。

    • 0—機能

    • 1 — ネットワーク ポリシー

    • 2 — ロケーション識別

    • 3—MDI-PSE(medium-dependent interface power-sourcing equipment)を介して拡張された電力

    • 4 - 在庫

    • 5–15—Reserved

  • LLDP デバイスクラス値:

    • 0 — クラスは定義されていません

    • 1 — クラス 1 デバイス

    • 2 — クラス 2 デバイス

    • 3 — クラス 3 デバイス

    • 4— ネットワーク接続デバイス

    • 5~255— 予約済み

    注:

    Junos OS リリース 15.1 X49-D60 および Junos OS リリース 17.3 R1 は、SRX300、SRX320、SRX340、SRX345、SRX550M で、SRX1500 デバイスで有効になっています (Link Layer Discovery Protocol (LLDP) および LLDP-Media Endpoint Discovery (MFD))。

  • ネットワーク ポリシー — ポート VLAN 設定と、関連するレイヤー 2 およびレイヤー 3 属性をアドバタイズする TLV。属性には、ポリシー識別子、アプリケーションタイプ (音声やストリーミングビデオ、802.1 Q VLAN タグ、802.1 p 優先度ビット、Diffserv コードポイント) が含まれます。

  • エンドポイントの場所 — エンドポイントの物理位置をアドバタイズする TLV。

  • MDI 経由で電力を拡張 — ポートの電力タイプ、電源、電力優先度、電力値をアドバタイズする TLV。ポートに電力の優先度を通知するには、PSE デバイス (ネットワーク接続デバイス) が責任を負っています。

LLDP と LLDP は、SRX100、SRX210、SRX240、SRX300、SRX320、SRX340、SRX345 デバイスの基本ポート、および SRX650 デバイス上のギガビットバックプレーン物理インターフェイスモジュール (GPIMs) で、uPIMs (拡張スイッチングモードの場合) で明示的に設定する必要があります。(プラットフォームのサポートは、インストールの Junos OS リリースによって異なります)。すべてのインターフェイスまたは特定のインターフェイスで LLDP を構成するにlldpは、[set protocols] 階層レベルのステートメントを使用します。すべてのインターフェイスまたは特定のインターフェイスで LLDP を構成するには、 lldp-med [set protocols] 階層レベルのステートメントを使用します。

スイッチポートのタイプ

スイッチのポートまたはインターフェイスは、アクセスモードまたはトランクモードのいずれかで動作します。

アクセスモードのインターフェイスは、デスクトップコンピューター、IP 電話、プリンター、ファイルサーバー、セキュリティカメラなどのネットワークデバイスに接続します。このインターフェイス自体は単一の VLAN に属します。アクセスインターフェイスを介して送信されるフレームは、通常のイーサネットフレームです。

トランクインターフェイスは、複数の Vlan のトラフィックを処理し、同一の物理接続を介してこれらのすべての Vlan のトラフィックを多重化します。トランクインターフェイスは、通常、スイッチ間の相互接続に使用されます。

デイジーチェーンでのアップ Im

複数の uPIMs を組み合わせて、単一の統合スイッチとして機能させることはできません。しかし、1つのシャーシ上で、デイジーチェーン方式で別の Up Im のポートにポートを物理的に接続することによって、その Ims を外部接続することができます。

2つ以上の uPIMs が統合されているため、1つのスイッチを作成し、それよりも大きいポート数を使用します。1つのポートは、接続専用に使用されています。たとえば、6個のポートアップ Im と8個のポートアップ Im をデイジーチェーンで連結すると、その結果は12ポートアップ im として動作します。任意のポートを Up Im でデイジーチェーンに使用できます。

デイジーチェーンの1つの Ims にのみ IP アドレスを設定して、プライマリアップ Im を行います。セカンダリ uPIM は、トラフィックをプライマリ uPIM にルーティングし、それをルーティングエンジンに転送します。その結果、外部リンクのオーバーサブスクリプションによって遅延とパケットロスが増加します。

2つの uPIMs 間には1つのリンクのみがサポートされています。Ims 間で複数のリンクを接続すると、ループトポロジーが作成されますが、サポート対象ではありません。

Q イン Q VLAN タグ

Q イン Q のトンネリングは、IEEE 802.1 ad standard で定義されており、イーサネットアクセスネットワーク上のサービスプロバイダが、2つの顧客サイト間のレイヤー2イーサネット接続を拡張することを可能にします。

Q イン Q のトンネリングでは、パケットがお客様の VLAN (C-VLAN) からサービスプロバイダの VLAN に転送されるときに、サービスプロバイダ固有の 802.1 Q タグがパケットに追加されます。この追加タグを使用して、トラフィックをサービスプロバイダ定義のサービス Vlan (S-Vlan) に分離します。パケットの元の customer 802.1 Q タグはそのまま残り、サービスプロバイダのネットワークを通過して透過的に送信されます。パケットが S-VLAN を下流方向に放置すると、余分な 802.1 Q タグが削除されます。

注:

サービス プロバイダの VLAN に Q-in-Q トンネリングが設定されている場合、その VLAN の顧客側アクセス ポートから送信される、ルーティングされた VLANインターフェイスからのパケットを含むすべての ルーティング エンジン パケットは常にタグ付けされません。

C-clip を S-VLAN にマッピングするには、以下の3つの方法があります。

  • 一対 1 のバンドリング — 顧客の VLAN を指定せずに、 [ ] 階層レベルのステートメント dot1q-tunnelingedit vlans を使用してマップします。特定のアクセスインターフェイスからのすべてのパケットは、S-VLAN にマップされます。

  • 多対 1 のバンドリング — [ ] 階層レベルの ステートメントを使用して、S-VLAN にマッピングされている customer-vlansedit vlans C-VLAN を指定します。

  • 特定のインターフェイス上の C-VLAN のマッピング — [ ] 階層レベルのステートメントを使用して、指定されたアクセス インターフェイス上の特定の mappingedit vlans C-VLAN を S-VLAN にマッピングします。

表 2SRX シリーズデバイスでサポートされている C VLAN と S VLAN マッピングを示します。(プラットフォームのサポートは、インストールの Junos OS リリースによって異なります)。

表 2: サポートされるマッピング方式

ッピング

SRX210

SRX240

SRX300

SRX320

SRX340

SRX345

SRX550M

SRX650

オールインワンバンドル

あり

あり

なし

なし

あり

多数対1のバンドル

なし

なし

なし

なし

あり

特定のインターフェイスでの C-VLAN のマッピング

なし

なし

なし

なし

あり

注:

VLAN 変換は SRX300 および SRX320 デバイスでサポートされており、これらのデバイスは Q イン Q のトンネリングをサポートしていません。

注:

SRX650 デバイスでは、dot1q の構成オプションで、ユーザーの Vlan 範囲と VLAN プッシュが、構成をコミットしても同じ S-VLAN で同時に動作しません。両方が設定されている場合、VLAN push は顧客の Vlan 範囲より優先されます。

IRB インターフェイスは、SRX210、SRX240、SRX340、SRX345、SRX650 デバイスの Q イン Q Vlan でサポートされています。Q イン Q VLAN 上の IRB インターフェイスに到着したパケットは、パケットが単なる、または二重のタグが付いているかどうかに関係なく、ルーティングされます。アウトゴーイングパケットには、トランクインターフェイスの終了時にのみ S-VLAN タグが含まれています。パケットは、アクセスインターフェイスを終了するときに、タグなしインターフェイスを終了します。(プラットフォームのサポートは、インストールの Junos OS リリースによって異なります)。

Q イン Q 版導入では、ダウンストリームインターフェイスから送信されたお客様のパケットは、ソースおよび宛先の MAC アドレスに変更を加えることなく転送できます。インターフェイスレベルと VLAN レベルの両方で MAC アドレス学習を無効にすることができます。インターフェイスの MAC アドレス学習を無効にすると、そのインターフェイスがメンバーになっているすべての Vlan の学習が無効になります。VLAN での MAC アドレス学習を無効にすると、すでに学習した MAC アドレスがフラッシュされます。

SRX100、SRX210、SRX240、SRX300、SRX320、SRX340、SRX345、および SRX650 デバイス (プラットフォームのサポートによって、インストール時の Junos OS リリースによって異なります)、レイヤー3のアグリゲート型イーサネットでは、以下の機能はサポートされていません。

  • Encapsulations (CCC、VLAN CCC、VPLS、PPPoE など)

  • J-Web

  • Junos OS リリース19.4 r2 から開始して、冗長イーサネット (RETH) インターフェイスで LLDP を構成できます。コマンドをset protocol lldp interface <reth-interface>使用して、reth インターフェイスで LLDP を設定します。

  • SRX550M でデバイスでは、XE メンバーインターフェイスを使用したアグリゲートイーサネット (ae) インターフェイスをイーサネットスイッチングシリーズで構成することはできません。

  • SRX300、SRX320、SRX340、SRX345、SRX550M での各デバイスでは、レイヤー3インターフェイスで Q イン Q のサポートには次のような制限があります。

    • 二重のタグ付けは、reth および ae インターフェイスではサポートされていません。

    • フローモードとシャーシクラスターでは、マルチトポロジールーティングがサポートされていません。

    • Encapsulations では、デュアルタグ付きフレームはサポートされていません (CCC、TCC、VPLS、PPPoE など)。

    • レイヤー3論理インタフェースinput-vlan-map、、 output-vlan-mapinner-range、にinner-listは適用できません。

    • 0x8100 では TPIDs のみがサポートされ、タグの最大数は2になります。

    • デュアルタグ付きフレームは、IPV4 および IPv6 シリーズを使用した論理インタフェースに対してのみ受け入れられます。

  • SRX100、SRX210、SRX240、SRX300、SRX320、SRX340、SRX345、および SRX650 デバイス (プラットフォームのサポートにより、インストールにおける Junos OS リリースによって異なります)、ルーティング VLAN インターフェイス(rvi) には、次の機能はサポートされていません。

    • IS-IS (ファミリー ISO)

    • VLAN インターフェイスでの Encapsulations (Ether CCC、VLAN CCC、VPLS、PPPoE など)

    • CLNS

    • DVMRP

    • VLAN インターフェイスの MAC の変更

    • G-ARP

    • VLAN インターフェイスの VLAN Id を変更します。

例:セキュリティデバイスでのスイッチングモードの構成

要件

概要

この例では、l2 chassis学習プロトコルを設定してグローバルモードスイッチングに設定します。その後、l2 学習プロトコルで物理ポートパラメーターを設定します。

Topology

構成

手順

CLI クイック構成

この例を簡単に構成するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致する必要がある詳細を変更し、コマンドを[edit]階層レベルで CLI にコピー & ペーストしてから設定commitモードから開始します。

順を追った手順

スイッチングモードを構成するには、次のようになります。

  1. L2 学習プロトコルをグローバルモード切り替えに設定します。

  2. L2 学習プロトコルで物理ポートパラメーターを設定します。

  3. デバイスの設定が完了したら、構成をコミットします。

結果

設定モードから、 show protocolsshow interfacesコマンドを入力して設定を確認します。出力に意図した構成が表示されない場合は、この例の設定手順を繰り返して修正してください。

デバイスの設定が完了したら、設定commitモードから入力します。

検証

構成が正常に機能していることを確認します。

スイッチングモードの確認

目的

スイッチングモードが期待どおりに設定されていることを確認してください。

アクション

動作モードから、 show ethernet-switching global-informationコマンドを入力します。

この出力例は、グローバルモードのスイッチングが期待どおりに設定されていることを示しています。

インターフェイス ge でのイーサネットスイッチの確認-0/0/1

目的

イーサネットスイッチングが、インターフェイス ge-0/0/1 上で正常に設定されていることを確認します。

アクション

動作モードから、 show interfaces ge-0/0/1 briefコマンドを入力します。

この出力例では、イーサネットスイッチングは、インターフェイス ge-0/0/1 で適切に構成されていることを示しています。

リリース履歴テーブル
リリース
説明
15.1X49-D60
Junos OS リリース 15.1 X49-D60 および Junos OS リリース 17.3 R1 は、SRX300、SRX320、SRX340、SRX345、SRX550M で、SRX1500 デバイスで有効になっています (Link Layer Discovery Protocol (LLDP) および LLDP-Media Endpoint Discovery (MFD))。