項目一覧

コントロールプレーンDDoS保護ポリサーの無効化とグローバルロギング
コントロールプレーンDDoS防御の設定集約または個々のパケットタイプポリサー
コントロールプレーンDDoS攻撃防御の検証と管理

コントロールプレーンDDoS保護の設定

コントロールプレーンDDoS保護は、サポートされているすべてのプロトコルグループとパケットタイプに対してデフォルトで有効になっています。デバイスには、帯域幅(pps単位のパケットレート)、帯域幅スケール、バースト(バースト内のパケット数)、バーストスケール、優先度、および回復時間のデフォルト値があります。サポートされているすべてのプロトコルグループとパケットタイプのデフォルトのポリサー値を確認するには、設定可能なDDoS保護値を変更する前に、 show ddos-protection protocols CLIコマンドを実行します。

手記：

EX2300およびEX2300-Cスイッチには、コントロールプレーンDDoS保護が搭載されている場合がありますが、デフォルトのポリサーパラメーターを表示または変更するCLIオプションはサポートされていません。

Junos OS リリース 24.2R1 以降、EX4100 および EX4400 デバイス、Junos OS リリース 24.4R1 以降、EX3400 および EX4300-MP デバイスは、デフォルトのポリサーパラメーターを表示または変更する CLI オプションをサポートしています。

コントロールプレーン DDoS 構成パラメーターは、次のように変更できます。

プロトコルグループ内でサポートされる個々のパケットタイプについて、帯域幅(pps)、バースト(パケット)、およびプライオリティポリサー値を変更できます。

手記：
PTX10003およびPTX10008ルーターでは、集約またはパケットタイプポリサーのデフォルトの帯域幅(pps)とバースト(パケット)の値は変更できますが、優先度値は変更できません。
プロトコルグループの集約ポリサーでは、帯域幅(pps)とバースト(パケット)のポリサー値を変更できます。
プロトコルグループまたはパケットタイプのポリサーに帯域幅(pps)、バースト(パケット)、および優先度の値を設定すると、すべてのポリサーレベルで同じ値が適用されます。スケーリング設定オプションを変更して、パケット転送エンジンレベルでこれらの値を調整します。

手記：
コントロールプレーンDDoS保護を備えたACXシリーズルーターは、ルーティングエンジンレベルでのポリサー値の変更をサポートしており、これはPFEチップセットレベルに伝播します。これらは、 [edit system ddos-protection protocols protocol-group aggregate fpc ステートメント階層でのラインカードスケーリング設定オプションをサポートしていません。

コントロールプレーンの DDoS 保護は、次のように無効にできます。

ルーティングエンジンレベルのポリサーを持つほとんどのルーティングデバイスでは、グローバルまたはプロトコルグループ内の個々のパケットタイプに対して、ルーティングエンジンおよびすべてのラインカードでコントロールプレーンDDoS保護を無効にすることができます。
PTX10003、PTX10008およびPTX10016ルーターには、ルーティングエンジンレベルのポリサーが含まれていますが、他のPTXシリーズルーターと同様に、無効にできるのはラインカードポリサーのみです。
その他のPTXシリーズルーターおよびQFXシリーズスイッチでは、ポリサーはラインカードでのみサポートされているため、これらのデバイスでは、グローバルまたはプロトコルグループ内の個々のパケットタイプに対して、すべてのラインカードに対してコントロールプレーンDDoS保護を無効にすることができます。

コントロールプレーン DDoS ログはデフォルトで有効になっていますが、すべてのコントロールプレーン DDoS イベントまたはプロトコルグループ内の個々のパケットタイプに対してグローバルに無効にできます。また、コントロールプレーンDDoSイベントを監視するためのトレース操作を設定することもできます。

手記：

MPCを搭載したMXシリーズルーターとFPC5を搭載したT4000ルーターは、コントロールプレーンDDoS保護をサポートしています。これらのタイプのルーターのいずれかに他のラインカードもインストールされているが、他のラインカードは保護されていないため、ルーターは基本的に保護されません。

デフォルトで設定されたコントロールプレーンDDoS保護パラメーターを変更するには:

(オプション)グローバルコントロールプレーン DDoS 保護設定を構成するか、コントロールプレーン DDoS 保護を無効にします。
(オプション)目的のプロトコルグループの集約ポリサーまたは個々のパケットタイプのコントロールプレーンDDoS保護設定を構成します。
(オプション)コントロールプレーンの DDoS 保護操作のトレースを構成します。

コントロールプレーンDDoS保護ポリサーの無効化とグローバルロギング

コントロールプレーン DDoS 保護ポリサーは、サポートされているすべてのプロトコルグループとパケットタイプに対して既定で有効になっています。

ACXシリーズルーターでは、グローバルに、またはルーティングエンジンレベルで個々のプロトコルグループに対して、ポリサーを無効にすることができます。ポリサーをグローバルに無効にすると、基本的にデバイスのコントロールプレーンDDoS保護が無効になります。

MXシリーズルーター、T4000ルーター、EX9200スイッチでは、個々のラインカードとルーティングエンジンのレベルでポリサーが確立されます。すべてのMPCまたはFPC5に対してグローバルにラインカードポリサーを無効にできます。また、ルーティングエンジンのポリサーを無効にすることもできます。これらのポリサーのいずれかを無効にすると、すべてのプロトコルグループとパケットタイプのそのレベルのポリサーが無効になります。

PTXシリーズルーターおよびQFXシリーズスイッチでは、個々のラインカードのレベルでのみポリサーが確立されます。ラインカードポリサーをグローバルに無効にすると、コントロールプレーンの DDoS 保護はスイッチで無効になります。

PTX10003、PTX10008およびPTX10016ルーターには、ルーティングエンジンレベルのポリサーが含まれていますが、他のPTXシリーズルーターと同様に、無効にできるのはラインカードポリサーのみです。

コントロールプレーンの DDoS 保護ログも既定で有効になっています。ルーターまたはスイッチ全体のすべてのプロトコルグループとパケットタイプについて、すべてのコントロールプレーンDDoSイベントロギング(フロー検出イベントロギングを含む)を無効にすることができます。

手記：

ポリサーとロギングを無効にするグローバル設定は、パケットタイプのローカル設定よりも優先されます。

グローバルコントロールプレーン DDoS 保護設定を構成するには:

(オプション)(ACXシリーズルーターでは使用できません)ラインカードポリサーを無効にするには:
(オプション)(PTXシリーズルーターまたはQFXシリーズスイッチでは使用できません) ルーティングエンジンのポリサーを無効にするには:

(オプション)イベントログを無効にするには:

コントロールプレーンDDoS防御の設定集約または個々のパケットタイプポリサー

コントロールプレーンDDoSポリサーは、パケットトラフィックを制御するために適用され、サポートされているすべてのプロトコルグループとパケットタイプに対してデフォルトで有効になっています。デフォルトのポリサーパラメータを変更して、最大許容トラフィックレート、最大バーストサイズ、トラフィック優先度、およびトラフィックフローが攻撃から回復したと見なされるまでに最後の違反から経過する必要がある時間に異なる値を設定できます。また、個々のラインカードの帯域幅とバースト値をスケーリングして、このレベルのポリサーがプロトコル全体またはパケットのしきい値よりも低いしきい値でトリガーされるようにすることもできます。

プロトコルグループとパケットタイプのサポートは、プラットフォームやJunos OSリリースによって、以下のように異なります。

ほとんどのルーティングデバイスについては、プロトコル(DDoS)を参照してください。
ACXシリーズルーター、PTXシリーズルーター、QFXシリーズスイッチについては、プロトコル(DDoS)(ACXシリーズ、PTXシリーズ、QFXシリーズ)を参照してください。

任意のプロトコルグループに対して集約ポリサー値を設定できます。集約ポリサーは、そのグループのすべてのタイプの制御パケットトラフィックの組み合わせに適用されます。

手記：

ACXシリーズルーターは、サポートされているプロトコルグループのアグリゲートポリサーのみをサポートします。

一部のプロトコルグループでは、個々のパケットタイプに対してポリサー値を設定することもできます。特定のプロトコルグループに対して集約ポリサー値を設定する場合、オプションで、そのグループ内の 1 つ以上の特定のパケットタイプに対してそのポリサーをバイパスできます。

ベストプラクティス:

すべてのポリサーにはデフォルトのパラメータ値がありますが、これらの値はネットワークの制御トラフィックパターンを正確に反映していない可能性があります。ネットワークをモデル化して、状況に最適な値を決定することをお勧めします。ネットワークのポリサーを設定する前に、 show ddos-protection protocols parameters brief コマンドを使用して、運用モードからすべてのパケットタイプのデフォルト値をすばやく表示できます。コマンドを使用して、対象のプロトコルグループを 1 つ指定することもできます。たとえば、 dhcpv4 プロトコルグループのデフォルト値を表示するには、 show ddos-protection protocols dhcpv4 parameters brief コマンドを使用します。

指定したラインカードまたはすべてのラインカードについて、ルーティングエンジンレベル(サポートされている場合)またはパケット転送エンジンレベル(サポートされている場合)で、パケットタイプポリサーを無効にすることができます。また、プロトコルグループ内の個々のパケットタイプのすべてのコントロールプレーン DDoS 保護イベントのログ記録を無効にすることもできます。

目的のアグリゲートまたはパケットタイプの DDoS 保護ポリサー設定を構成するには、次の手順に従います。

プロトコルグループを指定します。
たとえば、MXシリーズ、PTX10003、または PTX10008 ルーターで DHCPv4 プロトコルグループを指定するには、次のようにします。
または、ACXシリーズ、PTXシリーズ、QFXシリーズデバイスでは、コントロールプレーンDDoS保護サポートに、集約ポリサー設定のみを許可するDHCPv4とDHCPv6を組み合わせたオプションがあります。
サポートされている個々のパケットタイプを指定するか、 aggregate オプションを指定して、プロトコルグループ内のすべてのパケットタイプを網羅します。
又は
たとえば、個々の DHCPv4 パケットタイプをサポートするデバイスで DHCPv4 リリースパケットのみを指定するには、次のようにします。
(オプション)ポリサーがパケットタイプ(または集約)に対して許可する最大トラフィックレートを設定します。
たとえば、DHCPv4 リリースパケットの帯域幅を 1 秒あたり 600 パケットに設定するには、次のようにします。
(オプション)ポリサーがトラフィックのバーストで許可する、このパケットタイプ(または集約)のパケットの最大数を設定します。
例えば、最大 5000 の DHCPv4 リリースパケットを設定するには、次のようにします。
(オプション)トラフィックの優先度を設定します。
手記：
PTX10003 または PTX10008 ルーターのデフォルトの優先度値は変更できません。
たとえば、DHCPv4 リリースパケットに中程度の優先度を指定するには、次のようにします。
(オプション)トラフィックフローが攻撃から回復したと見なされるまでに、最後の違反から経過する必要がある時間を設定します。
たとえば、DHCPv4 リリースパケットポリサーの最後の違反から 600 秒が経過している必要があることを指定するには:
(オプション、一部のデバイスでサポート)集約ポリサー設定をバイパスします。これは、集約ポリサーと個別ポリサーがプロトコルグループに対して設定されている場合にのみ適用されます。
たとえば、DHCPv4 更新パケットの集約ポリサーをバイパスするには、次のようにします。
(オプション、一部のデバイスでサポート)すべてのラインカードでパケットタイプ(または集約)のラインカードポリサーを無効にします。
手記：
[edit system ddos-protection global]階層レベルでラインカードポリサーをグローバルに無効にすると、グローバル設定がこのステップで示すパケットタイプごとの設定よりも優先されます。その後、グローバル設定を削除すると、パケットタイプごとの設定が有効になります。

たとえば、DHCPv4 bootp パケットのラインカードポリサーを無効にするには、次のようにします。
(オプション)1つのパケットタイプ(またはアグリゲート)のみのコントロールプレーンDDoS保護イベントログを無効にします。
手記：
パケットに対して無効にされたイベントは、ポリサー違反に関連付けられます。フロー検出原因フローイベントのロギングは、このステートメントの影響を受けません。

手記：
コントロールプレーン DDoS 保護イベントログを [edit system ddos-protection global] 階層レベルでグローバルに無効にすると、グローバル設定によって、この手順で示されているパケットの種類ごとの設定が上書きされます。その後、グローバル設定を削除すると、パケットタイプごとの設定が有効になります。

たとえば、DHCPv4検出パケットのラインカードポリサーでコントロールプレーンDDoS保護イベントログを無効にするには:
(オプション、PTXシリーズルーターまたはQFXシリーズスイッチでは使用できません)このパケットタイプのみのルーティングエンジンポリサーを無効にします。
手記：
[edit system ddos-protection global]階層レベルでルーティングエンジンポリサーをグローバルに無効にすると、グローバル設定がこのステップで示すパケットタイプごとの設定を上書きします。その後、グローバル設定を削除すると、パケットタイプごとの設定が有効になります。

例えば、DHCPv4検出パケットのルーティングエンジンポリサーを無効にするには:
(オプション、ACXシリーズルーターではサポートされていません)単一のラインカードでパケットタイプ(または集約)のパケットレベル設定を行います。単一の固定ラインカード(スロット0にあると見なされ、 fpc0とラベル付けされた単一のFPC)を搭載したスイッチでは、ポリサー値のスケーリングはスイッチ全体に影響します。
たとえば、DHCPv4 にアクセスするには、スロット 3 のラインカードのパケット設定を検出します。
(オプション、ACXシリーズルーターではサポートされていません)ラインカード上のパケットタイプ(または集約)のポリサー帯域幅をスケーリングします。
たとえば、帯域幅を DHCPv4 に設定された全ラインカード設定の 80% に拡張するには、スロット 3 のラインカード上のパケットを検出します。
(オプション、ACXシリーズルーターではサポートされていません)ラインカード上のパケットタイプ(または集約)のポリサーバーストサイズをスケーリングします。
たとえば、最大帯域幅を DHCPv4 に構成された全ラインカード設定の 75% に拡張するには、スロット 3 のラインカード上のパケットを検出します。
(オプション、ACXシリーズルーターではサポートされていません)特定のラインカードのパケットタイプ(またはアグリゲート)のラインカードポリサーを無効にします。
たとえば、DHCPv4 のラインカードポリサーを無効にするには、スロット 3 のラインカード上のパケットを検出します。

目的

コントロールプレーンの DDoS 防御の構成、状態、統計に関する情報を表示またはクリアします。

アクション

すべてのプロトコルグループのすべてのパケットタイプのコントロールプレーンDDoS保護ポリサー設定、違反状態、統計情報を表示するには:
設定を変更する前にこのコマンドを実行して、デフォルトのポリサー値を確認します。
特定のプロトコルグループ内の特定のパケットタイプのコントロールプレーン DDoS 防御ポリサーの設定、違反状態、統計情報を表示するには:
すべてのプロトコルグループのコントロールプレーン DDoS 保護ポリサー違反の数のみを表示するには:
すべてのプロトコルグループのすべてのパケットタイプに対するコントロールプレーンDDoS保護設定の表を表示するには:
すべてのプロトコルグループのすべてのパケットタイプのパケット統計とコントロールプレーン DDoS 防御違反統計の完全なリストを表示するには:
グローバルコントロールプレーン DDoS 保護違反の統計を表示するには:
コントロールプレーン DDoS 保護のバージョン番号を表示するには:
すべてのプロトコルグループのすべてのパケットタイプのコントロールプレーンDDoS保護統計をクリアするには:
特定のプロトコルグループのすべてのパケットタイプのコントロールプレーン DDoS 防御統計をクリアするには:
特定のプロトコルグループの特定のパケットタイプのコントロールプレーン DDoS 防御統計をクリアするには:
すべてのプロトコルグループのすべてのパケットタイプのコントロールプレーン DDoS 保護違反状態をクリアするには:
特定のプロトコルグループのすべてのパケットタイプのコントロールプレーン DDoS 保護違反状態をクリアするには:
特定のプロトコルグループの特定のパケットタイプのコントロールプレーン DDoS 保護違反状態をクリアするには: