ICMP 機能

プロトコルリダイレクトメッセージについて

プロトコルリダイレクトメッセージは、ホストにルーティング情報を更新し、代替ルート上のパケットを送信するように通知します。ホストがスイッチS1を介してデータパケットを送信しようとし、S1がデータパケットを別のスイッチS2に送信するとします。また、ホストから S2 への直接パスが利用可能(つまり、ホストと S2 が同じイーサネット セグメント上にある)とします。その後、S1 はプロトコル リダイレクト メッセージを送信し、宛先に最適なルートが S2 への直接ルートであることをホストに通知します。その後、ホストはパケットを S1 経由で送信するのではなく、S2 に直接送信する必要があります。S2 は、S1 から受信した元のパケットを意図した宛先に送信します。

プロトコルリダイレクトの詳細については、 RFC-1122 および RFC-4861 を参照してください。

メモ：

• データ パケットにルーティング情報が含まれている場合、スイッチはプロトコル リダイレクト メッセージを送信しません。

• すべてのEXシリーズスイッチは、IPv4とIPv6の両方のトラフィックに対するプロトコルリダイレクトメッセージの送信をサポートしています。

プロトコルリダイレクトメッセージを無効にする

デフォルトでは、デバイスはIPv4とIPv6の両方のトラフィックに対してプロトコルリダイレクトメッセージを送信します。セキュリティ上の理由から、デバイスがプロトコルリダイレクトメッセージの送信を無効にしたい場合があります。

デバイス全体のプロトコルリダイレクトメッセージを無効にするには、 階層レベルで または no-redirects-ipv6 ステートメントを[edit system]含 no-redirects めます。

• IPv4 トラフィックの場合:

• IPv6 トラフィックの場合:

デバイスでリダイレクトメッセージの送信を再び有効にするには、設定からステートメント(IPv4トラフィックの場合)または no-redirects-ipv6 ステートメント(IPv6トラフィック用)を削除no-redirectsします。

プロトコルリダイレクトメッセージをインターフェイス単位で無効にするには、 階層レベルに no-redirects ステートメントを [edit interfaces interface-name unit logical-unit-number family family] 含めます。

• IPv4 トラフィックの場合:

• IPv6 トラフィックの場合:

ICMPv4およびICMPv6のエラーメッセージをレート制限する理由

レート制限を調整するユースケースの例として、Webサービスを提供するデータセンターがあります。このデータセンターには、インターネット上のホストと通信する際に、MTUが9100バイトのジャンボフレームを使用する多くのサーバーがネットワーク上にあるとします。これらの他のホストでは、1500 バイトの MTU が必要です。接続の両側に最大セグメント サイズ(MSS)が適用されない限り、サーバーは、データ センターのエッジ ルーターに到達したときにフラグメント化されることなく、インターネットを介して送信するには非常に大きいパケットで応答することがあります。

多くの場合、TCP/IP 実装では、ビットが 1 に設定されたパス MTU 検出がデフォルトで dont-fragment 有効になっているため、トランジット デバイスはフラグメント化するのではなく、大きすぎるパケットをドロップします。パケットが大きすぎたため、宛先に到達できませんでしたを示す ICMP エラー メッセージがデバイスから返されます。このメッセージは、エラーが発生した場合に必要なMTUも提供します。送信ホストは、その接続に対する送信MSSを調整し、フラグメント化の問題を回避するために、より小さなパケットサイズでデータを再送信する必要があります。

高いコア インターフェイス速度では、このサービスを必要とするネットワーク内のホストの数が多い場合、エラー メッセージのデフォルトレート制限の 1 pps では、すべてのホストに通知するには不十分な場合があります。その結果、アウトバウンド パケットは通知なく破棄されます。このアクションは、データセンターエッジルーターがコアに面する各インターフェイスで処理するリクエストの量に応じて、追加の再送信またはバックオフ動作をトリガーできます。

このような場合、レート制限を増やして、送信ホストに到達するオーバーサイズのパケットの量を増やすことができます。(コアに面したインターフェイスを追加することも、問題の解決に役立ちます。

ICMPv4およびICMPv6のエラーメッセージをレート制限する方法

階層レベルでレート制限を [edit chassis] 設定しても、シャーシ全体の制限ではありません。代わりに、レート制限はインターフェイスファミリーごとに適用されます。これは、例えば、 で family inet 設定された複数の物理インターフェイスが、設定されたレートで同時にICMPエラーメッセージを生成できることを意味します。

メモ：

このレート制限は、10 秒以上続くトラフィックに対してのみ有効です。レート制限は、5秒や9秒などの短い時間のトラフィックには適用されません。

• ICMPv4 のレート制限を設定するには、 ステートメントを icmp 使用します。

  Junos OS リリース 19.1R1 以降、最大レートは 50 pps から 1000 pps に増加しました。

• ICMPv6 のレート制限を設定するには、 ステートメントを icmp6 使用します。

また、レート制限値が DDoS 攻撃防御設定とやり取りされる可能性も考慮する必要があります。MTU を超える例外パケットのデフォルト帯域幅値は 250 pps です。パケット数がその値を超えた場合、DDoS防御フラグは違反をフラグ付けします。レート制限を現在 mtu-exceeded の帯域幅値よりも高く設定した場合、レート制限に一致するように帯域幅値を設定する必要があります。

例えば、ICMP レート制限を 300 pps に設定するとします。

その値に一致するようにDDoS保護 mtu-exceeded bandwidth を設定する必要があります。

ICMP 拡張のメリット

ICMP 拡張は、次のようにインターフェイスやその他の情報を識別するのに役立ちます。

• ICMPv4 および ICMPv6 メッセージは、番号なしインターフェイスで処理できないデータグラムのインターフェイスを識別できませんでした。

• ICMP メッセージは、受信インターフェイスの送信元アドレスを決定し、発信元デバイスにパケットを送信することで作成されます。ただし、発信元デバイスは、ICMP メッセージの送信元を知る方法はありません。

ICMP 拡張機能により、以下の情報を含む ICMP メッセージに応答するネットワーク デバイスを識別できます。

• IP インターフェイスを介して受信したデータグラム。

• データグラムがIPインターフェイスのサブIPコンポーネントに到着しました。

• データグラムが転送される IP インターフェイス。

• 転送されたネクストホップIPアドレス。

RFC5837を実装して、追加のフィールドを追加して、番号付きおよび番号なし集約型イーサネットインターフェイスの両方に対してICMP(IPv4およびIPv6)メッセージを選択できるようにしました。

• ICMPv4 時間超過
• ICMPv4 宛先到達不能
• ICMPv6 時間超過
• ICMPv6 宛先到達不能

メモ：

ICMPv6 拡張は、番号付きインターフェイスでのみサポートされています。

ICMP 拡張を有効にする方法

ICMPv4 拡張を有効にするには:

ICMPv4 拡張を無効にするには、設定を削除します。

ICMPv6 拡張を有効にするには:

ICMPv6 拡張を無効にするには、設定を削除します。