PTXルーターの選択的クラスベースフィルタリング

サポートされているPTXシリーズルーターとラインカードでは、送信元または宛先の分類(ソースクラス使用率、SCU)および(宛先クラス使用率、DCU)に基づいてIPv4およびIPv6トラフィックをフィルタリングできます。これは、クラス内のすべてのパケットではなく、クラス内のパケットのサブセットにフィルターを選択的に適用できることを意味するため便利です。さらに、パケット転送エンジン(PFE)を介するパケットフローが最適化され、フィルタリングがより効率的になります。

サービスプロバイダは、クラスベースのフィルタリングにより、次のような高度なサービスを提供できます。

• 送信元または宛先パケットクラスおよびその他のフィルター基準に基づいてパケットの転送クラスを調整することによる、ホップごとの動作操作。

• 特定の顧客インターフェイスへのトラフィックレート制限があり、大量のトラフィックをドロップする(DDoS攻撃を受けるなど)。通常、発信インターフェイスフィルターを導入してトラフィックのレートを制限します。しかし、分散システムではトラフィックがファブリックを通過し、限られたファブリック帯域幅を消費するため、これは非効率的である可能性があります。PTXのような仮想出力キューイングシステムでは、出力フィルターが実行される前にegressキューへの入場が行われ、出力フィルターへの後続のドロップアクションには補正が必要です。より多くのトラフィックをキューに受け入れる必要があり、より多くのファブリック帯域幅とより多くのegressオンチップバッファスペースが必要になります(これは限られたリソースです)。クラスベースのフィルターは、パケットがエグレスキューに受け入れられる前にイングレスパイプラインで実行されます。このメカニズムは、特定の宛先に向けて大量のトラフィックをドロップすることが予想される場合、通常の出力インターフェイスフィルターよりも推奨されます。

クラスベースのフィルタリングは、通常のトラフィックパターンを模倣してアプリケーションやサーバーのリソースをターゲットとする「低速」のDoS攻撃にも有効です。

クラスベースのフィルタリングをサポートするために、PTXルーターの転送テーブルに2つの新しいバインドポイント、 source-class と destination-classが導入されます。

CLI階層をここに示します。 src-class-name または dest-class-name は、対応するポリシーで定義したフィルターの名前です。

また、複数のSCUおよびDCUクラスにまたがってインスタンス固有のフィルターを設定することもできます。デフォルトでは、フィルターに対してインスタンス化されるカウンターとポリサーのセットは 1 つだけです。インスタンス固有フィルターでは、フィルター接続ポイントごとに個別のカウンターとポリサーのセットが作成されます。

当初は、送信元クラス使用率(SCU)機能が導入され、送信元プレフィックスごとに特定のインターフェイスに送信されたトラフィックの統計内訳(送信元クラスによって識別されます)を提供しました。宛先クラス使用率(DCU)はもともと、宛先プレフィックスごとのインターフェイスで受信したトラフィックの統計的な内訳を提供するために導入されました(宛先クラスによって識別されます)。

送信元クラスまたは宛先クラスの両方が、送信元または宛先の検索プロセスでパケットに割り当てられます。そのため、ソースと宛先のフィルター一致条件は、ルックアップ後にフィルターが実行された場合にのみ評価できます。

ジュニパールーターは複数のフィルターバインドポイントをサポートしています。送信元と宛先の分類の結果を活用する可能性のあるものを以下に、使用ガイドラインとともに示します。

• 出力インターフェイスフィルター(set interfaces<インターフェイス名>ファミリーinetフィルター<出力>。すべてのPTXプラットフォームでサポートされますが、定常状態で大量のトラフィックを廃棄することが予想される場合(たとえば、DDoS攻撃緩和フィルターを実装する場合)は推奨されません。破棄されたDDoS攻撃トラフィックは、ファブリック帯域幅とエグレスオンチップバッファスペースが限られているため、DDoS攻撃基準に一致しない他のトラフィックによって補償されない場合があります。

• 転送テーブルフィルター検索後にフィルターします(set forwarding-options family inet filter <filter-name>出力)。Express 2(PE)およびExpress 3(ZX)プラットフォームでサポートされます。ただし、フィルターはegressパイプラインでインスタンス化されるため、破棄動作は通常の出力インターフェイスフィルターと似ています。

• 送信元または宛先クラス固有のバインドポイント(set routing-options forwarding-table source-class src-class-name family [inet | inet6] filter <filter- name>)。Express 2(PE)、Express 3(ZX)、Express 4(BT)プラットフォームでサポートされています。このフィルターは、ingressパイプラインでインスタンス化されます。これは、大量のトラフィックを破棄する場合に推奨されるオプションです。このオプションは、転送クラスをオーバーライドし、その後キュー割り当てを出力する必要がある場合にも推奨されます。仮想出力キューイング システムでは、キューはイングレス パイプラインで選択され、オーバーライドはイングレス パイプラインでも実行する必要があります。

この例では、送信元または宛先の分類に基づいて、IPv4およびIPv6トラフィックフローにファイアウォールアクション(破棄、拒否、またはポリシング)を適用する方法を示します。これは、Junos Evolved OSリリース21を実行しているPTX10001-36MR、PTX10003-160C、PTX10003-80C、PTX10004、およびPTX10008ルーターに適用されます。 2、JUNOS Evolved OSリリース21.4を実行しているPTX10016ルーター、またはPTX3000、PTX-5000、PTX1000、PTX10002、PTX10008、PTX10016ルーター(Junos OSリリース21.2以降のソフトウェアを実行している)ルーター。

• 要件
• 概要
• 設定

概要

この例では、カスタマー エッジ(CE)デバイス、プロバイダ エッジ(PE)デバイス、プロバイダ コア(P)デバイスの 3 つのルーティング デバイスを使用します。IPv4トラフィックの設定は、SCUクラスとDCUクラスの2セットに加えて、ファイアウォールフィルターで構成されています。次の図では、/32 IPプレフィックスは、それぞれカスタマーエッジ(CE)ルーターとプロバイダ(P)ルーターに接続されたホストを表しています。

図1:サンプルネットワーク

この例では、 scu-1 と scu-2 の 2 つのトラフィック クラスを定義します。最初のクラスはサブネット 172.16.2.0/24 内のプレフィックスに割り当てられ、2 つ目のクラスはサブネット 172.16.3.0/24 内のプレフィックスに割り当てられます。その他のプレフィックスにはクラス割り当てがありません。以下のCLIスニペットに示すように、ソースクラスscu-1およびソースクラスscu-2にプレフィックスを割り当てるルーティングポリシーがPEルーターで定義されています。

CEからPEのインターフェイスに入るトラフィックを考慮するために、PEルーターで定義された dcu-class と呼ばれるポリシーは、ルートフィルターを使用して トラフィックをdcu-1に配置し、他のプレフィックスにはクラス割り当てがありません。

次に、ポリシーが転送テーブルに適用されます。

次のステップでは、PE ルーターにフィルターを設定します。

そして、そのフィルターをPEルーター上の特定のソースクラスと宛先クラスのバインドポイントにアタッチします。