Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

レイヤー3 VPN上のIPv4トラフィック

レイヤー3 VPNにおけるIPv4ルート分布の理解

VPN 内では、VPN-IPv4 ルートの配信は PE ルーターと CE ルーター間、および PE ルーター間で行われます( 図 1 を参照)。

図 1: VPN Network topology diagram of MPLS VPN showing connections between Customer Edge routers, Provider Edge routers, and Provider routers.内のルート分散

このセクションでは、以下のトピックについて説明します。

CE ルーターから PE ルーターへのルートの分散

CEルーターは、直接接続されたPEルーターにそのルートをアナウンスします。アナウンスされたルートは IPv4 形式です。PE ルーターは、VPN の VRF テーブルにルートを配置します。Junos OSでは、これは routing-instance-name.inet.0 ルーティングテーブルで、 routing-instance-name は VPN の設定済み名です。

CE ルーターと PE ルーター間の接続には、リモート接続(WAN 接続)または直接接続(フレーム リレーやイーサネット接続など)があります。

CE ルーターは、次のいずれかを使用して PE ルーターと通信できます。

  • OSPF

  • 裂け目

  • BGP

  • 静的ルート

図 2 は、CE ルーターから PE ルーターにルートがどのように分配されるかを示しています。ルーターPE1は、異なるVPNにある2つのCEルーターに接続されています。そのため、VPN ごとに 1 つずつ、合計 2 つの VRF テーブルが作成されます。CE ルーターは IPv4 ルートをアナウンスします。PE ルーターは、これらのルートを 2 つの異なる VRF テーブル(VPN ごとに 1 つ)にインストールします。同様に、ルーターPE2は、2つの直接接続されたCEルーターからルートがインストールされる2つのVRFテーブルを作成します。ルーターPE3は、1つのVPNにのみ直接接続されているため、1つのVRFテーブルを作成します。

図 2:CE ルーターから PE ルーターへのルートの分布 VPN network diagram showing CE routers at customer sites, PE routers connecting to provider network, and P routers in provider core network facilitating data routing.

PEルーター間のルートの分散

1 つの PE ルーターが、直接接続された CE ルーターからアドバタイズされたルートを受信すると、受信したルートをその VPN の VRF エクスポート ポリシーと照合します。一致すると、ルートはVPN-IPv4形式に変換されます。つまり、8バイトのルート識別器が、4バイトのVPNプレフィックスの先頭に付加されて、12バイトのVPN-IPv4アドレスを形成します。そして、ルートにはルートターゲットコミュニティーのタグが付けられます。PE ルーターは、VRF インポート ポリシーで使用するために、リモート PE ルーターに VPN-IPv4 形式でルートを通知します。ルートは、プロバイダーのコア ネットワークで設定された IBGP セッションを使用して配信されます。ルートが一致しない場合、他の PE ルーターにはエクスポートされませんが、たとえば、同じ VPN 内の 2 つの CE ルーターが同じ PE ルーターに直接接続されている場合など、ルーティングにローカルで使用できます。

リモート PE ルーターは、PE ルーター間の IBGP セッションでインポート ポリシーをパスする場合、ルートを bgp.l3vpn.0 テーブルに配置します。同時に、VPNのVRFインポートポリシーと照らし合わせてルートをチェックします。一致する場合、ルート識別子はルートから削除され、IPv4 形式で VRF テーブル( routing-instance-name.inet.0 テーブル)に配置されます。

図 3 は、ルーター PE1 がプロバイダーのコア ネットワーク内の他の PE ルーターにルートを配布する方法を示しています。ルーターPE2とルーターPE3には、それぞれ、IBGPセッションで受信したルートを受け入れてVRFテーブルにインストールするかどうかを決定するために使用するVRFインポートポリシーがあります。

図 3:PE ルーター間のルートの分散 Network topology diagram of MPLS VPN showing connections between CE, PE, and P routers, illustrating site connectivity and routing in enterprise networks.

PEルーターは、直接接続されたCEルーター( 図3のルーターPE1)からアドバタイズされたルートを受信すると、次の手順を使用してルートを調べ、VPNルートに変換し、リモートPEルーターに配布します。

  1. PE ルーターは、その VPN の VRF エクスポート ポリシーを使用して、受信したルートを確認します。

  2. 受信したルートがエクスポート・ポリシーに一致する場合、ルートは以下のように処理されます。

    1. ルートは VPN-IPv4 形式に変換されます。つまり、8 バイトのルート識別素が 4 バイトの VPN プレフィックスの先頭に付加されて、12 バイトの VPN-IPv4 アドレスが形成されます。

    2. ルートターゲットコミュニティがルートに追加されます。

    3. PE ルーターは、リモート PE ルーターに VPN-IPv4 形式でルートをアドバタイズします。ルートは、プロバイダーのコア ネットワークで設定された IBGP セッションを使用して配信されます。

  3. ルートがエクスポート ポリシーに一致しない場合、リモート PE ルーターにはエクスポートされませんが、ルーティングにローカルで使用できます。たとえば、同じ VPN 内の 2 つの CE ルーターが同じ PE ルーターに直接接続されている場合などです。

リモート PE ルーターが別の PE ルーター( 図 3 のルーター PE2 と PE3)からアドバタイズされたルートを受信すると、次の手順を使用してルートを処理します。

  1. PE ルーター間の IBGP セッションのインポート ポリシーでルートが受け入れられた場合、リモート PE ルーターはそのルートを bgp.l3vpn.0 テーブルに配置します。

  2. リモート PE ルーターは、ルートのルート ターゲット コミュニティを VPN の VRF インポート ポリシーに照らしてチェックします。

  3. 一致した場合、ルート識別子はルートから削除され、IPv4 形式で VRF テーブル( routing-instance-name.inet.0 テーブル)に配置されます。

PE から CE ルーターへのルートの分散

リモート PE ルーターは、IPv4 形式の VRF テーブル内のルートを、直接接続された CE ルーターに通知します。

PEルーターは、以下のルーティングプロトコルのいずれかを使用してCEルーターと通信できます:

  • OSPF

  • 裂け目

  • BGP

  • 静的ルート

図 4 は、3 台の PE ルーターが接続された CE ルーターにルートを通知する様子を示しています。

図 4:PE ルーターから CE ルーターへのルートの分布 Network topology diagram showing MPLS VPN with connectivity between Customer Edge CE routers, Provider Edge PE routers, and core Provider P routers.

VPN-IPv4アドレスとルート識別素について

レイヤー3 VPNは、パブリック・インターネット・インフラストラクチャを介してプライベート・ネットワーク(RFC 1918(プライベート・インターネットのアドレス割り当て)で定義されているように、パブリック・アドレスまたはプライベート・アドレスのいずれかを使用できます)をパブリック・インターネット・インフラストラクチャ上で接続するため、プライベート・ネットワークでプライベート・アドレスを使用すると、そのアドレスが別のプライベート・ネットワークのアドレスと重複する可能性があります。

図 5 は、異なるプライベート ネットワークのプライベート アドレスが重複する方法を示しています。ここでは、VPN A と VPN B 内のサイトは、プライベート ネットワークにアドレス空間 10.1.0.0/16、10.2.0.0/16、および 10.3.0.0/16 を使用しています。

図5:異なるVPN間で重複するアドレス MPLS VPN architecture diagram shows CE routers connecting VPN A and VPN B sites to PE routers in the provider's MPLS network with P routers interconnecting them.

プライベートアドレスの重複を避けるために、プライベートアドレスの代わりにパブリックアドレスを使用するようにネットワークデバイスを設定できます。しかし、これは大規模で複雑な事業です。RFC 4364 で提供されているソリューションは、既存のプライベート ネットワーク番号を使用して、曖昧さのない新しいアドレスを作成します。新しいアドレスは、BGPプロトコルに拡張として追加されたBGPアドレスファミリーであるVPN-IPv4アドレスファミリーの一部です。VPN-IPv4アドレスでは、ルート識別子と呼ばれるVPNを識別する値がプライベートIPv4アドレスのプレフィックスに付加され、プライベートIPv4アドレスを一意に識別するアドレスを提供します。

BGP への VPN-IPv4 アドレス拡張をサポートする必要があるのは、PE ルーターだけです。イングレスPEルーターは、VPN内のデバイスからIPv4ルートを受信すると、ルートにルート識別プレフィックスを追加することで、それをVPN-IPv4ルートに変換します。VPN-IPv4アドレスは、PEルーター間で交換されるルートにのみ使用されます。エグレスPEルーターがVPN-IPv4ルートを受信すると、ルートの識別を削除してVPN-IPv4ルートをIPv4ルートに変換し直してから、接続されたCEルーターにルートを通知します。

VPN-IPv4アドレスの形式は次のとおりです。

  • ルート識別子は、以下のいずれかの形式で指定できる 6 バイト値です。

    • as-number : number 、 as-number はAS番号(2バイト値)、 number は任意の4バイト値です。AS番号の範囲は1〜65,535です。IANA(IANA)によって割り当てられた非プライベートAS番号を使用することが推奨されます。好ましいのは、インターネットサービスプロバイダ(ISP)自身のものまたはお客様自身のAS番号です。

    • ip-address : number 、 ip-address は IP アドレス(4 バイト値)、 number は任意の 2 バイト値です。IP アドレスには、グローバルに一意なユニキャスト アドレスを指定できます。router-id ステートメントで設定するアドレスは、割り当てられたプレフィックス範囲内の非プライベートアドレスを使用することを推奨します。

  • IPv4 アドレス—VPN 内のデバイスの 4 バイト アドレス。

図5は、ルート識別でAS番号を使用する方法を示しています。VPN AがAS 65535に、VPN BがAS 666にある(これらのAS番号は両方ともISPに属している)と仮定し、VPN Aのサイト2のルート識別子が65535:02で、VPN Bのサイト2のルート識別子が666:02であるとします。ルーターPE2は、VPN AのCEルーターからルートを受信すると、それをIPアドレス10.2.0.0からVPN-IPv4アドレス65535:02:10.2.0.0に変換します。PE ルーターは、VPN A と同じアドレス空間を使用するルートを VPN B から受信すると、それを VPN-IPv4 アドレス 666:02:10.2.0.0 に変換します。

IPアドレスがルート識別子で使用されている場合、ルーターPE2のIPアドレスが172.168.0.1であるとします。PEルーターは、VPN Aからルートを受信すると、それを172.168.0.1:0:10.2.0.0/16のVPN-IPv4アドレスに変換し、VPN Bから172.168.0.0:1:10.2.0.0/16にルートを変換します。

ルート識別は、異なる VPN からの IPv4 アドレスへの PE ルーター間でのみ使用されます。イングレスPEルーターはルート識別子を作成し、CEルーターから受信したIPv4ルートをVPN-IPv4アドレスに変換します。エグレスPEルーターは、VPN-IPv4ルートをCEルーターに通知する前にIPv4ルートに変換します。

VPN-IPv4 アドレスは BGP アドレスの一種であるため、PE ルーターがプロバイダーのコア ネットワーク内で VPN-IPv4 ルートを配信できるように、PE ルーターのペア間で IBGP セッションを設定する必要があります。(すべてのPEルーターが同じAS内にあるものとみなします。)

BGPコミュニティを定義して、PEルーター間のルートの分配を制限します。BGPコミュニティーを定義しても、それだけではIPv4アドレスは区別されません。

図 6 は、ルーター PE1 が VPN A のサイト 1 で CE ルーターから受信したルートにルート識別 10458:22:10.1/16 を追加し、これらのルートを他の 2 つの PE ルーターに転送する方法を示しています。同様に、ルーターPE1は、VPN Bのサイト1でCEルーターが受信したルートにルート識別10458:23:10.2/16を追加し、これらのルートを他のPEルーターに転送します。

図 6: ルート識別Network topology diagram for MPLS VPN showing CE devices connecting to PE routers within a provider's MPLS network. Includes multiple VPN sites and IP address ranges for secure communication.

レイヤー3 VPNのIPv4パケット転送の設定

レイヤー 2 およびレイヤー 3 VPN の IPv4 トラフィックのパケット転送をサポートするようにルーターを設定できます。 パケット転送は、設定されたヘルパーサービスの種類に応じて、以下のいずれかの方法で処理されます。

  • BOOTPサービス—クライアントは、BOOTPサービスで構成されたルーターを介して、指定されたルーティング インスタンスのサーバーにブートストラッププロトコル(BOOTP)要求を送信します。サーバーはクライアントアドレスを認識し、BOOTPサービスで構成されたルーターに応答を送り返します。このルーターは、指定されたルーティング インスタンス内の正しいクライアント アドレスに応答を転送します。

  • その他のサービス—クライアントは、サービスで構成されたルーターを介して、指定されたルーティング インスタンスのサーバーにリクエストを送信します。サーバーはクライアントアドレスを認識し、指定されたルーティング インスタンス内の正しいクライアントアドレスに応答を送信します。

VPNのパケット転送を有効にするには、 helpers ステートメントを含めます。

以下の階層レベルでこのステートメントを使用することができます。

  • [edit forwarding-options]

  • [edit logical-systems logical-system-name forwarding-options]

  • [edit routing-instances routing-instance-name forwarding-options]

    手記：

    複数のVPNのパケット転送を有効にできます。ただし、クライアントとサーバーは同じ VPN 内に存在する必要があります。クライアントとサーバー間のパスに沿ってパケット転送が有効になっているジュニパーネットワークスのルーティングプラットフォームも、同じVPN内に存在する必要があります。

アドレスとルーティング インスタンスが一緒になって、一意のサーバーを構成します。これは、複数のサーバーを受け入れることができる BOOTP サービスで構成されたルーターに影響を及ぼします。

たとえば、BOOTP サービスは次のように構成できます。

アドレスは同一でもルーティングインスタンスは異なります。instance-A の BOOTP サービスのために着信したパケットは、instance-A ルーティング インスタンスの 10.2.3.4 に転送され、instance-B に着信したパケットは、instance-B ルーティング インスタンスに転送されます。他のサービスは 1 台のサーバーしか受け入れられないため、このような場合はこの構成は適用されません。

例:基本的な MPLS ベースのレイヤー 3 VPN の設定

この例では、Junos OS を実行しているルーターまたはスイッチ上で、基本的な MPLS ベースのレイヤー 3 VPN を設定および検証する方法を示します。IPv4ベースの例では、プロバイダーとカスタマーエッジデバイス間のルーティングプロトコルとしてEBGPを使用しています。

手記：

この例は、当社のコンテンツテスト チームが検証し、更新したものです。

Junos OSが動作するルーターとスイッチを使用して、MPLSベースのレイヤー3仮想プライベートネットワーク(VPN)を導入し、レイヤー3接続で顧客サイトを相互接続することができます。静的ルーティングもサポートされていますが、レイヤー3 VPNでは通常、顧客デバイスがプロバイダネットワークとルーティング情報を交換するため、IPプロトコル(IPv4/IPv6)をサポートする必要があります。

これは、レイヤー2 VPNとは対照的です。レイヤー2VPNでは、お客様のデバイスがIPプロトコルに基づいていない場合や、ルーティング(あった場合)はお客様のエッジ(CE)デバイス間で発生します。CE デバイスがプロバイダ エッジ デバイスと対話(ピア)するレイヤ 3 VPN とは異なり、レイヤ 2 VPN では、カスタマー トラフィックは CE デバイス間でエンドツーエンドで実行されているルーティング プロトコルを使用して、プロバイダ コアを透過的に通過します。

MPLS ベースの VPN には、プロバイダー ネットワークにおけるベースライン MPLS 機能が必要です。基本的なMPLSが運用可能になると、プロバイダーコアを介したトランスポートにラベルスイッチパス(LSP)を使用するVPNを設定することができます。

VPN サービスを追加しても、プロバイダ ネットワークでの基本的な MPLS スイッチング動作には影響しません。実際、プロバイダー(P)デバイスは VPN を認識していないため、ベースライン MPLS 設定のみを必要とします。VPN 状態は、プロバイダー エッジ(PE)デバイスでのみ維持されます。これが、MPLSベースのVPNが優れた拡張性を発揮する主な理由です。

必要条件

この例では、以下のソフトウェアおよびハードウェアコンポーネントを使用しています:

  • ルーティングおよびスイッチング デバイス向けの Junos OS リリース 12.3 以降

    • Junos OSリリース20.3R1で再検証

  • 2 台のプロバイダ エッジ(PE)デバイス

  • 1つのプロバイダー(P)デバイス

  • 2つのカスタマーエッジ(CE)デバイス

この例では、既存の MPLS ベースラインにレイヤー 3 VPN を追加する方法に焦点を当てています。ネットワークに MPLS がまだ導入されていない場合に備えて、基本的な MPLS 設定が提供されます。

MPLS ベースの VPN をサポートするには、基盤となる MPLS ベースラインが以下の機能を備えている必要があります。

  • MPLSファミリーに対応したコアフェーシングおよびループバックインターフェイスをサポート

  • プロバイダ(PおよびPE)デバイスのループバックアドレス間の到達性を提供する、OSPF や IS-IS などの内部ゲートウェイプロトコル

  • LSP に信号を送るための LDP や RSVP などの MPLS シグナリング プロトコル

  • PEデバイスループバックアドレス間に確立されたLSP

LSP は、特定の VPN に参加する PE デバイスの各ペア間に必要です。将来のVPNの成長に対応するために、すべてのPEデバイス間にLSPを構築するのは良い考えです。LSPは [edit protocols mpls] 階層レベルで設定します。CCC(回線クロスコネクト)接続のMPLS設定とは異なり、LSPをPEデバイスの顧客向け(エッジ)インターフェイスに手動で関連付ける必要はありません。代わりに、レイヤー3VPNはBGPシグナリングを使用してサイトの到達可能性をアドバタイズします。このBGPシグナリングは、LSP転送ネクストホップへのリモートVPNサイトのマッピングを自動化します。つまり、レイヤー 3 VPN では、LSP を PE デバイスのエッジに面したインターフェイスに明示的にマッピングする必要はありません。

概要とトポロジー

レイヤー3VPNにより、お客様はサービスプロバイダの技術的専門知識を活用して、効率的なサイトツーサイトルーティングを確保することができます。CE(カスタマーエッジ)デバイスは通常、BGPやOSPFなどのルーティングプロトコルを使用して、サービスプロバイダエッジ(PE)デバイスとルートを交換します。スタティック ルーティングはレイヤー 3 VPN でサポートされていますが、一般的には動的ルーティング プロトコルが好まれます。

VPN の定義には、ローカルおよびリモートの PE デバイスへの変更のみが含まれます。プロバイダーデバイスは基本的なMPLSスイッチング機能しか提供しないため、(すでに稼働しているMPLSベースラインがあることが前提)追加の設定は必要ありません。CE デバイスは MPLS を使用せず、PE デバイスと対話できるように、基本的なインターフェイスとルーティング プロトコルの設定のみを必要とします。

レイヤー 3 VPN では、ローカル PE デバイスとピアリングするように CE デバイスを設定します。これとは対照的です。レイヤー2 VPNでは、CEデバイスはMPLSベースのプロバイダコアを介して接続されているにもかかわらず、あたかも共有リンク上にあるかのようにピアリングします。

MPLS ベースラインを設定したら、MPLS ベースのレイヤー 3 VPN を確立するために、PE デバイスで次の機能を構成する必要があります。

  • family inet-vpn unicastをサポートするBGPグループ

  • インスタンス・タイプが vrf のルーティング インスタンスと、接続された CE 装置と互換性のあるルーティング・プロトコル定義

  • family inetで設定されたPEデバイス上の顧客向けインターフェイスと、接続されたCEデバイスと同じサブネットにインターフェイスを配置するIPv4アドレス。必要に応じて、VLANカプセル化と対応するVLAN IDも設定できます。

適切なエンドツーエンド接続のためには、PEデバイスとのピアリングをサポートするために、互換性のあるIPサブネットおよびルーティングプロトコルパラメータを使用してCEデバイスを設定する必要があります。

図 7 は、この例で使用されているトポロジーを示しています。この図は、プロバイダーとカスタマーのネットワークで使用されるインターフェイス名、IPアドレッシング、ルーティングプロトコルを詳細に示しています。また、CE デバイスと PE デバイス間のピアリング関係も強調しています。この例では、各CEデバイスがローカルPEデバイス への EBGPピアリングセッションを形成することを想定しています。なお、プロバイダネットワークと両方のカスタマーサイトには、BGP動作をサポートするための自律システム番号が割り当てられています。この例では、ルーティングポリシーが CE デバイスで適用され、プロバイダ向けインターフェイスおよびループバック インターフェイスの直接ルートをアドバタイズするようになっています。

図 7: EBGP を PE-CE ルーティング プロトコルとする MPLS ベースのレイヤー 3 VPN An MPLS-Based Layer 3 VPN with EBGP as the PE-CE Routing Protocol

クイックコンフィグレーション

このセクションの設定を使用して、MPLS ベースのレイヤー 3 VPN を迅速に稼働させることができます。設定には、レイヤー3 VPNをサポートする機能するMPLSベースラインが含まれています。この例では、設定のVPNの側面に焦点を当てています。この例で使用されているベースライン MPLS 機能の詳細については、以下のリンクを参照してください。

CLIクイック構成

手記：

デバイスの設定では、管理インターフェイス、静的ルート、システム ログ、システム サービス、およびユーザー ログイン情報が省略されます。設定のこれらの部分は場所によって異なり、MPLS や VPN 機能とは直接関係ありません。

ご使用の環境に合わせて必要に応じて以下のコマンドを編集し、 [edit] 階層の設定モードでローカル CE(CE1)デバイス端末ウィンドウに貼り付けます。

CE1デバイスの完全な設定。

PE1デバイスの完全な設定。

P デバイスの完全な設定。

PE2 デバイスの完全な設定。

CE2デバイスの完全な設定。

作業に満足したら、必ずすべてのデバイスで設定変更をコミットしてください。新しいMPLSベースのレイヤー3VPNのリリースおめでとうございます!レイヤー 3 VPN が期待どおりに動作していることを確認するために必要な手順については、「 検証 」セクションを参照してください。

MPLS ベースのレイヤー 3 VPN 用のローカル PE(PE1)デバイスの設定

このセクションでは、この例で PE1 デバイスを設定するために必要な手順について説明します。PEデバイスに焦点が当てられているのは、そこにvpnが格納されているからです。この例で使用されている CE デバイスおよび P デバイスの設定については、「 クイック設定 」セクションを参照してください。

MPLS ベースラインを設定します(必要な場合)。

レイヤー 3 VPN を設定する前に、PE デバイスに有効な MPLS ベースラインがあることを確認してください。すでに MPLS ベースラインがある場合は、レイヤ 3 VPN を PE デバイスに追加するためのステップバイステップの手順に進むことができます。

  • ホスト名を設定します。

  • コア インターフェイスとループバック インターフェイスを設定します。

    ベスト プラクティス:

    レイヤ 3 VPN はイングレス PE でフラグメンテーションを実行できますが、CE がフラグメント化を必要とせずに最大サイズのフレームを送信できるようにネットワークを設計するのがベスト プラクティスです。フラグメンテーションが発生しないようにするには、プロバイダー ネットワークは、MPLS および VRF(仮想ルーティングおよび転送)ラベルが PE デバイスによって追加された 後に CE デバイスが生成できる最大のフレームをサポートする必要があります。この例では、CE デバイスをデフォルトの 1500 バイトの最大送信単位(MTU)のままにし、プロバイダ コアが 4000 バイトの MTU をサポートするように設定します。これにより、MPLS および VRF カプセル化のオーバーヘッドがあっても、CE デバイスがプロバイダーのネットワークの MTU を超えることはありません。

  • プロトコルを設定します。

    手記：

    トラフィックエンジニアリングは、RSVP シグナル化された LSP でサポートされていますが、基本的な MPLS スイッチングや VPN 導入に必須ではありません。提供される MPLS ベースラインは、RSVP を使用して LSP にシグナリングし、OSPF のトラフィック制御を可能にします。ただし、パス制約は設定されていないため、LSPは内部ゲートウェイプロトコルの最短パスでルーティングされることが想定されます。

  • LSP をリモート PE デバイスのループバックアドレスに定義します。

これで MPLS ベースラインが PE1 デバイスで設定されました。引き続きレイヤー3 VPNを構成します

プロシージャ

手順

以下の手順に従って、レイヤー 3 VPN の PE1 デバイスを設定します。

  1. 顧客向けインターフェイスを設定します。

    先端：

    MPLS ベースのレイヤー 2 VPN と MPLS ベースのレイヤー 3 VPN の両方を同じ PE デバイス上で設定できます。ただし、レイヤー2 VPNとレイヤー3 VPNの両方をサポートするように、同じカスタマーエッジ向けインターフェイスを設定することはできません。

  2. ローカルとリモートの PE デバイス間のピアリングに BGP グループを設定します。PE デバイスのループバック アドレスをローカル アドレスとして使用し、 inet-vpn unicast アドレス ファミリーがレイヤー 3 VPN ルート交換をサポートできるようにします。この例では、PE デバイスでは BGP のルーティングポリシーは必要ありません。デフォルトでは、PEデバイスは、CEデバイスへのEBGPピアリングを介して学習したルートをIBGPに再アドバタイズします。

    先端：

    PE から PE への IBGP セッションが、それぞれ inet または inet6 ファミリーを使用した通常の IPv4 または IPv6 ルートなど、非 VPN ルート交換をサポートする必要がある場合、他のアドレス ファミリーを指定できます。

  3. BGP グループ タイプを内部として構成します。

  4. リモート PE デバイスのループバック アドレスを BGP ネイバーとして設定します。

  5. ルーターIDをループバックアドレスと一致するように設定し、BGPピアリングに必要なBGP自律システム番号を定義します。

  6. ルーティング インスタンスを設定します。インスタンス名に CE1_L3vpn を指定し、 instance-type に vrf を設定します。

  7. PE デバイスの顧客向けインターフェイスを、ルーティング インスタンスに属するように設定します。

  8. ルーティング インスタンスのルート識別子を設定します。この設定は、特定の PE デバイス上の特定の VRF から送信されたルートを区別するために使用されます。これは、各 PE デバイスの各ルーティング インスタンスに固有である必要があります。

  9. インスタンスの仮想ルーティングおよび転送(VRF)テーブルのルートターゲットを設定します。 vrf-target ステートメントは、指定されたコミュニティタグをアドバタイズされたすべてのルートに追加し、ルートインポートでも同じ値を自動的にマッチングさせます。適切なルート交換を行うためには、特定のVPNを共有するPEデバイス上で一致するルートターゲットを設定する必要があります。

    手記：

    インポートおよびエクスポート オプションを使用して VRF インポートおよびエクスポート ポリシーを明示的に設定することで、より複雑なポリシーを作成できます。詳細については、「 vrf-import 」と 「vrf-export 」を参照してください。

  10. CE1デバイスへのEBGPピアリングをサポートするようにルーティング インスタンスを設定します。VRFリンクのCE1エンドへの直接インターフェイスピアリングが使用され、CE1の自律システム番号が peer-as パラメータで正しく指定されます。

  11. PE1デバイスで変更をコミットし、CLI運用モードに戻ります。

業績

PE1デバイスでの設定の結果を表示します。出力には、この例で追加された機能設定のみが反映されます。

MPLS ベースのレイヤー 3 VPN 用のリモート PE(PE2)デバイスの設定

このセクションでは、この例で PE1 デバイスを設定するために必要な手順について説明します。PEデバイスに焦点が当てられているのは、そこにvpnが格納されているからです。この例で使用されている CE デバイスおよび P デバイスの設定については、「 クイック設定 」セクションを参照してください。

MPLS ベースラインを設定します(必要な場合)。

レイヤー 3 VPN を設定する前に、PE デバイスに有効な MPLS ベースラインがあることを確認してください。すでに MPLS ベースラインがある場合は、レイヤ 3 VPN を PE デバイスに追加するためのステップバイステップの手順に進むことができます。

  • ホスト名を設定します。

  • コア インターフェイスとループバック インターフェイスを設定します。

    ベスト プラクティス:

    レイヤ 3 VPN はイングレス PE でフラグメンテーションを実行できますが、CE がフラグメント化を必要とせずに最大サイズのフレームを送信できるようにネットワークを設計するのがベスト プラクティスです。フラグメンテーションが発生しないようにするには、プロバイダー ネットワークは、MPLS および VRF(仮想ルーティングおよび転送)ラベルが PE デバイスによって追加された 後に CE デバイスが生成できる最大のフレームをサポートする必要があります。この例では、CE デバイスをデフォルトの 1500 バイトの最大送信単位(MTU)のままにし、プロバイダ コアが 4000 バイトの MTU をサポートするように設定します。これにより、MPLS および VRF カプセル化のオーバーヘッドがあっても、CE デバイスがプロバイダーのネットワークの MTU を超えることはありません。

  • プロトコルを設定します。

    手記：

    トラフィックエンジニアリングは、RSVP シグナル化された LSP でサポートされていますが、基本的な MPLS スイッチングや VPN 導入に必須ではありません。提供される MPLS ベースラインは、RSVP を使用して LSP にシグナリングし、OSPF のトラフィック制御を可能にします。ただし、パス制約は設定されていないため、LSPは内部ゲートウェイプロトコルの最短パスでルーティングされることが想定されます。

  • LSP をリモート PE デバイスのループバックアドレスに定義します。

これで MPLS ベースラインが PE1 デバイスで設定されました。引き続きレイヤー3 VPNを構成します

プロシージャ

手順

以下の手順に従って、レイヤー 3 VPN の PE2 デバイスを設定します。

  1. 顧客向けインターフェイスを設定します。

    先端：

    MPLS ベースのレイヤー 2 VPN と MPLS ベースのレイヤー 3 VPN の両方を同じ PE デバイス上で設定できます。ただし、レイヤー2 VPNとレイヤー3 VPNの両方をサポートするように、同じカスタマーエッジ向けインターフェイスを設定することはできません。

  2. ローカルとリモートの PE デバイス間のピアリングに BGP グループを設定します。PE デバイスのループバック アドレスをローカル アドレスとして使用し、 inet-vpn unicast アドレス ファミリーがレイヤー 3 VPN ルート交換をサポートできるようにします。

    先端：

    PE から PE への IBGP セッションが、それぞれ inet または inet6 ファミリーを使用した通常の IPv4 または IPv6 ルートなど、非 VPN ルート交換をサポートする必要がある場合、他のアドレス ファミリーを指定できます。

  3. BGP グループ タイプを内部として構成します。

  4. PE1デバイスのループバックアドレスをBGPネイバーとして設定します。

  5. ルーターIDがループバックアドレスと一致するように設定し、BGP自律システム番号を定義します。

  6. ルーティング インスタンスを設定します。インスタンス名に CE2_L3vpn、 instance-type に vrf を指定します。

  7. PE デバイスの顧客向けインターフェイスを、ルーティング インスタンスに属するように設定します。

  8. ルーティング インスタンスのルート識別子を設定します。この設定は、特定の PE デバイス上の特定の VRF から送信されたルートを区別するために使用されます。これは、各 PE デバイスの各ルーティング インスタンスに固有である必要があります。

  9. インスタンスの仮想ルーティングおよび転送(VRF)テーブルのルートターゲットを設定します。 vrf-target ステートメントは、指定されたコミュニティタグをアドバタイズされたすべてのルートに追加し、ルートインポートでも同じ値を自動的にマッチングさせます。適切なルート交換を行うためには、特定のVPNを共有するPEデバイス上で一致するルートターゲットを設定する必要があります。

    手記：

    インポートおよびエクスポート オプションを使用して VRF インポートおよびエクスポート ポリシーを明示的に設定することで、より複雑なポリシーを作成できます。詳細については、「 vrf-import 」と 「vrf-export 」を参照してください。

  10. CE2デバイスへのEBGPピアリングをサポートするようにルーティング インスタンスを設定します。VRFリンクのCE2エンドへの直接インターフェイスピアリングが使用され、CE2の自律システム番号が peer-as パラメータで正しく指定されます。

  11. PE2デバイスで変更をコミットし、CLI操作モードに戻ります。

業績

PE2 デバイスでの設定の結果を表示します。出力には、この例で追加された機能設定のみが反映されます。

検証

以下のタスクを実行して、MPLS ベースのレイヤー 3 VPN が正常に動作することを確認します。

プロバイダOSPF隣接関係とルート交換の確認

目的

隣接関係ステータスとOSPFが学習したリモートプロバイダーデバイスのループバックアドレスへのルートを確認して、プロバイダーネットワークでOSPFプロトコルが正しく動作していることを確認します。MPLS LSP の確立には、適切な IGP 運用が不可欠です。

アクション
意味

出力では、PE1 デバイスが P デバイス(192.168.0.2)に対して OSPF 隣接関係を確立したことを示しています。また、P およびリモート PE デバイスのループバック アドレス(192.168.0.2)および(192.168.0.3)が、ローカル PE デバイスの OSPF を介して正しく学習されていることも示しています。

MPLSおよびRSVPインターフェイス設定の確認

目的

RSVPおよびMPLSプロトコルがPEデバイスのコアに面したインターフェイスで動作するように設定されていることを確認します。また、このステップでは、PE デバイスのコアに面するインターフェイスのユニット レベルで family mpls が正しく設定されていることを確認します。

アクション
意味

出力からは、MPLS と RSVP がローカル PE デバイスのコアおよびループバック インターフェイスで正しく設定されていることがわかります。

RSVP シグナル化 LSP の検証

目的

RSVP シグナリングされたイングレスおよびエグレス LSP が、PE デバイスのループバック アドレス間で正しく確立されていることを確認します。

アクション
意味

出力は、イングレスとエグレスの両方の RSVP セッションが PE デバイス間で正しく確立されていることを示しています。LSPの確立に成功した場合は、MPLSベースラインが稼働していることを示します。

BGP セッション ステータスの検証

目的

PE デバイス間の IBGP セッションが、レイヤー 3 VPN ネットワーク層到達可能性情報(NLRI)のサポートにより正しく確立されていることを確認します。このステップでは、ローカル PE から CE への EBGP セッションが確立され、IPv4 ルートを交換するように正しく設定されていることも確認します。

アクション
意味

出力には、リモート PE デバイス(192.168.0.3)への IBGP セッションが正しく確立されていること(Establ)が表示され、 Up/Dwn フィールドを通じて、セッションが現在の状態にある時間(6:18)が示されています。 flaps フィールドは、状態遷移が発生していないことを確認し(0)、セッションが安定していることを示します。また、レイヤー 3 VPN ルート(NLRI)は、 bgp.l3vpn.0 テーブルの存在によって示されるように、リモート PE から学習されていることに注意してください。

ローカルCE1デバイス(172.16.1.1)へのEBGPセッションが確立されていること、およびCE1デバイスからIPv4ルートが受信され、CE1デバイスルーティング インスタンス(CE1_L3vpn.inet.0)にインストールされていることも確認されます

この出力は、PE デバイス間および CE デバイスへの BGP ピアリングが、レイヤー 3 VPN をサポートするために適切に動作していることを確認します。

ルーティングテーブル内のレイヤー3 VPNルートの検証

目的

PE1 デバイスのルーティングテーブルに、リモート PE によってアドバタイズされたレイヤー 3 VPN ルートが読み込まれていることを確認します。これらのルートは、リモート CE デバイスへのトラフィックの転送に使用されます。

アクション
意味

show route table bgp.l3vpn.0 コマンドは、リモート PE デバイスから受信したレイヤー 3 VPN ルートを表示します。show route table CE1_L3vpn.inet.0コマンドは、CE1_L3vpnルーティング インスタンスにインポートされたすべてのルートを一覧表示します。これらのエントリーは、ローカルEBGPピアリングからCE1デバイスへのルートと、ルートターゲットが一致するリモートPE2デバイスから受信したルートを表しています。

どちらの表も、リモート レイヤー 3 VPN ルートが、転送ネクストホップとして lsp_to_pe2 LSP に正しく関連付けられていることを示しています。出力は、ローカルPEデバイスがPE2デバイスからリモートCE2の場所に関連するルートを学習したことを確認します。また、ローカル PE が、プロバイダー ネットワーク上の MPLS トランスポートを使用して、レイヤー 3 VPN トラフィックをリモート PE2 デバイスに転送することも示しています。

レイヤー 3 VPN 接続を使用したリモート PE デバイスへの Ping

目的

ping を使用して、ローカルとリモートの PE デバイス間のレイヤー 3 VPN 接続を確認します。このコマンドは、PE デバイス間のレイヤー 3 VPN ルーティングと MPLS 転送動作を検証します。

アクション
意味

この出力では、レイヤー 3 VPN 制御プレーンと転送プレーンが PE デバイス間で正しく動作していることを確認します。

レイヤー3 VPN上でCEデバイスのエンドツーエンド動作を検証

目的

CE デバイス間のレイヤー 3 VPN 接続を確認します。この手順では、CE デバイスに動作インターフェイスがあり、EBGP ベースのレイヤー 3 接続用に適切に設定されていることを確認します。そのためには、ローカルCE1デバイスがリモートCEデバイスのルートを学習していることを確認し、CEデバイスがループバックアドレス間でトラフィックをエンドツーエンドで通過させることができることを確認します。

アクション
意味

この出力は、レイヤー3 VPNベースの接続がCEデバイス間で正しく機能していることを示しています。ローカル CE デバイスは、リモート CE デバイスの VRF インターフェイスと BGP 経由のループバック ルートを学習済みです。ping はリモート CE デバイスのループバック アドレスに生成され、 source 172.16.255.1 引数を使用してローカル CE デバイスのループバック アドレスから送信されます。 do-not-fragment スイッチと size 1472 スイッチを追加することで、CE デバイスがローカル PE デバイスでフラグメンテーションを発生させることなく、1500 バイトの IP パケットを渡すことができることを確認できます。

手記：

ping コマンドに追加された size 1472 引数は、1472 バイトのエコーデータを生成します。さらに 8 バイトのインターネット制御メッセージ プロトコル(ICMP)と 20 バイトの IP ヘッダーが追加され、合計ペイロード サイズは 1500 バイトになります。do-not-fragment スイッチを追加することで、ローカルの CE および PE デバイスがフラグメンテーションを実行できないようになります。この ping 方式により、CE デバイス間で標準の最大長 1500 バイトのイーサネット フレームを交換する場合に、フラグメンテーションが不要なことが確認されます。

これらの結果から、MPLS ベースのレイヤー 3 VPN が正しく動作していることが確認されました。

プラットフォーム固有の MPLSレイヤー3 VPN の動作

Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。

次の表を使用して、プラットフォームのプラットフォーム固有の動作を確認します。

表 1:プラットフォーム固有の MPLS レイヤ 3 の動作

プラットホーム

差

ACX 7000シリーズルーター

  • ACX 7000シリーズルーターは、キャリアオブキャリアVPN間のpingをサポートしていません。

  • ジュニパーは、 vrf-table-label が設定されている場合にのみ、ローカルPEデバイスからCEデバイスに接続するリモートPEインターフェイスへのpingをサポートしています。

    手記：VRF テーブル ラベルを追加または削除すると、ネットワークが中断する可能性があります。

参照

関連資料