セキュリティデバイス上のレイヤー2インターフェイス
セキュリティデバイス上のレイヤー2インターフェイスについて
レイヤー2論理インターフェイスは、物理インターフェイス上にファミリーアドレスタイプ ethernet-switchingの1つ以上の論理ユニットを定義することによって作成されます。物理インターフェイスに ethernet-switching ファミリー 論理インターフェイスがある場合、その論理インターフェイスに他のファミリータイプを含めることはできません。論理インターフェイスは、以下のいずれかのモードで設定できます。
アクセスモード—インターフェイスはタグなしのパケットを受け入れ、指定されたVLAN識別子をパケットに割り当て、一致するVLAN識別子で構成されたVLAN内のパケットを転送します。
トランクモード—インターフェイスは、指定されたVLAN識別子のリストに一致するVLAN識別子でタグ付きされたパケットを受け入れます。トランクモードインターフェイスは通常、スイッチの相互接続に使用されます。物理インターフェイスで受信したタグなしパケットのVLAN識別子を設定するには、
native-vlan-idオプションを使用します。native-vlan-idオプションが設定されていない場合、タグなしパケットは破棄されます。
トランク インターフェイスの VLAN 識別子が他のトランク インターフェイスの VLAN 識別子と重複しない限り、複数のトランクモード論理インターフェイスを定義できます。 native-vlan-id は、トランクインターフェイス用に設定されたVLAN識別子リストに属している必要があります。
関連項目
例:セキュリティデバイス上のレイヤー2論理インターフェイスの設定
この例では、レイヤー 2 論理インターフェイスをトランク ポートとして設定し、受信パケットをファイアウォールまたはその他のセキュリティ デバイスに選択的にリダイレクトできるようにする方法を示します。
要件
開始する前に、VLAN を設定します。 例:セキュリティデバイス上のVLANの設定を参照してください。
概要
この例では、VLAN 識別子 1 から 10 のタグが付いたパケットのトラフィックを伝送するトランク ポートとして論理インターフェイス ge-3/0/0.0 を設定します。このインターフェイスは、以前に設定されたVLAN-aおよびvlan-bに暗黙的に割り当てられます。次に、物理インターフェイスge-3/0/0で受信したタグなしパケットにVLAN ID 10を割り当てます。
設定
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set interfaces ge-3/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members 1–10 set interfaces ge-3/0/0 vlan-tagging native-vlan-id 10
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
レイヤー2論理インターフェイスをトランクポートとして設定するには:
論理インターフェイスを設定します。
[edit interfaces ge-3/0/0] user@host# set unit 0 family ethernet-switching interface-mode trunk vlan members 1–10
タグなしパケットのVLAN IDを指定します。
[edit interfaces ge-3/0/0] user@host# set vlan-tagging native-vlan-id 10
デバイスの設定が完了したら、設定をコミットします。
[edit] user@host# commit
検証
設定が正常に機能していることを確認するには、 show interfaces ge-3/0/0 および show interfaces ge-3/0/0.0 コマンドを入力します。
セキュリティ デバイスの混合モード(透過モードとルート モード)について
混合モードは、透過モード(レイヤー2)とルートモード(レイヤー3)の両方をサポートします。別々のセキュリティゾーンを使用して、レイヤー2インターフェイスとレイヤー3インターフェイスの両方を同時に設定できます。
混合モード設定の場合、変更をコミットした後、デバイスを再起動する必要があります。ただし、SRX5000シリーズデバイスの場合、再起動は必要ありません。
SRX4100およびSRX4200デバイスは、透過モードとルートモードの両方で論理システムをサポートします
SRX4600デバイスは、ルートモードでのみ論理システムをサポートします
混合モード(透過モードとルートモード):
-
IRB インターフェイス間、および IRB インターフェイスとレイヤー 3 インターフェイス間のルーティングはありません。
図1のデバイスは、2つの別々のデバイスのように見えます。1つのデバイスはレイヤー2透過モードで動作し、もう1つのデバイスはレイヤー3ルーティングモードで動作します。しかし、両方のデバイスは独立して動作します。IRB インターフェイス間および IRB インターフェイスとレイヤー 3 インターフェイス間にルーティングがないため、レイヤー 2 インターフェイスとレイヤー 3 インターフェイス間でパケットを転送することはできません。
のアーキテクチャ
混合モードでは、イーサネット物理インターフェイスはレイヤー2インターフェイスまたはレイヤー3インターフェイスのいずれかになりますが、イーサネット物理インターフェイスを両方同時に使用することはできません。ただし、レイヤー2ファミリとレイヤー3ファミリは、同じデバイス上の別々の物理インターフェイス上に存在することができます。
表1は、イーサネットの物理インターフェイスタイプとサポートされているファミリータイプを示しています。
| イーサネット物理インターフェイスタイプ |
サポートされているファミリタイプ |
|---|---|
| レイヤー2インターフェイス |
|
| レイヤー 3 インターフェイス |
|
複数のルーティングインスタンスがサポートされています。
デフォルトルーティングインスタンスまたはユーザー定義ルーティングインスタンスのいずれかを使用して、同じデフォルトルーティングインスタンスの下で疑似インターフェイス irb.x とレイヤー3インターフェイスの両方を設定できます。 図2をご覧ください。
レイヤー2インターフェイスからのパケットは、同じVLAN内でスイッチングされるか、IRBインターフェイスを介してホストに接続されます。パケットを、独自の IRB インターフェイスを介して別の IRB インターフェイスまたはレイヤー 3 インターフェイスにルーティングすることはできません。
レイヤー 3 インターフェイスからのパケットは、別のレイヤー 3 インターフェイスにルーティングされます。パケットをIRBインターフェイス経由でレイヤー2インターフェイスにルーティングすることはできません。
表2は、レイヤー2スイッチングの混合モードでサポートされているセキュリティ機能と、透過モードでサポートされない機能を示しています。
| モードタイプ |
対応 |
未対応 |
|---|---|---|
| 混合モード |
|
— |
| ルートモード(レイヤー3インターフェイス) |
|
— |
| 透過モード(レイヤー2インターフェイス) |
|
|
Junos OSリリース12.3X48-D10およびJunos OSリリース17.3R1以降、混合モード操作にいくつかの条件が適用されます。ここで条件に注意してください。
-
SRX300、SRX320、SRX340、SRX345、SRX380、SRX550、SRX550HM、およびSRX1500デバイスでは、混合モード(レイヤー2およびレイヤー3)を使用してイーサネットスイッチングと仮想プライベートLANサービス(VPLS)を設定することはできません。
-
SRX5400、SRX5600、SRX5800デバイスでは、VLANを設定するときにデバイスを再起動する必要はありません。
関連項目
例:混合モード(透過モードとルートモード)を使用してSRXシリーズファイアウォールを設定することによるセキュリティサービスの向上
透過モード(レイヤー2)とルートモード(レイヤー3)の両方を同時に使用して、SRXシリーズファイアウォールを設定することで、導入を簡素化し、セキュリティサービスを向上させることができます。
この例では、レイヤー 2 トラフィックをインターフェイス ge-0/0/1.0 からインターフェイス ge-0/0/0.0 に、レイヤー 3 トラフィックをインターフェイス ge-0/0/2.0 からインターフェイス ge-0/0/3.0 に渡す方法を示しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
SRXシリーズファイアウォール
PC 4台
始める前に:
レイヤー 2 インターフェイスとレイヤー 3 インターフェイス用に個別のセキュリティ ゾーンを作成します。 レイヤー2セキュリティゾーンについてを参照してください。
概要
さまざまなビジネス グループがレイヤー 2 ベースまたはレイヤー 3 ベースのセキュリティ ソリューションを使用している企業では、単一の混合モード構成を使用することで導入が簡素化されます。混合モード設定では、スイッチングとルーティングが統合されたセキュリティサービスを提供することもできます。
さらに、混合モードを使用して、スタンドアロンとシャーシクラスターモードの両方でSRXシリーズファイアウォールを設定できます。
混合モードでは、別々のセキュリティゾーンを使用して、レイヤー2インターフェイスとレイヤー3インターフェイスの両方を同時に設定できます。
混合モード設定の場合、変更をコミットした後、デバイスを再起動する必要があります。ただし、SRX5000シリーズデバイスの場合、再起動は必要ありません。
この例ではまず、レイヤー2インターフェイスを識別するために、イーサネットスイッチングと呼ばれるレイヤー2ファミリータイプを設定します。IRB インターフェイスに IP アドレス 10.10.10.1/24 を設定します。次に、ゾーン L2 を作成し、レイヤー 2 インターフェイス ge-0/0/1.0 と ge-0/0/0.0 を追加します。
次に、レイヤー3ファミリータイプinetを設定して、レイヤー3インターフェイスを識別します。IPアドレス192.0.2.1/24をインターフェイスge-0/0/2.0に設定し、IPアドレス192.0.2.3/24をインターフェイスge-0/0/3に設定します。次に、ゾーン L3 を作成し、レイヤー 3 インターフェイス ge-0/0/2.0 と ge-0/0/3.0 を追加します。
トポロジー
図3 は、混合モードトポロジーを示しています。
表3は 、この例で設定されたパラメーターを示しています。
パラメータ |
説明 |
|---|---|
L2 |
レイヤー 2 ゾーン。 |
ge-0/0/1.0 と ge-0/0/0.0 |
レイヤー2ゾーンにレイヤー2インターフェイスが追加されました。 |
L3 |
レイヤー 3 ゾーン。 |
ge-0/0/2.0 と ge-0/0/3.0 |
レイヤー 3 ゾーンにレイヤー 3 インターフェイスが追加されました。 |
10.10.10.1/24 |
IRB インターフェイスの IP アドレス。 |
192.0.2.1/24および192.0.2.3/24 |
レイヤー 3 インターフェイスの IP アドレス。 |
設定
手順
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピー アンド ペーストして、設定モードから commit を入力します。
set interfaces ge-0/0/0 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members 10 set interfaces ge-0/0/1 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members 10 set protocols l2-learning global-mode transparent-bridge set interfaces irb unit 10 family inet address 10.10.10.1/24 set security zones security-zone L2 interfaces ge-0/0/1.0 set security zones security-zone L2 interfaces ge-0/0/0.0 set vlans vlan-10 vlan-id 10 set vlans vlan-10 l3-interface irb.10 set interfaces ge-0/0/2 unit 0 family inet address 192.0.2.1/24 set interfaces ge-0/0/3 unit 0 family inet address 192.0.2.3/24 set security policies default-policy permit-all set security zones security-zone L2 host-inbound-traffic system-services any-service set security zones security-zone L2 host-inbound-traffic protocols all set security zones security-zone L3 host-inbound-traffic system-services any-service set security zones security-zone L3 host-inbound-traffic protocols all set security zones security-zone L3 interfaces ge-0/0/2.0 set security zones security-zone L3 interfaces ge-0/0/3.0
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『CLIユーザーガイド』の「構成モードでのCLIエディターの使用」を参照してください。
レイヤー 2 およびレイヤー 3 インターフェイスを設定するには:
レイヤー2ファミリータイプを作成して、レイヤー2インターフェイスを設定します。
[edit interfaces] user@host# set ge-0/0/0 unit 0 family ethernet-switching interface-mode access user@host# set ge-0/0/0 unit 0 family ethernet-switching vlan members 10 user@host# set ge-0/0/1 unit 0 family ethernet-switching interface-mode access user@host# set ge-0/0/1 unit 0 family ethernet-switching vlan members 10
レイヤー 2 インターフェイスが透過ブリッジ モードで動作するように設定します。
[edit protocols] user@host# set l2-learning global-mode transparent-bridge
IRB インターフェイスの IP アドレスを設定します。
[edit interfaces] user@host# set irb unit 10 family inet address 10.10.10.1/24
レイヤー2インターフェイスを設定します。
[edit security zones security-zone L2 interfaces] user@host# set ge-0/0/1.0 user@host# set ge-0/0/0.0
VLANを設定します。
[edit vlans vlan-10] user@host# set vlan-id 10 user@host# set l3-interface irb.10
レイヤー3インターフェイスのIPアドレスを設定します。
[edit interfaces] user@host# set ge-0/0/2 unit 0 family inet address 192.0.2.1/24 user@host# set ge-0/0/3 unit 0 family inet address 192.0.2.3/24
トラフィックを許可するようにポリシーを設定します。
[edit security policies] user@host# set default-policy permit-all
レイヤー3インターフェイスを設定します。
[edit security zones security-zone] user@host# set L2 host-inbound-traffic system-services any-service user@host# set L2 host-inbound-traffic protocols all user@host# set L3 host-inbound-traffic system-services any-service user@host# set L3 host-inbound-traffic protocols all user@host# set L3 interfaces ge-0/0/2.0 user@host# set L3 interfaces ge-0/0/3.0
結果
設定モードから、 show interfaces、 show security policies、 show vlans、および show security zones コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-0/0/0 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members 10;
}
}
}
}
ge-0/0/1 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members 10;
}
}
}
}
ge-0/0/2 {
unit 0 {
family inet {
address 192.0.2.1/24;
}
}
}
ge-0/0/3 {
unit 0 {
family inet {
address 192.0.2.3/24;
}
}
}
irb {
unit 10 {
family inet {
address 10.10.10.1/24;
}
}
}
[edit]
user@host# show security policies
default-policy {
permit-all;
}
[edit]
user@host# show vlans
vlan-10 {
vlan-id 10;
l3-interface irb.10;
}
[edit]
user@host# show security zones
security-zone L2 {
host-inbound-traffic {
system-services {
any-service;
}
protocols {
all;
}
}
interfaces {
ge-0/0/1.0;
ge-0/0/0.0;
}
}
security-zone L3 {
host-inbound-traffic {
system-services {
any-service;
}
protocols {
all;
}
}
interfaces {
ge-0/0/2.0;
ge-0/0/3.0;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
レイヤー2およびレイヤー3インターフェイスとゾーンの検証
目的
レイヤー 2 とレイヤー 3 のインターフェイスと、レイヤー 2 とレイヤー 3 のゾーンが作成されていることを確認します。
アクション
動作モードから、 show security zones コマンドを入力します。
user@host> show security zones
Security zone: HOST
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Interfaces bound: 0
Interfaces:
Security zone: L2
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Interfaces bound: 2
Interfaces:
ge-0/0/0.0
ge-0/0/1.0
Security zone: L3
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Interfaces bound: 2
Interfaces:
ge-0/0/2.0
ge-0/0/3.0
Security zone: junos-host
Send reset for non-SYN session TCP packets: Off
Policy configurable: Yes
Interfaces bound: 0
Interfaces:
意味
出力は、レイヤー 2(L2)およびレイヤー 3(L3)ゾーン名と、L2 および L3 ゾーンにバインドされたレイヤー 2 およびレイヤー 3 インターフェイスの数と名前を示しています。
レイヤー2およびレイヤー3セッションの検証
目的
デバイス上でレイヤー2およびレイヤー3セッションが確立されていることを確認します。
アクション
動作モードから、 show security flow session コマンドを入力します。
user@host> show security flow session Session ID: 1, Policy name: default-policy-logical-system-00/2, Timeout: 58, Valid In: 10.102.70.75/54395 --> 228.102.70.76/9876;udp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 1209, Bytes: 1695018, Out: 228.102.70.76/9876 --> 10.102.70.75/54395;udp, Conn Tag: 0x0, If: ge-0/0/1.0, Pkts: 0, Bytes: 0, Session ID: 2, Policy name: default-policy-logical-system-00/2, Timeout: 58, Valid In: 10.102.70.19/23364 --> 228.102.70.20/23364;udp, Conn Tag: 0x0, If: ge-0/0/0.0, Pkts: 401, Bytes: 141152, Out: 228.102.70.20/23364 --> 10.102.70.19/23364;udp, Conn Tag: 0x0, If: ge-0/0/1.0, Pkts: 0, Bytes: 0,
意味
出力には、デバイス上のアクティブなセッションと、各セッションに関連するセキュリティポリシーが表示されます。
Session ID 1—レイヤー2セッションを識別する番号。このIDを使用して、ポリシー名や入出力パケット数など、レイヤー2セッションに関する詳細情報を取得できます。
default-policy-logical-system-00/2—レイヤー2トラフィックを許可したデフォルトのポリシー名。
In—着信フロー(送信元と宛先のポート番号を持つ送信元と宛先のレイヤー2 IPアドレス、セッションはICMP、このセッションの送信元インターフェイスはge-0/0/0.0)。
Out—リバースフロー(送信元と宛先のポート番号を持つ送信元と宛先のレイヤー2 IPアドレス、セッションはICMP、このセッションの宛先インターフェイスはge-0/0/1.0)。
Session ID 2—レイヤー2セッションを識別する番号。このIDを使用して、ポリシー名や入出力パケット数など、レイヤー2セッションに関する詳細情報を取得できます。
default-policy-logical-system-00/2—レイヤー2トラフィックを許可したデフォルトのポリシー名。
In—着信フロー(送信元と宛先のレイヤー2 IPアドレスとそれぞれの送信元および宛先ポート番号、セッションはICMP、このセッションの送信元インターフェイスはge-0/0/0.0)。
Out—リバースフロー(送信元と宛先のレイヤー2 IPアドレスとそれぞれの送信元と宛先のポート番号、セッションはICMP、このセッションの宛先インターフェイスはge-0/0/1.0)。
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。