例:MSDP の設定

開始する前に、以下を行います。

• ルーター インターフェイスを設定します。

• 内部ゲートウェイ プロトコルまたは静的ルーティングを設定します。 ルーティング デバイスの Junos OS ルーティング プロトコル ライブラリを参照してください。

• PIM を有効にします。 PIM の概要を参照してください。

MSDP は、次のタイプのインスタンスで設定できます。

• 転送

• 転送なし

• 仮想ルーター

• VPLS

• VRF

ルーティング インスタンスにおける MSDP の主な用途は、ネットワーク内のエニキャスト RP をサポートすることで、冗長な RP を設定できます。エニキャスト RP アドレッシングには、MSDP のサポートが必要で、RP 間のアクティブ ソースを同期する必要があります。

この例には、次の MSDP 設定が含まれています。

• 認証キー—デフォルトでは、マルチキャスト ルーターは設定されたピア アドレスから適切にフォーマットされた MSDP メッセージを受け入れて処理します。MSDP メッセージは定義上、マルチキャスト ルーターの組織のセキュリティ手法を制御できない別のルーティング ドメインから送信されるため、このデフォルト動作は多くの組織のセキュリティ ポリシーに違反する可能性があります。

  ルーターは、MSDP ピアリング セッションの TCP メッセージ ダイジェスト 5(MD5)署名オプションを使用して MSDP メッセージを認証できます。この認証は、MSDP ピアリング セッションに導入されるスプーフィングされたパケットに対する保護を提供します。MSDP 認証を実装する 2 つの組織は、両方のピアで人間が読める鍵を決定する必要があります。このキーは、2 つのピア間で送信される各 MSDP セグメントの MD5 シグネチャ計算に含まれています。

  MSDP ピアがグループで定義されているか、個別に定義されているかに関係なく、MSDP 認証キーをピアごとに設定します。グループ内の同じピア鍵に対して異なる認証キーを設定し、1 つを個別に設定すると、個々の鍵が使用されます。

  ピア キーは、最大 16 文字と桁の長いテキスト文字列を使用できます。文字列には、(,)、&および [を除く任意のASCII文字を含めることができます。MSDP 認証キーにスペースを含める場合は、すべての文字を引用符 (" ") で囲みます。

  ピアリング セッションで MSDP 認証キーを追加、削除、または変更すると、既存の MSDP セッションがリセットされ、影響を受ける MSDP ピア間に新しいセッションが確立されます。この即時セッションの終了により、キーが一致していないために過度の再送信と最終的なセッション タイムアウトが発生するのを防ぐことができます。

• インポート と エクスポート—すべてのルーティング プロトコルは、学習したルートを保存し、プロトコル パケットにアドバタイズするルートを決定するためにルーティング テーブルを使用します。ルーティング ポリシーを使用すると、ルーティング プロトコルがルーティング テーブルに格納するルートと、ルーティング テーブルから取得するルートを制御できます。

  ルーティング ポリシーは、グローバル、グループ、または個々のピアに対して設定できます。この例では、個々のピアに対してポリシーを設定する方法を示しています。

  ルーティング ポリシーをグループ レベルで設定すると、グループ内の各ピアはグループのルーティング ポリシーを継承します。

  import ステートメントは、MSDP からソース/アクティブ キャッシュにインポートされるソース/アクティブ メッセージにポリシーを適用します。export ステートメントは、ソース/アクティブ・キャッシュから MSDP にエクスポートされるソース・アクティブ・メッセージにポリシーを適用します。複数のポリシーを指定すると、最初から最後まで指定された順序でポリシーが評価され、最初の照合ポリシーがルートに適用されます。インポート ポリシーに一致するものが見つからない場合、MSDP は MSDP ルーターから学習したルートのみをルーティング テーブルと共有します。エクスポート ポリシーに一致するものが見つからない場合、デフォルトの MSDP エクスポート ポリシーがソース/アクティブ キャッシュ内のエントリーに適用されます。照合条件のリストについては、表 1 を参照してください。

  表 1:MSDP 送信元とアクティブなメッセージ フィルタの一致条件

  照合条件	マッチオン
  インターフェイス	名前または IP アドレスで指定されたルーター インターフェイスまたはインターフェイス
  隣人	ネイバー アドレス(送信元-アクティブ メッセージの IP ヘッダー内の送信元アドレス)
  ルート フィルター	送信元-アクティブ メッセージに埋め込まれたマルチキャスト グループ アドレス
  送信元アドレスフィルター	送信元-アクティブ メッセージに埋め込まれたマルチキャスト 送信元アドレス

• local-address—MSDP ルーター(ローカル ルーター)として設定しているルーターのアドレスを識別します。MSDP を設定するときは、 ローカル アドレス ステートメントが必要です。ルーターは、PIM(プロトコル独立マルチキャスト)スパースモードランデブーポイント(RP)である必要もあります。

• ピア—MSDP ルーターは、どのルーターがピアかを認識する必要があります。ローカル ルーターの MSDP ピアであるネイバー ルーターを設定することで、ピア関係を明示的に定義します。ピア関係が確立されると、MSDP ピアはメッセージを交換してアクティブなマルチキャスト ソースをアドバタイズします。MSDP が機能するには、少なくとも 1 つのピアを設定する必要があります。MSDP を設定するときは、 ピア ステートメントが必要です。ルーターは、PIM(プロトコル独立マルチキャスト)スパースモードランデブーポイント(RP)である必要もあります。

  MSDP ピアをグループに配置できます。各グループには、少なくとも 1 つのピアが含まれている必要があります。ピアをグループに配置することは、一部のピアからのソースをブロックして他のピアから受け入れる場合や、1 つのグループでトレース オプションを設定する場合に便利です。この例では、MSDP ピアをグループに設定する方法を示しています。グループ内の MSDP ピアを設定すると、グループ内の各ピアはすべてのグループ レベル オプションを継承します。

• 手順
• 結果

設定を検証するには、次のコマンドを実行します。

• show msdp instance VPN-100

• show msdp source-active VPN-100

• show multicast usage instance VPN-100

• show route table VPN-100.inet.4

開始する前に、以下を行います。

• ルーター インターフェイスを設定します。

• 内部ゲートウェイ プロトコルまたは静的ルーティングを設定します。 ルーティング デバイスの Junos OS ルーティング プロトコル ライブラリを参照してください。

• PIM スパース モードを有効にします。 PIM の概要を参照してください。

• ルーターを PIM スパース モード RP として設定します。 「ローカル PIM RP の設定」を参照してください。

RP などの MSDP メッセージに関心のあるルーターは、他のルーターから受信する大量の MSDP メッセージ(特にソースアクティブ メッセージ)を処理しなければならない場合があります。多くの MSDP パケットの状態テーブルを調べ、処理し、作成するルーターが必要になる可能性があるため、MSDP を実行するルーターに MSDP ベースのサービス拒否(DoS)攻撃が発生する可能性があります。この可能性を最小限に抑えるために、ルーターが受け入れる送信元アクティブ メッセージの数を制限するようにルーターを設定できます。また、RED(Random Early Detection)を適用するためのしきい値を設定して、一部の MSDP アクティブ ソース メッセージをドロップできます。ただし、すべての MSDP アクティブ ソース メッセージはドロップしません。

デフォルトでは、ルーターは残りのメッセージを無視する前に、25,000 個のソース アクティブ メッセージを受け入れます。制限は 1~1,000,000 です。この制限は、メッセージの数と MSDP ピアの数の両方に適用されます。

デフォルトでは、ルーターは、DOS 攻撃の可能性を防ぐために RED プロファイルを適用する前に、24,000 個のソースアクティブ メッセージを受け入れます。この数値は、1 から 1,000,000 までの範囲にすることもできます。次の 1,000 件のメッセージが RED プロファイルによってスクリーニングされ、受け入れられたメッセージが処理されます。ドロップ プロファイルを設定しない場合(この例では設定していない場合)、RED は引き続き有効であり、輻輳を管理するための主要なメカニズムとして機能します。デフォルト RED ドロップ プロファイルでは、パケット キューの塗りつぶしレベルが 0% の場合、ドロップ確率は 0% です。塗りつぶしレベルが 100% の場合、ドロップ確率は 100% です。

メモ：

ルーターは、カプセル化された TCP パケットを持つソース/アクティブ メッセージを無視します。マルチキャストは TCP を使用しません。メッセージ内のセグメントはワームアクティビティの結果である可能性が最も高いです。

しきい値に設定された数は、アクティブなMSDPソースの最大数に対して設定された数よりも小さくする必要があります。

アクティブなソース制限は、グローバル、グループ、またはピアに対して設定できます。アクティブなソース制限が階層の複数レベルで設定されている場合(この例に示すように)、すべてが適用されます。

アドレス範囲と特定のピアに対して、アクティブな送信元制限を設定できます。ソースごとのアクティブな送信元制限では、特定のアドレスではなく IP プレフィックスとプレフィックス長が使用されます。ソースごとに複数のアクティブなソース制限を設定できます。最長一致が制限を決定します。

ソース単位のアクティブなソース制限は、ピア、グループ、グローバル(インスタンス)階層レベルでアクティブなソース制限と組み合わせることができます。ソースごとの制限は、他のタイプのアクティブなソース制限の前に適用されます。制限は次の順序でテストされます。

• ソース単位

• ピアまたはグループ単位

• インスタンス単位

アクティブなソース・メッセージは、受け入れられる前に確立されたすべての制限を「渡す」必要があります。たとえば、ソースが 10,000 個のアクティブなマルチキャスト グループのアクティブソース制限で設定され、インスタンスが 5000 の制限で設定されている場合(他のソースまたは制限が設定されていない場合)、このソースから受け入れられるアクティブなソース メッセージは 5,000 のみです。

MSDP メッシュ グループは、フルメッシュ トポロジで設定されたピアのグループで、送信元とアクティブなメッセージのフラッディングを隣接するピアに制限します。すべてのメッシュ グループ メンバーは、他のすべてのメッシュ グループ メンバーとピア接続する必要があります。ソース/アクティブ・メッセージがメッシュ・グループ・メンバーから受信されると、ソース・アクティブ・メッセージは常に受け入れられますが、同じメッシュ・グループの他のメンバーにはフラッディングされません。ただし、ソースアクティブ メッセージは、メッシュ以外のグループ ピアまたは他のメッシュ グループのメンバーにフラッディングされます。既定では、 メッシュ グループ が指定されていない場合は、標準フラッディング ルールが適用されます。

注意：

MSDP メッシュ グループを設定する場合、すべてのメンバーを同じ方法で設定する必要があります。フル メッシュを設定しないと、ソースアクティブ メッセージの過剰なフラッディングが発生する可能性があります。

MSDP メッシュ グループに共通するアプリケーションは、ピアリバースパス転送(peer-RPF)チェック バイパスです。たとえば、自律システム(AS)内に2つのMSDPピアがあり、そのうちの1つだけが別のASへの外部MSDPセッションを持っている場合、内部MSDPピアは、外部リンクを持つピアによって中継された受信ソースアクティブメッセージを拒否することがよくあります。外部MSDPピアは、別のAS内のソースへのネクストホップを介して内部MSDPピアから到達する必要があり、このネクストホップ条件が確実でないため、拒否が発生します。拒否を防ぐには、内部 MSDP ピアで MSDP メッシュ グループを設定して、ソース/アクティブ メッセージを常に受け入れます。

メモ：

ピア RPF チェックをバイパスする別の方法は、デフォルト ピアを設定することです。MSDP ピア(特にスタブ ネットワーク)が 1 つだけのネットワークでは、送信元とアクティブなメッセージを常に受け入れる必要があります。MSDP のデフォルト ピアは MSDP ピアで、ピア RPF チェックを実行せずにすべてのソースアクティブ メッセージが受け入れられます。デフォルト ピア ステートメントを含めると、ピア レベルまたはグループ レベルで デフォルト ピア を確立できます。

表 2 は、この例でフラッディングがピアによって処理される方法を説明しています。.

表 2:送信元とアクティブなメッセージ フラッディングの説明

送信元-アクティブメッセージの受信元	送信元-アクティブメッセージのフラッディング先	ソース/アクティブ メッセージがフラッディングされていない
ピア 21	ピア 11、ピア 12、ピア 13、ピア 31、ピア 32	ピア 22
ピア 11	ピア 21、ピア 22、ピア 31、ピア 32	ピア 12、ピア 13
ピア 31	ピア 21、ピア 22、ピア 11、ピア 12、ピア 13、ピア 32	–

図 3 は、同じメッシュ グループ内の異なるメッシュ グループとピア間のソースアクティブ メッセージ フラッディングを示しています。

この例には、次の設定が含まれています。

• active-source-limit maximum 10000 —10,000 個のアクティブ ソースの制限を他のすべてのピアに適用します。

• データカプセル化ディスエーブル:MSDPを使用するRPルーターで、MSDPソースアクティブメッセージ内のMSDPレジスタメッセージで受信したマルチキャストデータのデフォルトカプセル化を無効にします。

  MSDP データカプセル化は主にマルチキャスト トラフィックのバースト ソースに関係します。数分ごとに 1 つのパケットのみを送信するソースでは、ソースとそのマルチキャスト グループ(S、G)間の状態関係のタイムアウトに問題があります。ルーターは、S、G(状態テーブル)の再確立を試みる間にデータを失います。その結果、マルチキャスト レジスタ メッセージにはデータが含まれています。MSDP ソース/アクティブ メッセージ内のこのデータ カプセル化は、設定を通じてオンまたはオフにできます。

  デフォルトでは、MSDP データカプセル化が有効になっています。MSDP を実行している RP は、ソースのレジスタ メッセージに到着したデータ パケットを受け取り、MSDP 送信元アクティブ メッセージ内のデータをカプセル化します。

  ただし、データカプセル化では、 inet.1 テーブル(これも転送テーブル)のマルチキャスト転送キャッシュエントリと、 inet.4 テーブルのルーティングテーブルエントリの両方が作成されます。データカプセル化を行わない場合、MSDP は inet.4 テーブルにルーティング テーブル エントリのみを作成します。インターネット ワームやその他の形式の DoS 攻撃など、状況によっては、ルーターの転送テーブルがこれらのエントリを埋める場合があります。転送テーブルが MSDP エントリで満たされないようにするには、MSDP データ カプセル化を使用しないようにルーターを設定できます。ただし、データカプセル化を無効にした場合、ルーターはカプセル化されたデータを無視して破棄します。データカプセル化がなければ、約 3 分を超える送信間隔を持つバースト ソースを持つマルチキャスト アプリケーションがうまく機能しない可能性があります。

• group MSDP-group local-address 10.1.2.3—ローカル ルーター(このルーター)のアドレスを指定します。

• グループ MSDP グループ モード メッシュ グループ — MSDP-group グループに属するすべてのピアがメッシュ グループ メンバーであることを指定します。

• group MSDP-group peer 10.10.10.10 —送信元アクティブ メッセージがネイバー ピア 10.10.10.10 に送信されるのを防ぎます。

• グループ MSDP グループ ピア 10.10.10.10 アクティブ ソース制限最大 7500—グループ MSDP グループの MSDP ピア 10.10.10.10 に 7500 アクティブ ソースの制限を適用します。

• ピア 10.0.0.1 アクティブ ソース制限最大 5,000 しきい値 4000—4,000 個のアクティブ ソースと 5,000 個のアクティブ ソースの制限を MSDP ピア 10.0.0.1 に適用します。

• source 10.1.0.0/16 active-source-limit maximum 500 —10.1.0.0/16 ネットワーク上の任意のソースに 500 個のアクティブ ソースの制限を適用します。

• 手順
• 結果

設定を検証するには、次のコマンドを実行します。

• show msdp source-active

• show msdp statistics