PowerMode IPsec
PowerMode IPsec(PMI)VPNの詳細については、このトピックをお読みください。
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
プラットフォームに関連する注意事項については、「 プラットフォーム固有のPMI動作」 セクションを参照してください。
詳細については、「 補足プラットフォーム情報 」セクションを参照してください。
PowerMode IPsec による IPsec パフォーマンスの向上
PowerMode IPsec(PMI)は、ベクトルパケット処理とIntel Advanced Encryption Standard New Instructions(AES-NI)を使用してIPsecパフォーマンスを向上させる運用モードです。PMIは、フロー処理をバイパスするパケット転送エンジン内の小さなソフトウェアブロックを利用し、AES-NI命令セットを利用して、PMIを有効にするとアクティブ化されるIPsec処理のパフォーマンスを最適化します。
- PMI処理
- PMI統計
- AES-NI(Advanced Encryption Standard New Instructions)およびFPGA(Inline Field-Programmable Gate Array)
- PMIでサポートされている機能とサポートされていない機能
- PMIのメリット
- セキュリティフローPMIの設定
- 対称ファットトンネルを理解する
PMI処理
PMI 処理を有効または無効にすることができます。
set security flow power-mode-ipsec構成モード コマンドを使用して PMI 処理を使用可能にします。delete security flow power-mode-ipsec設定モード コマンドを使用して PMI 処理を無効にします。このコマンドを実行すると、コンフィギュレーションからステートメントが削除されます。
PMI統計
show security flow pmi statistics 動作モード コマンドを使用して、PMI 統計を検証できます。
PMIおよびファットトンネルステータスは、 show security flow status 運用モードコマンドを使用して確認できます。
AES-NI(Advanced Encryption Standard New Instructions)およびFPGA(Inline Field-Programmable Gate Array)
.PMIモードのAES-NIは、SPU内の負荷の分散に役立ち、SPC3カードの対称ファットトンネルをサポートします。これにより、トラフィック処理パフォーマンスが向上し、IPsec VPNのスループットが向上します。PMIは、暗号化にAES-NIを使用し、暗号化操作の復号にFPGAを使用します。
AES-NIでPMI処理を有効にするには、[edit security flow]階層レベルにpower-mode-ipsecステートメントを含めます。
インラインFPGAを有効または無効にするには、[edit security forwarding-process application-services]階層レベルでinline-fpga-crypto (disabled | enabled)ステートメントを含めます。
PMIでサポートされている機能とサポートされていない機能
トンネルセッションは、PMIまたは非PMIのいずれかです。 表1は 、サポートされるPMI機能とサポートされていないPMI機能をまとめたものです。
プラットフォームに関連する注意点については 、表4 のセクションを参照してください。
表 1 に示されているサポート対象外の機能でセッションが設定されている場合、そのセッションは非 PMI としてマークされ、トンネルは非 PMI モードになります。トンネルが非PMIモードになると、トンネルはPMIモードに戻りません。
| PMIでサポートされている機能 |
PMIでサポートされていない機能 |
|---|---|
| Internet Key Exchange(IKE)機能 |
レイヤー4〜7アプリケーション:アプリケーションファイアウォールとAppSecure |
| トラフィックセレクターを使用したAutoVPN |
マルチキャスト |
| 高可用性 |
ネストされたトンネル |
| IPv6 |
画面オプション |
| ステートフルファイアウォール |
アプリケーション層ゲートウェイ(ALG) |
| st0インターフェイス |
|
| トラフィックセレクター |
|
| NAT(PMIモードでは、NAT64を使用することはできません。PMIが有効な場合、NAT64は通常モードで正しく動作します。) |
|
| AES-GCM-128およびAES-GCM-256暗号化アルゴリズム。最適なパフォーマンスを得るには、AES-GCM暗号化アルゴリズムの使用をお勧めします。 |
|
| HMAC-SHA1-96 認証アルゴリズムを用いた SHA1 暗号化アルゴリズムを使用した AES-CBC-128、AES-CBC-192、AES-CBC-256 |
|
| HMAC-SHA-256-128 認証アルゴリズムを用いた SHA2 暗号化アルゴリズムを使用 AES-CBC-128、AES-CBC-192、AES-CBC-256 |
|
| NULL暗号化アルゴリズム |
|
| ChaCha20-Poly1305認証暗号化アルゴリズム |
|
| HMAC-SHA-384およびHMAC-SHA-512認証アルゴリズム |
PMI では、以下の使用上の考慮事項に留意してください。
- アンチリプレイ ウィンドウ サイズ
-
アンチリプレイウィンドウのサイズは、デフォルトでは64パケットです。fat-トンネルを設定する場合は、アンチリプレイウィンドウサイズを512パケット以上に増やすことが推奨されます。
-
- サービスクラス(CoS)
- サービスクラス(CoS)は、PMIでの動作集約(BA)分類子、マルチフィールド(MF)分類子、および書き換えルール機能の設定をサポートします。
-
フローセッションでPMIを有効にした場合、CoSはフローごとに実行されます。つまり、新しいフローの最初のパケットは、フローセッションにCoS情報をキャッシュします。その後、フローの後続のパケットでは、セッションにキャッシュされた CoS 情報が再利用されます。
- 暗号化アルゴリズム
-
PMIは、通常モードでの既存のサポートに加えて、IPsecパフォーマンスを向上させるオプションaes-128-cbc、aes-192-cbc、aes-256-cbcをサポートしています。
-
- GTP-U
- PMIは、TEID分布と非対称ファットトンネルソリューションでGTP-Uシナリオをサポートします。
- PMIは、ソフトウェア受信側スケーリング機能をサポートしています。
- LAGおよび冗長(reth)インターフェイス
- PMIは、リンクアグリゲーショングループ(LAG)および冗長イーサネット(reth)インターフェイスでサポートされています。
- PMIフラグメント化チェック
-
PMIは、フラグメント化前とフラグメント化後のチェックを行います。PMIがフラグメント化前およびフラグメント化後のパケットを検出した場合、パケットはPMIモードを通過できません。パケットは非PMIモードに戻ります。
-
インターフェイスで受信したフラグメントは、PMIを通過しません。
-
- NAT-TのPMI
- NAT-T向けPMIは、SRX5K-SPC3サービスプロセシングカード(SPC)、またはvSRX仮想ファイアウォールでのみサポートされています。
- PMI サポート(vSRX)
-
vSRX仮想ファイアウォールインスタンスは以下をサポートします。
-
PMIモードにおけるGTP-Uトラフィックのフロー単位のCoS機能
-
PMIモードのCoS機能PMIモードでは、以下のCoS機能がサポートされています。
-
分類子
-
書き換えルール関数
-
キューイング
-
シェーピング
-
スケジューリング
-
-
-
PMIのメリット
IPsecのパフォーマンスを強化します。
セキュリティフローPMIの設定
以下のセクションでは、セキュリティフローPMIを設定する方法について説明します。
セキュリティフローPMIを設定するには、IOCとセッションアフィニティでセッションキャッシュを有効にする必要があります。
IOC(IOC2 および IOC3)でセッションキャッシュを有効にする
user@host# set chassis fpc <fpc-slot> np-cache
VPNセッションアフィニティを有効にする
user@host# set security flow load-distribution session-affinity ipsec
PMIでセキュリティフローを作成します。
user@host#set security flow power-mode-ipsec
show securityコマンドを入力して、設定を確認します。user@host# show security flow { power-mode-ipsec; }
対称ファットトンネルを理解する
IPsec トンネルのスループットを向上させるには、ファット トンネル テクノロジを使用できます。
FAT IPsecトンネルを有効にするために、新しいCLIコマンドが導入されます。ファットIPsecトンネル機能はデフォルトで無効になっています。導入された新しいCLIコマンドは、set security distribution-profile階層にfat-coreされています。fat-coreを有効にすると、以下の設定が表示されます。
security {
distribution-profile {
fat-core;
}
}
FAT IPsecトンネルを設定する前に、以下が設定されていることを確認します。
-
高速パス転送の場合は、
set chassis fpc FPC slot np-cacheコマンドを使用してセッション情報用のIOCキャッシュを設定します。 -
セッションアフィニティを有効にするには、
set security flow load-distribution session-affinity ipsecコマンドを使用します。 -
電源モードを有効にするには、
set security flow power-mode-ipsecコマンドを使用します。
関連項目
例:PMI での動作集約分類子の設定
この例では、SRXシリーズファイアウォールの動作集約(BA)分類子を設定して、PMI内のパケットの転送処理を決定する方法を示します。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
SRXシリーズファイアウォール。
Junos OSリリース19.1R1以降のリリース。
始める前に:
動作集約分類子に設定する既知の各DSCPにデフォルトで割り当てられている転送クラスとPLPを決定します。
概要
有効なDSCPを含むパケットを適切なキューに分類するように、動作集約分類子を設定します。設定が完了したら、動作集約分類子を正しいインターフェイスに適用します。デフォルトのIP優先度分類子を上書きするには、分類子を定義し、それを論理インターフェイスに適用します。すべてのコード ポイント タイプに新しい分類子を定義するには、[edit class-of-service] 階層レベルに classifiers ステートメントを含めます。
この例では、DSCP動作集約分類子をデフォルトのDSCPマップとして ba-classifier に設定します。ベストエフォートフォワーディングクラスを be-class、優先フォワーディングクラスを ef-class、保証フォワーディングクラスを af-class、ネットワーク制御フォワーディングクラスを nc-classに設定します。最後に、動作集約分類子をインターフェイスge-0/0/0に適用します。
表2は、動作集約分類子が4つの転送クラスの着信パケットに損失の優先度をどのように割り当てるかを示しています。
mf-classifierフォワーディングクラス |
CoSトラフィックタイプの場合 |
ba-classifierの割り当て |
|---|---|---|
|
ベストエフォート型トラフィック |
優先度の高いコードポイント:000001 |
|
優先フォワーディングトラフィック |
優先度の高いコードポイント:101111 |
|
確実なフォワーディングトラフィック |
優先度の高いコードポイント:001100 |
|
ネットワーク制御トラフィック |
優先度の高いコードポイント:110001 |
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set class-of-service classifiers dscp ba-classifier import default set class-of-service classifiers dscp ba-classifier forwarding-class be-class loss-priority high code-points 000001 set class-of-service classifiers dscp ba-classifier forwarding-class ef-class loss-priority high code-points 101111 set class-of-service classifiers dscp ba-classifier forwarding-class af-class loss-priority high code-points 001100 set class-of-service classifiers dscp ba-classifier forwarding-class nc-class loss-priority high code-points 110001 set class-of-service interfaces ge-0/0/0 unit 0 classifiers dscp ba-classifier
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
PMIでデバイスの動作集約分類子を設定するには:
サービスクラスを設定します。
[edit] user@host# edit class-of-service
差別化されたサービス(DiffServ)CoSの動作集約分類子を設定します。
[edit class-of-service] user@host# edit classifiers dscp ba-classifier user@host# set import default
ベストエフォート転送クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class be-class loss-priority high code-points 000001
優先転送クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class ef-class loss-priority high code-points 101111
保証された転送クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class af-class loss-priority high code-points 001100
ネットワーク制御転送クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class nc-class loss-priority high code-points 110001
動作集約分類子をインターフェイスに適用します。
[edit] user@host# set class-of-service interfaces ge-0/0/0 unit 0 classifiers dscp ba-classifier
結果
設定モードから、 show class-of-service コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show class-of-service
classifiers {
dscp ba-classifier {
import default;
forwarding-class be-class {
loss-priority high code-points 000001;
}
forwarding-class ef-class {
loss-priority high code-points 101111;
}
forwarding-class af-class {
loss-priority high code-points 001100;
}
forwarding-class nc-class {
loss-priority high code-points 110001;
}
}
}
interfaces {
ge-0/0/0 {
unit 0 {
classifiers {
dscp ba-classifier;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
分類子がインターフェイスに適用されていることを確認
目的
分類子が正しいインターフェイスに適用されていることを確認します。
アクション
動作モードから、 show class-of-service interface ge-0/0/0 コマンドを入力します。
user@host> show class-of-service interface ge-0/0/0 Physical interface: ge-0/0/0, Index: 144 Queues supported: 8, Queues in use: 4 Scheduled map: <default>, Index:2 Congestion-notification: Disabled LOgical interface: ge-1/0/3, Index: 333 Object Name Type Index Classifier v4-ba-classifier dscp 10755
意味
インターフェイスは想定どおりに設定されています。
例:vSRX仮想ファイアウォールインスタンスのPMIでの動作集約分類子の設定
この例では、vSRX仮想ファイアウォールインスタンスの動作集約(BA)分類子を設定して、PMI内のパケットの転送処理を決定する方法を示します。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
-
vSRX仮想ファイアウォールインスタンス。
-
Junos OSリリース19.4R1以降のリリース。
始める前に:
-
BA 分類子に設定したい各既知の DSCP にデフォルトで割り当てられている転送クラスと PLP を決定します。
概要
有効なDSCPを含むパケットを適切なキューに分類するようにBA分類子を設定します。設定が完了したら、BA 分類子を正しいインターフェイスに適用します。デフォルトのIP優先度分類子を上書きするには、分類子を定義し、それを論理インターフェイスに適用します。すべてのコード ポイント タイプに新しい分類子を定義するには、[edit class-of-service] 階層レベルに classifiers ステートメントを含めます。
この例では、DSCP BA分類子をデフォルトのDSCPマップとして ba-classifier に設定します。ベストエフォート(BE)転送クラスを be-class、優先転送(EF)クラスを ef-class、保証転送(AF)クラスを af-class、ネットワーク制御転送クラスを nc-classとして設定します。最後に、BA分類子をインターフェイスge-0/0/0に適用します。
表2は、BA分類子が4つの転送クラスの着信パケットに損失の優先度をどのように割り当てているかを示しています。
| マルチフィールド分類子フォワーディングクラス |
CoSトラフィックタイプの場合 |
BA 分類子の割り当て |
|---|---|---|
|
|
BEトラフィック |
優先度の高いコードポイント:000001 |
|
|
EFトラフィック |
優先度の高いコードポイント:101111 |
|
|
AFトラフィック |
優先度の高いコードポイント:001100 |
|
|
ネットワーク制御トラフィック |
優先度の高いコードポイント:110001 |
設定
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付けます。次に、改行を削除し、ネットワーク構成に合わせて詳細を調整します。コマンドを [edit] 階層レベルのCLIにコピーアンドペーストし、設定モードから commit を入力します。
set class-of-service classifiers dscp ba-classifier forwarding-class be loss-priority low code-points be set class-of-service classifiers dscp ba-classifier forwarding-class ef loss-priority low code-points ef set class-of-service classifiers dscp ba-classifier forwarding-class ef loss-priority high code-points af41 set class-of-service classifiers dscp ba-classifier forwarding-class ef loss-priority high code-points af11 set class-of-service classifiers dscp ba-classifier forwarding-class ef loss-priority high code-points af31 set class-of-service classifiers dscp ba-classifier forwarding-class low_delay loss-priority low code-points af21 set class-of-service classifiers dscp ba-classifier forwarding-class low_loss loss-priority low code-points cs6 set class-of-service drop-profiles drop_profile fill-level 20 drop-probability 50 set class-of-service drop-profiles drop_profile fill-level 50 drop-probability 100 set class-of-service forwarding-classes queue 0 be set class-of-service forwarding-classes queue 1 ef set class-of-service forwarding-classes queue 2 low_delay set class-of-service forwarding-classes queue 3 low_loss set class-of-service interfaces ge-0/0/1 unit 0 classifiers dscp ba-classifier set class-of-service interfaces ge-0/0/3 unit 0 scheduler-map SCHEDULER-MAP set class-of-service interfaces ge-0/0/3 unit 0 shaping-rate 2k set class-of-service scheduler-maps SCHEDULER-MAP forwarding-class ef scheduler voice set class-of-service schedulers voice buffer-size temporal 5k set class-of-service schedulers voice drop-profile-map loss-priority any protocol any drop-profile drop_profile
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
PMIでデバイスのBA分類子を設定するには:
CoSを設定します。
[edit] user@host# edit class-of-service
差別化されたサービスのBA分類子(DiffServ)CoSを設定します。
[edit class-of-service] user@host# edit classifiers dscp ba-classifier
BE転送クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class be loss-priority low code-points be
EF クラスの分類子を設定します。
[edit class-of-service classifiers dscp ba-classifier] user@host# set forwarding-class ef-class loss-priority low code-points ef user@host# set forwarding-class ef-class loss-priority high code-points af41 user@host# set forwarding-class ef-class loss-priority high code-points af11 user@host# set forwarding-class ef-class loss-priority high code-points af31 user@host# set forwarding-class low_delay loss-priority low code-points af21 user@host# set forwarding-class low_loss loss-priority low code-points cs6
ドロッププロファイルを設定します。
[edit class-of-service drop-profiles] user@host# set drop_profile fill-level 20 drop-probability 50 user@host# set drop_profile fill-level 50 drop-probability 100
転送クラスのキューを設定します。
[edit class-of-service forwarding-classes ] user@host# set queue 0 be user@host# set queue 1 ef user@host# set queue 2 low_delay user@host# set 3 low_loss
分類子をインターフェイスに適用します。
[edit class-of-service] user@host# set interfaces ge-0/0/1 unit 0 classifiers dscp ba-classifier user@host# set interfaces ge-0/0/3 unit 0 scheduler-map SCHEDULER-MAP user@host# set interfaces ge-0/0/3 unit 0 shaping-rate 2k
スケジューラを設定します。
[edit class-of-service] user@host# set scheduler-maps SCHEDULER-MAP forwarding-class ef scheduler voice user@host# set schedulers voice buffer-size temporal 5k user@host# set schedulers voice drop-profile-map loss-priority any protocol any drop-profile drop_profile
結果
設定モードから、 show class-of-service コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show class-of-service
classifiers {
dscp ba-classifier {
forwarding-class be {
loss-priority low code-points be;
}
forwarding-class ef {
loss-priority low code-points ef;
loss-priority high code-points [ af41 af11 af31 ];
}
forwarding-class low_delay {
loss-priority low code-points af21;
}
forwarding-class low_loss {
loss-priority low code-points cs6;
}
}
}
drop-profiles {
drop_profile {
fill-level 20 drop-probability 50;
fill-level 50 drop-probability 100;
}
}
forwarding-classes {
queue 0 be;
queue 1 ef;
queue 2 low_delay;
queue 3 low_loss;
}
interfaces {
ge-0/0/1 {
unit 0 {
classifiers {
dscp ba-classifier;
}
}
}
ge-0/0/3 {
unit 0 {
scheduler-map SCHEDULER-MAP;
shaping-rate 2k;
}
}
}
scheduler-maps {
SCHEDULER-MAP {
forwarding-class ef scheduler voice;
}
}
schedulers {
voice {
buffer-size temporal 5k;
drop-profile-map loss-priority any protocol any drop-profile drop_profile;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
インターフェイスへの分類子アプリケーションの検証
目的
分類子が正しく設定されていることを確認し、転送クラスの設定を確認します。
アクション
動作モードから、 show class-of-service forwarding-class コマンドを入力します。
user@host> show class-of-service forwarding-class Forwarding class ID Queue Restricted queue Fabric priority Policing priority SPU priority be 0 0 0 low normal low ef 1 1 1 low normal low low_delay 2 2 2 low normal low low_loss 3 3 3 low normal low
意味
出力は、構成されたカスタム分類子設定を示しています。
例:PMI でのマルチフィールド分類子のファイアウォール フィルターの設定と適用
この例では、PMIでDSCP値とマルチフィールド(MF)分類子を使用して、トラフィックを異なる転送クラスに分類するファイアウォールフィルターを設定する方法を示します。
分類子は、サービスクラス(CoS)に関心のあるパケットがインターフェイスに到着したときに検出します。MF分類子は、BA(Simple Behavior Aggregate)分類子ではパケットを分類するのに不十分な場合、ピアリングルーターにCoSビットのマークがない場合、またはピアリングルーターのマーキングが信頼できない場合に使用されます。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
SRXシリーズファイアウォール。
Junos OSリリース19.1R1以降のリリース。
始める前に:
MF 分類子に設定したい各既知の DSCP にデフォルトで割り当てられている転送クラスを決定します。 PowerMode IPsecを使用したIPsecパフォーマンスの向上を参照してください。
概要
この例では、ファイアウォールフィルター mf-classifierを設定する方法について説明します。MF分類子を設定するには、保証された転送トラフィッククラスを作成して名前を付け、一致条件を設定してから、宛先アドレスを192.168.44.55として指定します。DiffServトラフィックを確実に転送するための転送クラスを af-class として作成し、損失優先度を低に設定します。
この例では、優先転送トラフィッククラスを作成して名前を付け、優先転送トラフィッククラスの一致条件を設定します。宛先アドレスを192.168.66.77と指定します。 ef-class として DiffServ トラフィックを優先転送するための転送クラスを作成し、ポリサーを ef-policer に設定します。ネットワーク制御トラフィッククラスを作成して名前を付け、一致条件を設定します。
この例では、ネットワーク制御トラフィッククラスの転送クラスを作成し、 nc-class を作成し、ベストエフォートトラフィッククラスの転送クラスに be-classという名前を付けます。最後に、フィルターを必要とする各顧客向けまたはホスト向けに、マルチフィールド分類子ファイアウォールフィルターを入出力フィルターとして適用します。この例では、入力フィルターのインターフェイスはge-0/0/2で、出力フィルターのインターフェイスはge-0/0/4です。
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set firewall filter mf-classifier interface-specific set firewall filter mf-classifier term assured-forwarding from destination-address 192.168.44.55 set firewall filter mf-classifier term assured-forwarding then forwarding-class af-class set firewall filter mf-classifier term assured-forwarding then loss-priority low set firewall filter mf-classifier term expedited-forwarding from destination-address 192.168.66.77 set firewall filter mf-classifier term expedited-forwarding then forwarding-class ef-class set firewall filter mf-classifier term expedited-forwarding then policer ef-policer set firewall filter mf-classifier term network-control from precedence net-control set firewall filter mf-classifier term network-control then forwarding-class nc-class set firewall filter mf-classifier term best-effort then forwarding-class be-class set interfaces ge-0/0/2 unit 0 family inet filter input mf-classifier set interfaces ge-0/0/4 unit 0 family inet filter output mf-classifier
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
PMI内のデバイスのマルチフィールド分類子にファイアウォールフィルターを設定するには:
マルチフィールド分類子フィルターを作成し、名前を付けます。
[edit] user@host# edit firewall filter mf-classifier user@host# set interface-specific
保証転送トラフィッククラスの条件を作成し、名前を付けます。
[edit firewall filter mf-classifier] user@host# edit term assured-forwarding
保証された転送トラフィックの宛先アドレスを指定します。
[edit firewall filter mf-classifier term assured-forwarding] user@host# set from destination-address 192.168.44.55
転送クラスを作成し、保証された転送トラフィッククラスの損失優先度を設定します。
[edit firewall filter mf-classifier term assured-forwarding] user@host# set then forwarding-class af-class user@host# set then loss-priority low
優先転送トラフィッククラスの条件を作成し、名前を付けます。
[edit] user@host# edit firewall filter mf-classifier user@host# edit term expedited-forwarding
優先転送トラフィックの宛先アドレスを指定します。
[edit firewall filter mf-classifier term expedited-forwarding] user@host# set from destination-address 192.168.66.77
転送クラスを作成し、優先転送トラフィッククラスにポリサーを適用します。
[edit firewall filter mf-classifier term expedited-forwarding] user@host# set then forwarding-class ef-class user@host# set then policer ef-policer
ネットワーク制御トラフィッククラスの用語を作成し、名前を付けます。
[edit] user@host# edit firewall filter mf-classifier user@host# edit term network-control
ネットワーク制御トラフィッククラスの一致条件を作成します。
[edit firewall filter mf-classifier term network-control] user@host# set from precedence net-control
ネットワーク制御トラフィッククラスの転送クラスを作成し、名前を付けます。
[edit firewall filter mf-classifier term network-control] user@host# set then forwarding-class nc-class
ベストエフォート型トラフィッククラスの項を作成し、名前を付けます。
[edit] user@host# edit firewall filter mf-classifier user@host# edit term best-effort
ベストエフォート型トラフィッククラスの転送クラスを作成し、名前を付けます。
[edit firewall filter mf-classifier term best-effort] user@host# set then forwarding-class be-class
マルチフィールド分類子ファイアウォールフィルターを入力フィルターとして適用します。
[edit] user@host# set interfaces ge-0/0/2 unit 0 family inet filter input mf-classifier
マルチフィールド分類子ファイアウォールフィルターを出力フィルターとして適用します。
[edit] user@host# set interfaces ge-0/0/4 unit 0 family inet filter output mf-classifier
結果
設定モードから、 show firewall filter mf-classifier コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show firewall filter mf-classifier
interface-specific;
term assured-forwarding {
from {
destination-address {
192.168.44.55/32;
}
}
then {
loss-priority low;
forwarding-class af-class;
}
}
term expedited-forwarding {
from {
destination-address {
192.168.66.77/32;
}
}
then {
policer ef-policer;
forwarding-class ef-class;
}
}
term network-control {
from {
precedence net-control;
}
then forwarding-class nc-class;
}
term best-effort {
then forwarding-class be-class;
}
設定モードから、 show interfaces コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show show interfaces
ge-0/0/2 {
unit 0 {
family inet {
filter {
input mf-classifier;
}
}
}
}
ge-0/0/4 {
unit 0 {
family inet {
filter {
output mf-classifier;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
マルチフィールド分類子設定のファイアウォールフィルターの検証
目的
マルチフィールド分類子のファイアウォールフィルターがデバイス上で正しく設定されていることを確認し、転送クラスが正しく設定されていることを確認します。
アクション
設定モードから、 show class-of-service forwarding-class コマンドを入力します。
user@host> show class-of-service forwarding-class Forwarding class ID Queue Restricted queue Fabric priority Policing priority SPU priority BE-data 0 0 0 low normal low Premium-data 1 1 1 low normal low Voice 2 2 2 low normal low NC 3 3 3 low normal low
意味
出力は、構成されたカスタム分類子設定を示しています。
例: PMI のセキュリティ デバイス上の書き換えルールの設定と適用
この例では、PMIでデバイスの書き換えルールを設定して適用する方法を示しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
SRXシリーズファイアウォール。
Junos OSリリース19.1R1以降のリリース。
始める前に:
転送クラスを作成して設定します。 PowerMode IPsecを使用したIPsecパフォーマンスの向上を参照してください。
概要
この例では、顧客またはホストから受信したパケットのCoS値を他のSRXシリーズファイアウォールが予期する値に置き換える書き換えルールを設定する方法について説明します。受信したパケットにすでに有効なCoS値が含まれている場合は、書き換えルールを設定する必要はありません。書き換えルールは、デバイスが内部で使用する転送クラス情報とパケット損失の優先度を適用して、アウトバウンドパケットのCoS値を確立します。書き換えルールを設定した後、正しいインターフェイスに適用します。
この例では、DiffServの書き換えルールを rewrite-dscpsとしてCoS設定します。ベストエフォートフォワーディングクラスを be-classとして、優先フォワーディングクラスを ef-classとして、保証フォワーディングクラスを af-classとして、ネットワーク制御クラスを nc-classとして指定します。最後に、ge-0/0/0インターフェイスに書き換えルールを適用します。
設定
CLIクイックコンフィグレーション
この例をすばやく設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルでCLIにコピーアンドペーストして、設定モードから commit を入力します。
set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class be-class loss-priority low code-point 000000 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class be-class loss-priority high code-point 000001 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class ef-class loss-priority low code-point 101110 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class ef-class loss-priority high code-point 101111 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class af-class loss-priority low code-point 001010 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class af-class loss-priority high code-point 001100 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class nc-class loss-priority low code-point 110000 set class-of-service rewrite-rules dscp rewrite-dscps forwarding-class nc-class loss-priority high code-point 110001 set class-of-service interfaces ge-0/0/0 unit 0 rewrite-rules dscp rewrite-dscps
手順
ステップバイステップの手順
次の例では、設定階層のさまざまなレベルに移動する必要があります。その方法の詳細については、『Junos OS CLIユーザーガイド』の「 構成モードでのCLIエディターの使用 」を参照してください。
PMIでデバイスの書き換えルールを設定して適用するには:
DiffServ CoSの書き換えルールを設定します。
[edit] user@host# edit class-of-service user@host# edit rewrite-rules dscp rewrite-dscps
ベストエフォート転送クラスの書き換えルールを設定します。
[edit class-of-service rewrite-rules dscp rewrite-dscps] user@host# set forwarding-class be-class loss-priority low code-point 000000 user@host# set forwarding-class be-class loss-priority high code-point 000001
優先転送クラス書き換えルールを設定します。
[edit class-of-service rewrite-rules dscp rewrite-dscps] user@host# set forwarding-class ef-class loss-priority low code-point 101110 user@host# set forwarding-class ef-class loss-priority high code-point 101111
確実な転送クラス書き換えルールを設定します。
[edit class-of-service rewrite-rules dscp rewrite-dscps] user@host# set forwarding-class af-class loss-priority low code-point 001010 user@host# set forwarding-class af-class loss-priority high code-point 001100
ネットワーク制御クラスの書き換えルールを設定します。
[edit class-of-service rewrite-rules dscp rewrite-dscps] user@host# set forwarding-class nc-class loss-priority low code-point 110000 user@host# set forwarding-class nc-class loss-priority high code-point 110001
インターフェイスに書き換えルールを適用します。
[edit class-of-service] user@host# set interfaces ge-0/0/0 unit 0 rewrite-rules dscp rewrite-dscps
結果
設定モードから、 show class-of-service コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
[edit]
user@host# show class-of-service
interfaces {
ge-0/0/0 {
unit 0 {
rewrite-rules {
dscp rewrite-dscps;
}
}
}
}
rewrite-rules {
dscp rewrite-dscps {
forwarding-class be-class {
loss-priority low code-point 000000;
loss-priority high code-point 000001;
}
forwarding-class ef-class {
loss-priority low code-point 101110;
loss-priority high code-point 101111;
}
forwarding-class af-class {
loss-priority low code-point 001010;
loss-priority high code-point 001100;
}
forwarding-class nc-class {
loss-priority low code-point 110000;
loss-priority high code-point 110001;
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認するには、以下のタスクを実行します。
書き換えルール設定の検証
目的
書き換えルールが正しく設定されていることを確認します。
アクション
動作モードから、 show class-of-service コマンドを入力します。
user@host> show class-of-service Physical interface: ge-0/0/0, Index: 130 Maximum usable queues: 8, Queues in use: 4 Scheduled map: <default>, Index:2 Congestion-notification: Disabled LOgical interface: ge0/0/0, Index: 71 Object Name Type Index Classifier ipprec-compatibility ip 13
意味
ge-0/0/0インターフェイスで書き換えルールが予想通りに設定されています。
PMIでIPsec ESP認証専用モードを設定する
PMIでは、高いIPsecスループットパフォーマンスを達成するための新しいデータパスが導入されました。PMI モードでは、セキュリティ ペイロードのカプセル化(ESP)認証専用モードを使用できます。これにより、データ パケットを暗号化せずに、認証、整合性チェック、およびリプレイ保護が提供されます。
始める前に:
セッションが PMI 対応であることを確認します。 VPNセッションアフィニティ を参照してください。
ESP 認証のみモードを設定するには:
関連項目
プラットフォーム固有のPMIの動作
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。
詳細については、「 補足プラットフォーム情報 」セクションを参照してください。
お使いのプラットフォームに固有の動作を確認するには、以下の表を使用して下さい。
| プラットフォーム | 違い |
|---|---|
| MX-SPC3搭載MXシリーズ |
|
| SRXシリーズ |
|
補足プラットフォーム情報
機能エクスプローラーを使用して、特定の機能のプラットフォームとリリースのサポートを確認します。追加のプラットフォームがサポートされる場合があります。プラットフォームに関連する注意事項については、「プラットフォーム固有のPMI動作」セクションを参照してください。
| 機能 |
SRX4100SRX4200SRX4600SRX4700 |
SPC3搭載SRX5000ライン |
vSRX仮想ファイアウォール |
|---|---|---|---|
| PMIを有効または無効にした後に再起動が必要 |
はい |
いいえ |
Junos OSリリース19.2R1以降の場合はいいえ Junos OSリリース18.3R1の場合ははい |
| PMIサポート |
SRX1500 |
SRX1600SRX2300 |
SRX4100SRX4120 |
SRX4200SRX4600 |
SRX4300 |
SRX4700 |
SPC3搭載SRX5000ライン |
vSRX 3.0 |
|---|---|---|---|---|---|---|---|---|
| デフォルト |
NA |
23.4R1以降 |
SRX4100:21.3R1以降 SRX4120:25.2R1以降 |
21.3R1以降 |
24.2R1以降 |
24.4R1-S2以降 |
21.3R1以降 |
21.3R1以降 |
| オプション |
NA |
NA |
SRX4100:19.1R1以降 |
SRX4600:20.4R1以降 SRX4200:19.1R1以降 |
NA |
NA |
19.1R1以降 |
20.1R1以降 |
変更履歴テーブル
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がお使いのプラットフォームでサポートされているかどうかを確認します。