Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

ポート ミラーリングの設定

ポート ミラーリング とは、ルーターが IPv4 または IPv6 パケットのコピーを外部ホスト アドレスまたはパケット アナライザに送信して分析する機能です。ポート ミラーリングはトラフィックのサンプリングとは異なります。トラフィック サンプリングでは、パケット ヘッダーに基づくサンプリング キーがルーティング エンジンに送信されます。ファイルに鍵を配置することも、鍵に基づいて cflowd パケットを cflowd サーバーに送信することもできます。ポート ミラーリングでは、パケット全体がコピーされ、ネクスト ホップ インターフェイスを介して送信されます。

ポート ミラーリング用の 1 つのアプリケーションが、重複パケットを仮想トンネルに送信します。次に、この重複パケットのコピーを複数のインターフェイスに転送するように、ネクストホップ グループを設定できます。ネクストホップ グループの詳細については、「 ポート ミラーリングで使用されるパケットを転送するために複数のインターフェイスを使用するようにネクスト ホップ グループを設定する」を参照してください。

すべての M シリーズ マルチサービス エッジ ルーター、T シリーズ コア ルーター、MX シリーズ 5G ユニバーサル ルーティング プラットフォームは、IPv4 または IPv6 のポート ミラーリングをサポートします。M120、M320、MX シリーズ ルーターは、IPv4 と IPv6 のポート ミラーリングを同時にサポートします。

VPLS トラフィックのポート ミラーリングは、M7i および M10i ルーターでサポートされ、M120 ルーターでは拡張 CFEB(CFEB-E)、M320 ルーターでは FPC(Enhanced III Flexible PIC Concentrators)、MX シリーズ ルーターで設定されています。

Junos OS リリース 9.3 以降では、MX シリーズ ルーター上のレイヤー 2 トラフィックに対してポート ミラーリングがサポートされています。レイヤー 2 トラフィックのポート ミラーリングを設定する方法については、 ルーティング デバイス用 Junos OS レイヤー 2 スイッチングおよびブリッジング ライブラリを参照してください。

Junos OS リリース 9.6 以降では、拡張 III FPC で設定された M120 ルーターおよび M320 ルーター上のレイヤー 2 VPN トラフィックに対してポート ミラーリングがサポートされています。また、ミラーリングされたパケットの最大長を設定することもできます。設定すると、ミラーリングされたパケットは指定された長さに切り捨てられます。

M シリーズおよび MX シリーズ ルーターの MPC では、GRE および MPLS ヘッダー情報は、IP-GRE トンネルを介して送信される MPLS パケットに対応するポート ミラーリング トラフィックには含まれません。

ポート ミラーリングの設定に関するガイドライン

ポート ミラーリングを設定する場合、次の制限が適用されます。

  • トランジット データのみがサポートされています。

  • IPv4 または IPv6 ポート ミラーリングのいずれかを設定できますが、両方とも M シリーズ ルーターで設定することはできません。ただし、M120 および M320 ルーターは、IPv4 と IPv6 のポート ミラーリングを同時にサポートします。

  • M120 および M320 ルーターおよび MX シリーズ ルーターで、IPv4 および IPv6 のポート ミラーリングを同時に設定できます。

  • イングレスおよびエグレス方向のポート ミラーリングは、リンク サービス IQ(lsq-)インターフェイスではサポートされていません。

  • MX シリーズ ルーターのすべての DPC(Dense Port Concentrators)で、マルチキャスト パケットのイングレス フィルタリングがサポートされています。マルチキャスト パケットのエグレス フィルタリングは、MX シリーズ ルーターの MPC 上のインターフェイスでのみサポートされています。宛先アドレスに基づくマルチキャスト パケットのフィルタリングは、M シリーズ ルーターまたは T シリーズ ルーターではサポートされていません。また、MX シリーズ ルーターの I チップ ASIC ベース DPC 上のインターフェイスではサポートされていません。

    レイヤー 3 ポート ミラーリング(family inet および family inet6)では、ミラーリングされるトラフィックがマルチキャストである場合(つまり、パケットの宛先 IP アドレスがマルチキャスト アドレスの場合)、ミラーリングされたコピー内の宛先 MAC アドレスはこのマルチキャスト宛先 IP アドレスに対応し、設定で [edit forwarding-options port-mirroring family (inet | inet6) output] 指定されたユニキャスト MAC アドレスには対応しません。

  • デフォルトでは、ポート ミラーリング宛先インターフェイスにファイアウォール フィルターを適用できません。ポート ミラーリング宛先インターフェイスを有効にしてファイアウォール フィルターをサポートするには、ステートメントを no-filter-check 使用してインターフェイスのフィルター チェックを無効にします。ステートメントは、以下の no-filter-check 階層レベルに含めることができます。

    • [edit forwarding-options port-mirroring family (inet | inet6 | ccc | vpls) output]

    • [edit forwarding-options port-mirroring instance instance-name family (inet | ccc | vpls) output]

  • インバウンド インターフェイスに、 許可 アクションと ポートミラー アクション修飾子の両方を含むファイアウォール フィルタを含める必要があります。

  • ポート ミラーリング用に設定したインターフェイスは、あらゆる種類のルーティング アクティビティに参加してはなりません。

  • 指定する宛先アドレスに、最終的なトラフィック宛先へのルートを含めてはなりません。たとえば、サンプルされた IPv4 パケットの宛先アドレスが 192.68.9.10 で、ポート ミラーリングトラフィックが分析のために 192.68.20.15 に送信された場合、後者のアドレスに関連付けられたデバイスは 、192.68.9.10 へのルートを認識できません。また、サンプルされたパケットを送信元アドレスに送り返すべきではありません。

  • MX シリーズ ルーターを除くすべてのルーターでは、ルーターごとに 1 つのポート ミラーリング インターフェイスのみを設定できます。ステートメントに複数のインターフェイスを port-mirroring 含める場合、前のインターフェイスは上書きされます。MX シリーズ ルーターは、ルーターごとに複数のポート ミラーリング インターフェイスをサポートしています。

  • M120、M320、MX シリーズ ルーターでは、複数のポート ミラーリング インスタンスを設定できます。

  • ホスト(cflowd)サンプリングとポート ミラーリングの両方を同じ設定で指定できます。RE サンプリングとポート ミラーリングアクションを同時に実行できます。ただし、PICサンプリングとポートミラーリングアクションを同時に実行することはできません。

  • 一般的なアプリケーションでは、サンプリングしたパケットを別のルーターではなく、分析のためにアナライザまたはワークステーションに送信します。このトラフィックをネットワーク経由で送信する必要がある場合は、トンネルを使用する必要があります。

ポート ミラーリングの設定

ポート ミラーリングを設定するには、階層レベルで port-mirroring ステートメントを [edit forwarding-options] 含めます。

ポート ミラーリング アドレス ファミリーとインターフェイスの設定

ポート ミラーリングを設定するには、ステートメントを port-mirroring 含めます。サンプリングするトラフィックのアドレス ファミリー タイプを設定するには、ステートメントを family 含めます。サンプリングレート、サンプリング長、ミラーリングパケットの最大サイズを設定するには、ステートメントを input 含めます。重複パケットを送信するインターフェイスとパケットを送信するネクスト ホップ アドレスを指定するには、ステートメントを output 含めます。指定されたインターフェイスにフィルターがあるかどうかを判断するには、ステートメントを no-filter-check 含めます。

レートrun-lengthステートメントの詳細については、「トラフィック サンプリングの設定」を参照してください。

複数のポート ミラーリング インスタンスの設定

Junos OS リリース 9.5 以降では、M120、M320、MX シリーズ ルーターで複数のポート ミラーリング インスタンスを設定できます。M120ルーターでは、各インスタンスを特定のFEB(転送エンジンボード)に関連付けることができます。ポートミラーリングインスタンスを、バックアップFEBとして設定されたFEBに関連付けることはできません。M320ルーターでは、各インスタンスを特定のFPC(Flexible PIC Concentrator)に関連付けることができます。ポート ミラーリング インスタンスを FPC または FEB に関連付けることで、パケットを異なる宛先にミラーリングできます。MX シリーズ ルーターでは、複数のポート ミラーリング インスタンスもサポートされています。MXシリーズルーター上で複数のポートミラーリングインスタンスを設定する方法については、 ルーティングデバイス用Junos OSレイヤー2スイッチングおよびブリッジングライブラリを参照してください。

メモ:

MX80およびMX104ルーターでは、ポートミラーリングインスタンスをFPC 1またはFPC 2に関連付けることで、基盤となるアーキテクチャにより動作が不整合になる可能性があるため、ポートミラーリングインスタンスは常にFPC 0と関連付ける必要があります。

ポート ミラーリング インスタンスを設定するには、階層レベルで instance port-mirroring-instance ステートメントを [edit forwarding-options port-mirroring] 含めます。

ポート ミラーリング インスタンスの設定

複数のポート ミラーリング インスタンスを設定できます。設定するインスタンスごとに一意 port-mirroring-instance-name を指定します。

M320ルーターでのポートミラーリングインスタンスの関連付け

ポート ミラーリング インスタンスは、M320 ルーター上の特定の FPC または M120 ルーター上の特定の FEB に関連付けることができます。M320ルーター上の各FPCまたはM120ルーターの各FEBに関連付けることができるポートミラーリングインスタンスは1つだけです。M120ルーターでは、ポートミラーリングインスタンスをバックアップFEBとして設定されたFEBに関連付けることはできません。

ポート ミラーリング インスタンスを M320 ルーター上の FPC に関連付けるには、階層レベルで port-mirror-instance port-mirroring-instance-name ステートメントを [edit chassis fpc slot-number] 含めます。

slot-number、ポート ミラーリング インスタンスに関連付ける FPC のスロット番号を指定します。に port-mirroring-instance-name、階層レベルで設定したポート ミラーリング インスタンスの名前を [edit forwarding-options port-mirroring] 指定します。M320 ルーターでの FPC の設定の詳細については、「 ルーティング デバイス用 Junos OS 管理ライブラリ」を参照してください。

M120ルーターでのポートミラーリングインスタンスの関連付け

M120ルーター上のFEBにポートミラーリングインスタンスを関連付けるには、階層レベルで port-mirror-instance port-mirroring-instance-name ステートメントを [edit chassis feb slot-number] 含めます。

slot-number、ポートミラーリングインスタンスに関連付けるFEBのスロット番号を指定します。に port-mirroring-instance-name、階層レベルで設定したポート ミラーリング インスタンスの名前を [edit forwarding-options port-mirroring] 指定します。M120ルーターでのFEB冗長性の設定については、 Junos OS高可用性ユーザーガイドを参照してください。M120ルーターでのFPC-to-FEB接続の設定については、 ルーティングデバイス用Junos OS管理ライブラリを参照してください。

MXシリーズ5GユニバーサルルーティングプラットフォームとM120ルーターを設定してトラフィックを一度だけミラーリング

MX シリーズおよび M120 ルーターでのみ、ポート ミラーリングを設定して、ルーターがトラフィックを 1 回だけミラーリングするようにできます。イングレス インターフェイスとエグレス インターフェイスの両方でポート ミラーリングを設定すると、同じパケットを 2 回ミラーリングできます。パケットを一度だけミラーリングし、ルーターが同じミラーリング宛先に重複したサンプル パケットを送信できないようにするには、階層レベルでステートメントをmirror-once[edit forwarding-options port-mirroring]含めます。

メモ:

ステートメントは mirror-once 、グローバル ポート ミラーリング インスタンスでのみサポートされます。