このページの内容
フィルターベースのsFlowパケットサンプリングの概要
ファイアウォールフィルターを使用したsFlowサンプリングは、Junos OS Evolvedのファイアウォールフィルター基準に基づく選択的なingressパケットサンプリングを有効にすることで、従来のパケットベースのsFlowを拡張します。
フィルターベースのsFlowパケットサンプリングは、ファイアウォールのフィルター基準に基づいた選択的パケットサンプリングを可能にすることで、従来のsFlowパケットベースのサンプリングモデルを拡張します。この機能により、インターフェイス全体で均一にサンプリングする代わりに、特定のファイアウォールフィルターまたはユーザー定義フィルター(UDF)条件に一致するイングレストラフィックをサンプリングできます。
標準のsFlowは、全体的なトラフィックパターンを効率的かつ統計的に可視化します。ファイアウォールフィルターベースのsFlowは、パケットサンプリングをイングレスファイアウォールフィルター内で直接適用できるようにすることで、この機能を強化し、ポリシーに敏感なトラフィックの監視、セキュリティルールの検証、特定のトラフィッククラスの分析を目的とした的を絞った可視化を可能にします。
フィルターベースのパケットサンプリングを有効にすると、サンプリングされたパケットがフィルターの一致に基づいて選択され、パケットベースサンプリングと同じsFlowインフラストラクチャを使用して処理するためにCPUに転送されます。サンプリング レートは、sFlow ingress サンプル レート構成によって制御され、内部面ベースとフィルターベースの両方のサンプリング メカニズムで一貫したサンプリング動作を保証します。
フィルターベースのパケットサンプリングを設定する場合、set protocols sFlow階層の下でイングレスsFlowsample-rateを指定する必要があります。デバイスは、インターフェイスベースとフィルターベースの両方のパケットサンプリングに同じイングレスサンプルレートを適用します。
フィルターベースのsFlowパケットサンプリングのメリット
-
ターゲットを絞ったトラフィックの可視化。定義されたファイアウォールフィルター条件に一致する特定のトラフィックフローのサンプリングを有効にし、セキュリティ、ポリシー、またはアプリケーション固有のトラフィックのインサイトを向上させます。
-
サンプリング資源の効率的な利用パケット選択を適切なトラフィックに限定することで不要なサンプリングを削減し、均一なパケットベースのサンプリングと比較してオーバーヘッドを最小限に抑えます。
-
統合されたsFlow運用。パケットベースサンプリングと同じCPUキューとパケット処理パスを含む、既存のsFlowインフラストラクチャを再利用します。
-
一貫したサンプリング動作。設定されたsFlowイングレスサンプルレートを使用して、パケットベースとフィルターベースの両方のサンプリングを制御し、運用管理を簡素化します。
-
柔軟なフィルターサポート。通常のフィルターやユーザー定義フィルター(UDF)など、複数のフィルターファミリーにわたるイングレスファイアウォールフィルターのサンプリングをサポートします。
制限事項
- フィルターベースのsFlowサンプリングは、イングレスファイアウォールフィルターでのみサポートされています。
- イングレスsFlowサンプルレートが設定されていない場合、フィルターサンプリングアクションは動作上効果がありません。
- ホストバウンドトラフィックは、ファイアウォールフィルターベースのサンプリングの対象になりません。
- パケットベースとフィルターベースの両方のサンプリングに適合するパケットは、サンプルを1つだけ生成します。
- サンプリングされたパケットは、既存のDDoSキュー設定の対象となります。
- QFX5220プラットフォームでは、sFlowサンプルレートはインターフェイスごとに適用されます。