Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

GRE または IPIP トラフィックのカプセル化を解除するファイアウォール フィルタの設定

GRE(汎用ルーティングカプセル化) とIP over IP(IPIP)の両方 が、パケットをカプセル化(またはトンネリング)することで、ネットワークを介してパケットを転送するためのプライベートでセキュアなパスを提供 します。トンネリングは 、トラフィックをカプセル化またはカプセル化解除するトンネル エンドポイントによって実行されます。

ファイアウォール フィルタを使用して、スイッチ上のトンネル トラフィックのカプセル化を解除できます。この機能は、カプセル化解除を実行するためにトンネル インターフェイスを作成する必要がないため、拡張性、パフォーマンス、柔軟性の面で大きなメリットがあります。たとえば、複数のソース IP アドレスから 1 つのファイアウォール条件で多数のトンネルを終端できます。

注:

EX4600、QFX5100、OCX スイッチは、ファイアウォール フィルターで作成されたトンネルを含め、512 もの GRE トンネルをサポートします。つまり、使用する方法に関係なく、合計 512 の GRE トンネルを作成できます。

GRE トラフィックのカプセル化を解除するフィルタの設定

GRE トラフィックのカプセル化を解除するファイアウォール フィルターを設定するには、次の手順に示します。

  1. IPv4 ファイアウォール フィルタを作成し、(オプションで)トンネルの送信元アドレスを指定します。

    GRE パケットの外部ヘッダーは IPv4 である必要があるため、使用 family inet して IPv4 フィルターを作成する必要があります。送信元アドレスを指定する場合は、トラフィックを GRE パケットにカプセル化するデバイス上のアドレスにする必要があります。

    注:

    複数の送信元 IP アドレスから 1 つのファイアウォール条件で多数のトンネルを終端するには、送信元アドレスを設定しないでください。この場合、フィルターは、フィルターを適用するインターフェイスで受信した GRE パケットをカプセル化解除します。

  2. トンネルの宛先アドレスを指定します。

    これは、トンネルまたはトンネルを終端させ、GRE パケットをカプセル化解除するスイッチのインターフェイス 上のアドレスにする必要があります。また、このアドレスは、スイッチ上でトンネルを形成するすべてのトンネル ソース ルーターでトンネル エンドポイントとして設定する 必要があります。

  3. フィルターが一致し、GRE トラフィックを受け入れる必要があることを指定します。
  4. フィルターで GRE トラフィックのカプセル化を解除することを指定します。

    これまでに実行した設定に基づいて、スイッチは内部ヘッダーをデフォルト ルーティング テーブル(inet0)と比較して、カプセル化解除されたパケットを転送します。スイッチで仮想ルーティング インスタンスを使用してカプセル化解除されたパケットを転送する場合は、次の手順を実行します。

  5. 仮想ルーティング インスタンスの名前を指定します。
  6. 仮想ルーティング インスタンスが仮想ルーターであることを指定します。
  7. 仮想ルーターに属するインターフェイスを指定します。

IPIP トラフィックのカプセル化を解除するフィルタの設定

IPIP トラフィックのカプセル化を解除するファイアウォール フィルターを設定するには、次の手順に示します。

  1. IPv4 ファイアウォール フィルタを作成し、(オプションで)トンネルの送信元アドレスを指定します。

    IPIP パケットの外部ヘッダーは IPv4 である必要があるため、使用 family inet して IPv4 フィルターを作成する必要があります。送信元アドレスを指定する場合は、トラフィックを IPIP パケットにカプセル化するデバイス上のアドレスにする必要があります。

    注:

    複数の送信元 IP アドレスから 1 つのファイアウォール条件で多数のトンネルを終端するには、送信元アドレスを設定しないでください。この場合、フィルターは、フィルターを適用するインターフェイスで受信した IPIP パケットをカプセル化解除します。

  2. トンネルの宛先アドレスを指定します。

    これは、トンネルまたはトンネルを終端させ、IPIP パケットをカプセル化解除するスイッチのインターフェイス 上のアドレスにする必要があります。また、このアドレスは、スイッチ上でトンネルを形成するすべてのトンネル ソース ルーターでトンネル エンドポイントとして設定する 必要があります。

  3. フィルターが一致し、IPIP トラフィックを受け入れる必要があることを指定します。
  4. フィルターで IPIP トラフィックのカプセル化を解除することを指定します。

    これまでに実行した設定に基づいて、スイッチは内部ヘッダーをデフォルト ルーティング テーブル(inet0)と比較して、カプセル化解除されたパケットを転送します。スイッチで仮想ルーティング インスタンスを使用してカプセル化解除されたパケットを転送する場合は、次の手順を実行します。

  5. 仮想ルーティング インスタンスの名前を指定します。
  6. 仮想ルーティング インスタンスが仮想ルーターであることを指定します。
  7. 仮想ルーターに属するインターフェイスを指定します。

インターフェイスへのフィルタの適用

ファイアウォール フィルタを作成した後、GRE または IPIP トラフィックを受信するインターフェイスにも適用する必要があります。入力方向に必ず適用してください。たとえば、次のように入力します。

GRE または IPIP パケットの外部ヘッダーは IPv4 である必要があるため、IPv4 インターフェイスにフィルターを適用して、 を指定 family inetする必要があります。