例:MSDP の設定

始める前に:

• ルーター インターフェイスを設定します。

• 内部ゲートウェイ プロトコルまたはスタティック ルーティングを設定します。 ルーティングデバイス用 Junos OS ルーティングプロトコルライブラリをご覧ください。

• PIM を有効にします。 「PIM の概要」を参照してください。

MSDPは、次のタイプのインスタンスで設定できます。

• 回送

• 転送なし

• 仮想ルーター

• VPLS

• ティッカー

ルーティング インスタンスでの MSDP の主な用途は、ネットワーク内のエニーキャスト RP をサポートすることで、冗長 RP を設定できます。エニーキャスト RP アドレッシングでは、RP 間でアクティブなソースを同期するために MSDP のサポートが必要です。

この例には、次の MSDP 設定が含まれています。

• authentication-key—デフォルトでは、マルチキャストルーターは、設定されたピアアドレスから適切にフォーマットされたMSDPメッセージを受け入れて処理します。MSDP メッセージは、定義上、マルチキャスト ルーターの組織のセキュリティ プラクティスの制御が及ばない別のルーティング ドメインから送信されるため、この既定の動作は、多くの組織のセキュリティ ポリシーに違反する可能性があります。

  ルーターは、MSDPピアリングセッションのTCPメッセージダイジェスト5(MD5)署名オプションを使用して、MSDPメッセージを認証できます。この認証は、MSDP ピアリング セッションに導入されるスプーフィングされたパケットに対する保護を提供します。MSDP 認証を実装する 2 つの組織は、両方のピアで人間が判読できるキーを決定する必要があります。この鍵は、2 つのピア間で送信される各 MSDP セグメントの MD5 シグネチャ計算に含まれます。

  MSDP 認証キーは、MSDP ピアがグループで定義されているか個別に定義されているかに関係なく、ピアごとに設定します。同じピアに、グループ内の認証キーと個別の認証キーを設定すると、個別のキーが使用されます。

  ピアキーには、最大 16 文字と数字のテキスト文字列を使用できます。文字列には、(,)、&、および [] を除く任意の ASCII 文字を含めることができます。MSDP 認証キーにスペースを含める場合は、すべての文字を引用符(" ")で囲みます。

  ピアリング セッションで MSDP 認証キーを追加、削除、または変更すると、既存の MSDP セッションがリセットされ、影響を受ける MSDP ピア間に新しいセッションが確立されます。この即時セッション終了により、キーの不一致による過度の再送信や最終的なセッションタイムアウトを防ぐことができます。

• インポート と エクスポート—すべてのルーティングプロトコルは、ルーティングテーブルを使用して、学習したルートを保存し、プロトコルパケットでアドバタイズするルートを決定します。ルーティング・ポリシーは、ルーティング・プロトコルがルーティング・テーブルに格納するルート、およびルーティング・テーブルから取得するルートを制御することができます。

  ルーティングポリシーは、グローバルに、グループに対して、または個々のピアに対して設定できます。この例では、個々のピアに対してポリシーを設定する方法を示しています。

  グループレベルでルーティング・ポリシーを設定すると、グループ内の各ピアがグループのルーティング・ポリシーを継承します。

  import ステートメントは、MSDP からソースアクティブキャッシュにインポートされるソースアクティブメッセージにポリシーを適用します。export ステートメントは、ソースアクティブキャッシュから MSDP にエクスポートされるソースアクティブメッセージにポリシーを適用します。複数のポリシーを指定した場合は、指定した最初から最後の順序で評価され、最初に一致したポリシーがルートに適用されます。インポート ポリシーに一致するものが見つからない場合、MSDP は MSDP ルーターから学習したルートのみをルーティング テーブルと共有します。エクスポート ポリシーに一致するものが見つからない場合は、デフォルトの MSDP エクスポート ポリシーがソースアクティブ キャッシュ内のエントリに適用されます。整合条件のリストについては、表 1 を参照してください。

  表 1: MSDP ソースアクティブ メッセージ フィルタ一致条件

  一致条件	試合内容
  インターフェイス	ルーターインターフェイス、または名前またはIPアドレスで指定されたインターフェイス
  隣人	ネイバー アドレス(送信元アクティブ メッセージの IP ヘッダー内の送信元アドレス)
  ルートフィルター	送信元アクティブメッセージに埋め込まれたマルチキャストグループアドレス
  送信元アドレスフィルター	送信元アクティブ メッセージに埋め込まれたマルチキャスト送信元アドレス

• ローカルアドレス—MSDPルーター(ローカルルーター)として設定するルーターのアドレスを特定します。MSDP を設定する場合、 ローカル アドレス ステートメントが必要です。また、ルーターは、PIM(プロトコル独立マルチキャスト)スパースモード ランデブー ポイント(RP)である必要があります。

• ピア—MSDPルーターは、どのルーターがピアであるかを知っている必要があります。ピア関係を明示的に定義するには、ローカル ルーターの MSDP ピアである隣接ルーターを設定します。ピア関係が確立されると、MSDP ピアはメッセージを交換して、アクティブなマルチキャスト ソースをアドバタイズします。MSDP が機能するためには、少なくとも 1 つのピアを設定する必要があります。MSDP を設定する場合、 ピア ステートメントは必須です。また、ルーターは、PIM(プロトコル独立マルチキャスト)スパースモード ランデブー ポイント(RP)である必要があります。

  MSDP ピアをグループにまとめることができます。各グループには、少なくとも 1 つのピアが含まれている必要があります。ピアをグループに配置すると、一部のピアからのソースをブロックして他のピアから受け入れる場合や、あるグループにトレースオプションを設定し、他のグループには設定しない場合に便利です。この例では、MSDP ピアをグループで設定する方法を示しています。グループにMSDPピアを設定すると、グループ内の各ピアがすべてのグループレベルオプションを継承します。

• プロシージャ
• 業績

構成を確認するには、次のコマンドを実行します。

• show msdp instance VPN-100

• show msdp source-active VPN-100

• マルチキャスト使用インスタンスVPN-100を表示

• show route table VPN-100.inet.4

始める前に:

• ルーター インターフェイスを設定します。

• 内部ゲートウェイ プロトコルまたはスタティック ルーティングを設定します。 ルーティングデバイス用 Junos OS ルーティングプロトコルライブラリをご覧ください。

• PIM スパース モードを有効にします。 「PIM の概要」を参照してください。

• ルーターを PIM スパースモード RP として設定します。 ローカル PIM RP の設定を参照してください。

RP などの MSDP メッセージを必要とするルータは、他のルータから着信する大量の MSDP メッセージ、特に送信元アクティブ メッセージを処理しなければならない場合があります。ルーターは、多くの MSDP パケットの状態テーブルを調査、処理、および作成する必要があるため、MSDP を実行しているルーターに対して MSDP ベースのサービス拒否(DoS)攻撃を受ける可能性があります。この可能性を最小限に抑えるために、ルーターが受け入れる送信元アクティブ メッセージの数を制限するようにルーターを設定できます。また、ランダム早期検出(RED)を適用するしきい値を設定して、すべてではなく一部の MSDP アクティブ送信元メッセージをドロップすることもできます。

デフォルトでは、ルーターは 25,000 件の送信元アクティブ メッセージを受け入れてから、残りを無視します。制限は 1 から 1,000,000 までです。この制限は、メッセージの数と MSDP ピアの数の両方に適用されます。

デフォルトでは、ルーターは DoS 攻撃の可能性を防ぐために、RED プロファイルを適用する前に 24,000 件の送信元アクティブメッセージを受け入れます。この数値の範囲は 1 から 1,000,000 にすることもできます。次の 1000 件のメッセージが RED プロファイルによってスクリーニングされ、受け入れられたメッセージが処理されます。ドロッププロファイルを設定しない場合(この例では設定されません)、REDは引き続き有効であり、輻輳を管理するための主要なメカニズムとして機能します。デフォルトの RED ドロッププロファイルでは、パケットキューのフィルレベルが 0 パーセントの場合、ドロップ確率は 0 パーセントです。充填レベルが 100% の場合、落下確率は 100% です。

手記：

ルーターは、カプセル化されたTCPパケットを持つ送信元アクティブメッセージを無視します。マルチキャストは TCP を使用しません。ソースアクティブメッセージ内のセグメントは、ワームアクティビティの結果である可能性が最も高いです。

しきい値に設定される数は、アクティブな MSDP ソースの最大数に対して設定された数より小さくなければなりません。

アクティブなソース制限は、グローバルに、グループに対して、またはピアに対して設定できます。アクティブなソース制限が階層の複数のレベルで設定されている場合(この例を参照)、すべてが適用されます。

アクティブ ソース制限は、アドレス範囲および特定のピアに対して設定できます。ソースごとのアクティブな送信元制限では、特定のアドレスではなく、IP プレフィックスとプレフィックス長を使用します。ソースごとのアクティブなソース制限を複数設定できます。最も長い一致によって制限が決まります。

ソースごとのアクティブソース制限は、ピア、グループ、グローバル(インスタンス)階層レベルで、アクティブなソース制限と組み合わせることができます。ソースごとの制限は、他のタイプのアクティブなソース制限よりも前に適用されます。制限は次の順序でテストされます。

• ソースごと

• ピア単位またはグループ単位

• インスタンスごと

アクティブな送信元メッセージは、受け入れられる前に設定されたすべての制限に「合格」する必要があります。たとえば、送信元がアクティブなマルチキャストグループ10,000のアクティブなソース制限で設定され、インスタンスが5000の制限で設定されている場合(他のソースや制限が設定されていない場合)、この送信元からのアクティブな送信元メッセージは5000のみ受け入れられます。

MSDP メッシュ グループは、フルメッシュ トポロジで設定されたピアのグループで、隣接するピアへの送信元アクティブ メッセージのフラッディングを制限します。すべてのメッシュグループメンバーは、他のすべてのメッシュグループメンバーとピア接続を持っている必要があります。メッシュグループメンバーからソースアクティブメッセージを受信すると、ソースアクティブメッセージは常に受け入れられますが、同じメッシュグループの他のメンバーにはフラッディングされません。ただし、source-active メッセージは、非メッシュ グループ ピアまたは他のメッシュ グループのメンバーにフラッディングされます。既定では、 mesh-group が指定されていない場合、標準のフラッディング ルールが適用されます。

注意：

MSDP メッシュ グループを設定する場合は、すべてのメンバーを同じ方法で設定する必要があります。フルメッシュを設定しないと、送信元アクティブメッセージが過剰にフラッディングする可能性があります。

MSDP メッシュ グループの一般的なアプリケーションは、ピア RPF(ピア リバース パス フォワーディング)チェック バイパスです。たとえば、自律システム(AS)内に2つのMSDPピアがあり、そのうちの1つだけが別のASへの外部MSDPセッションを持っている場合、内部MSDPピアは、外部リンクを持つピアによってリレーされた受信ソースアクティブメッセージを拒否することがよくあります。拒否が発生するのは、外部MSDPピアが内部MSDPピアから別のASのソースに向かうネクストホップを介して到達可能でなければならず、このネクストホップの状態が定かではないためです。拒否されないようにするには、内部 MSDP ピアに MSDP メッシュ グループを設定して、常に送信元アクティブ メッセージを受け入れるようにします。

手記：

ピア RPF チェックをバイパスする別の方法は、デフォルト ピアを設定することです。MSDP ピアが 1 つしかないネットワーク、特にスタブ ネットワークでは、source-active メッセージを常に受け入れる必要があります。MSDP デフォルト ピアは、ピア RPF チェックを実行せずにすべての送信元アクティブ メッセージが受け入れられる MSDP ピアです。 default-peer ステートメントを含めることで、ピアまたはグループ レベルでデフォルト ピアを確立できます。

表 2 に、この例のピアによるフラッディングの処理方法を示します。.

表 2: ソースアクティブ メッセージ フラッディングの説明

送信元アクティブ メッセージの受信元	送信元アクティブ メッセージのフラッディング先	送信元アクティブ メッセージがフラッディングされていない
ピア21	ピア 11、ピア 12、ピア 13、ピア 31、ピア 32	ピア 22
ピア11	ピア 21、ピア 22、ピア 31、ピア 32	ピア12、ピア13
ピア31	ピア 21、ピア 22、ピア 11、ピア 12、ピア 13、ピア 32	–

図 3 は、異なるメッシュ グループと同じメッシュ グループ内のピア間の送信元アクティブ メッセージ フラッディングを示しています。

この例には、次の設定が含まれています。

• active-source-limit maximum 10000—10,000 のアクティブ ソースの制限を他のすべてのピアに適用します。

• データカプセル化の無効化:MSDP を使用する RP ルータでは、MSDP ソースアクティブ メッセージ内の MSDP 登録メッセージで受信したマルチキャスト データのデフォルトのカプセル化を無効にします。

  MSDP データ カプセル化は、主にマルチキャスト トラフィックのバースト性ソースに関係します。数分に 1 パケットしか送信しない送信元は、送信元とそのマルチキャスト グループ (S,G) 間の状態関係のタイムアウトに問題があります。ルーターは、(S,G)状態テーブルを再確立しようとする間にデータを失います。その結果、マルチキャスト レジスタ メッセージにはデータが含まれ、MSDP ソースアクティブ メッセージでのこのデータ カプセル化は、設定によってオンまたはオフにできます。

  デフォルトでは、MSDP データ カプセル化は有効になっています。MSDP を実行している RP は、送信元の登録メッセージに到着したデータ パケットを取得し、MSDP 送信元アクティブ メッセージ内にデータをカプセル化します。

  ただし、データカプセル化では、 inet.1 テーブルにマルチキャスト転送キャッシュエントリ(転送テーブルでもあります)と 、inet.4 テーブルにルーティングテーブルエントリの両方が作成されます。データ カプセル化を使用しない場合、MSDP は inet.4 テーブルにルーティング テーブルのエントリーのみを作成します。インターネットワームの存在やその他の形態のDoS攻撃など、状況によっては、ルーターの転送テーブルがこれらのエントリでいっぱいになることがあります。転送テーブルがMSDPエントリーでいっぱいになるのを防ぐために、MSDPデータカプセル化を使用しないようにルーターを設定できます。ただし、データ カプセル化を無効にすると、ルーターはカプセル化されたデータを無視して廃棄します。データのカプセル化を使用しないと、送信間隔が約 3 分を超えるバースト性ソースを持つマルチキャスト アプリケーションはうまく動作しない可能性があります。

• グループ MSDP グループ ローカル アドレス 10.1.2.3:ローカル ルータ(このルータ)のアドレスを指定します。

• グループ MSDP グループ モード mesh-group: MSDP グループ グループに属するすべてのピアがメッシュ グループ メンバーであることを指定します。

• グループ MSDP グループ ピア 10.10.10.10:隣接ピア 10.10.10.10 への送信元アクティブ メッセージの送信を防止します。

• グループMSDPグループピア10.10.10.10アクティブソース制限最大7500:グループ MSDPグループのMSDPピア10.10.10.10に7500のアクティブソースの制限を適用します。

• ピア 10.0.0.1 アクティブソース制限最大5000しきい値 4000:MSDPピア10.0.0.1に4000アクティブソースのスレッシュホールドと5000アクティブソースの制限を適用します。

• source 10.1.0.0/16 active-source-limit maximum 500:10.1.0.0/16 ネットワーク上の任意の送信元に 500 個のアクティブ ソースの制限を適用します。

• プロシージャ
• 業績

構成を確認するには、次のコマンドを実行します。

• show msdp source-active

• MSDP の統計情報を表示する