NDP プロキシと DAD プロキシ

NDP および DAD プロキシ(インターフェイス制限モード)

NDP プロキシ機能(インターフェイス制限モード)により、同じサブネット内にあり、相互に直接通信するように制限されているホスト間でのパケット転送が可能になります。この機能は主に、プロキシノードがアクセス制御を適用し、ホスト間を流れるトラフィックを傍受する必要があるシナリオで使用されます。SRXシリーズファイアウォールでNDPプロキシを設定すると、デバイスはNAを送信し、SRXシリーズファイアウォール内のホストに割り当てられたIPv6プレフィックスのMACアドレスを求めるデバイスからの要求に応答します。

DAD 機能は、ネイバー送信要求(NS)メッセージを使用して、ローカル リンク上の重複アドレスの使用を検出します。DAD 機能は IPv6 アドレス用で、IPv4 の Gratuitous ARP と同様の機能を備えています。

NDP および DAD プロキシ(インターフェイス制限モード)

Junos OS リリース 22.1R1 以降では、複数のプロキシ構成インターフェイス(インターフェイス無制限モード)で NDP および DAD プロキシ機能をサポートしています。NDP インターフェイス制限なしプロキシは、既存の IPv6 ND 機能内で動作し、有効になっている場合にのみ呼び出されます。インターフェイス無制限モード:ND機能は、NDPおよびDADプロキシ用に設定されたすべてのインターフェイスで連携して動作します。

以前のリリースでは、NDP と DAD のプロキシ機能は制限されており、設定されたインターフェイスのみに制限されていました。現在、NDP と DAD プロキシ機能は、複数の設定されたインターフェイスで動作します(インターフェイス制限なしモード)。

インターフェイス無制限モードでのNDPおよびDADプロキシ機能では、設定されたインターフェイスが連携して機能し、追加のプレフィックス割り当てのオーバーヘッドなしには送信元セグメントのノードが直接到達できない別の物理セグメント内のノードに代わって、ネイバーアドバタイズメント(NA)応答をネイバー送信請求(NS)に送信します。

set interfaces interface-name unit number family inet6 ndp-proxy interface-unrestrictedコマンドを使用して、インターフェイス上のインターフェイス無制限モードでNDPプロキシを有効にすると、プロキシインターフェイスは次のようになります。

• NS 要求に対して NA を生成します。要求は、プロキシ インターフェイスを介してサブネット上で到達可能な他のホストに代わってホストから送信されます。

• NS で要求されたアドレスがネイバー テーブルで利用できない場合、NS を生成し、サブネットのすべてのプロキシ インターフェイスに送信します。

  NS パケットのイングレス インターフェイスに属するルート テーブルで、ターゲット アドレスの転送可能ルートを探します。ルートルックアップは、ネクストホップを解決するためのルートのリストを提供します。プロキシは、これらのネクスト ホップを使用して、設定された異なるポートで NS を送信します。

  手記：

  プロキシがルート ルックアップを行い、結果のルート ネクスト ホップが NS が到着した同じインターフェイスを指す場合、プロキシはその NS をドロップします。

• 要求されたターゲット アドレスがネイバー キャッシュで使用可能であり、到達可能な場合でも、ネイバー到達不能検出(NUD)を実施できます。強制 ND 機能は、ホストが 1 つのセグメントから別のセグメントに移動するときに便利です。NDP プロキシの強制解決機能を有効にするには、 set protocols neighbor-discovery ndp-proxy proxy-force-resolve コマンドを使用します。

• プロキシするホスト間でパケットを転送し、ネイバーが解決されると、ホスト間の通信を可能にします。

DAD 機能は、ネイバー送信要求(NS)メッセージを使用して、ローカル リンク上の重複アドレスの使用を検出します。

set interfaces interface-name unit <number> family inet6 dad-proxy interface-unrestrictedコマンドを使用して複数のインターフェイスでDADプロキシを有効にする場合:

• DADプロキシは、NS仮アドレスが他のプロキシインターフェイスを介して到達可能な場合、他のホストに代わってDAD NS要求に対するNA応答を生成します。

• DAD NS 要求が到着し、一時アドレスが使用できない場合、またはネイバー キャッシュで古い状態の場合、DAD プロキシは、受信したプロキシ インターフェイスを除く他のすべてのプロキシ インターフェイスで NUD を開始します。

• 別のホストによる DAD プロセスの途中にある仮アドレスに対するホストからの DAD 要求の場合、DAD プロキシは両方のホストに対して NA で応答します。