Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページの内容
 

KVM上のvSRX仮想ファイアウォールの要件

このセクションでは、KVMにvSRX仮想ファイアウォールインスタンスを展開するための要件の概要を説明します。

ソフトウェア仕様

以下の表は、KVM環境にvSRX仮想ファイアウォールを導入する場合のシステムソフトウェア要件の仕様を示しています。この表は、KVMにvSRX仮想ファイアウォールを導入するための特定のソフトウェア仕様が導入されたJunos OSリリースの概要を示しています。特定の機能を利用するには、特定のJunos OSリリースをダウンロードする必要があります。

注意:

KVMホストカーネルに関連するページ変更ログ(PML)の問題により、vSRX仮想ファイアウォールが正常に起動しないことがあります。vSRX仮想ファイアウォールでこの動作が発生した場合は、ホストカーネルレベルでPMLを無効にすることをお勧めします。ネスト仮想化を有効にする一環として PML を無効にする方法の詳細については、「 vSRX インストール用のサーバーの準備 」を参照してください。
表1:vSRX仮想ファイアウォールの機能サポート
特長 仕様 Junos OSリリース導入
vCPU/メモリ

2 vCPU / 4 GB RAM

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1(vSRX仮想ファイアウォール)

5 vCPU / 8 GB RAM

Junos OSリリース15.1X49-D70およびJunos OSリリース17.3R1(vSRX仮想ファイアウォール)

9 vCPU / 16 GB RAM

Junos OSリリース18.4R1(vSRX仮想ファイアウォール)

Junos OS リリース 19.1R1(vSRX仮想ファイアウォール 3.0)

17 vCPU / 32 GB RAM

Junos OSリリース18.4R1(vSRX仮想ファイアウォール)

Junos OS リリース 19.1R1(vSRX仮想ファイアウォール 3.0)

追加のvRAMによる柔軟なフローセッション容量の拡張

 NA

Junos OSリリース19.1R1(vSRX仮想ファイアウォール)

Junos OS リリース 19.2R1(vSRX仮想ファイアウォール 3.0)

マルチコアスケーリングサポート(ソフトウェアRSS)

 NA Junos OS リリース 19.3R1(vSRX仮想ファイアウォール 3.0のみ)

ルーティングエンジン用に追加のvCPUコアを予約します(vSRX仮想ファイアウォールおよびvSRX仮想ファイアウォール3.0)

 NA  

Virtio(virtio-net、vhost-net)(vSRX仮想ファイアウォールおよびvSRX仮想ファイアウォール3.0)

 NA  
サポートされているハイパーバイザー

Linux KVMハイパーバイザーのサポート

注:

ここで説明する指定された Junos OS リリース以降、以降のすべての Junos OS リリースでも、これらの RHEL バージョン以降のリリースがサポートされます。

Ubuntu 14.04.5、16.04、16.10

 Junos OSリリース18.4R1
Ubuntu 18.04および20.04 Junos OSリリース20.4R1
Red Hat Enterprise Linux(RHEL)7.3、7.6、7.7 Junos OSリリース18.4R1
Red Hat Enterprise Linux(RHEL)8.2 Junos OSリリース19.2R1
Red Hat Enterprise Linux(RHEL)9 Junos OSリリース23.4R1
CentOS 7.1、7.2、7.6、7.7 Junos OSリリース20.4R1
その他の機能

クラウドinit

 NA ○(Junos OSリリース15.1X49-D100およびJunos OSリリース17.4R1以降)

パワーモードIPSec(PMI)

 NA  

シャーシクラスター

 NA はい(Junos OS 12.1X46-D10以降)

ソフトウェアRSSを用いたGTP TEIDベースのセッション配信

 NA ○(Junos OS リリース 19.3R1 以降)

オンデバイスアンチウィルススキャンエンジン(Avira)

 NA ○(Junos OSリリース19.4R1以降)

LLDP

 NA ○(Junos OS リリース 21.1R1 以降)

Junosテレメトリインターフェイス

 NA ○(Junos OSリリース20.3R1以降)
システム要件

ハイパーバイザーのハードウェアアクセラレーション/有効化されたVMX CPUフラグ

 NA  

ディスク容量

16 GB(IDEまたはSCSIドライブ)(vSRX仮想ファイアウォール)

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1

18 GB(vSRX仮想ファイアウォール 3.0)

  
表2:vSRX仮想ファイアウォールでのvNICサポート
vNIC リリース導入
Virtio SA および HA  
Intel 82599/X520シリーズ上のSR-IOV SAおよびHA Junos OSリリース15.1X49-D90およびJunos OSリリース17.3R1
Intel X710/XL710/XXV710シリーズ上のSR-IOV SAおよびHA Junos OSリリース15.1X49-D90
Intel E810シリーズ上のSR-IOV SAおよびHA Junos OSリリース21.2R1
注:

Junos OS リリース 23.2R2 以降、vSRX 3.0 を搭載した E810 と互換性があるのは ICE ドライバー 1.12.7 のみです。1.12.7より前のバージョンでは互換性の問題が発生し、FPCがオンラインに表示されません。
Mellanox ConnectX-3上のSR-IOV SAおよびHA 未対応
Mellanox ConnectX-4/5/6上のSR-IOV SAおよびHA(MLX5ドライバーのみ)

Junos OSリリース18.1R1(vSRX仮想ファイアウォール)

vSRX仮想ファイアウォール3.0でのJunos OSリリース21.2R1以降

Intel NIC Physical Function(PF)PCIパススルーサポート

PF PCIパススルーは、カーネルベースの仮想マシン(KVM)とVMware ESXiハイパーバイザー上のvSRX3.0仮想マシン(VM)に、物理NICポート全体を直接割り当てます。PF パススルーを使用すると、vSRX3.0 データ プレーンはハイパーバイザーの仮想スイッチング スタックをバイパスして NIC ハードウェアに直接アクセスします。PF パススルー NIC を搭載した VM は、ライブ マイグレーションをサポートしていません。PFパススルーを介して割り当てられたNICは、単一のVM専用であり、共有することはできません。

この導入モデルでは、準仮想化NICやSR-IOV仮想機能(VF)パススルーと比較して、パフォーマンス特性と運用動作が変化します。PF パススルーは、ハイパーバイザー、NIC、ドライバーの認定された組み合わせでのみ使用します。

サポートされている NIC カテゴリは DPDK PF ドライバーにマップされ、カテゴリごとに 1 つの代表的な NIC が選択されます。

表2:DPDK PFドライバーにマッピングされたサポートされているNIC
PFドライバー NIC
氷 E810
i40e XL710
IXGBE 82599
IGC* I225
IGB/E1000* I350

表3:プラットフォームのサポート
ハイパーバイザー 氷 i40e IXGBE IGC IGB/E1000
KVM Y Y Y N N
Junos OSリリース26.2R1

データプレーン開発キット(DPDK)バージョン17.05

 Junos OSリリース18.2R1

データプレーン開発キット(DPDK)バージョン18.11

DPDKバージョン18.11は、vSRX仮想ファイアウォールでサポートされています。この機能により、vSRX仮想ファイアウォール上のMellanox接続ネットワークインターフェイスカード(NIC)がOSPFマルチキャストとVLANをサポートするようになりました。

 Junos OSリリース19.4R1

データプレーン開発キット(DPDK)バージョン20.11

データプレーン開発キット(DPDK)をバージョン18.11からバージョン20.11にアップグレードしました。新しいバージョンは、vSRX仮想ファイアウォール3.0で物理Intel E810シリーズ100G NICサポートを有効にするICEポーリングモードドライバー(PMD)をサポートしています。		 Junos OSリリース21.2R1
注:

KVMでvSRX仮想ファイアウォールを導入するには、Intel VT(仮想化技術)対応プロセッサが搭載されているホストOS上で、ハードウェアベースの仮想化を有効にする必要があります。CPUの互換性は、こちらで確認できます。 http://www.linux-kvm.org/page/Processor_support

以下の表は、vSRX仮想ファイアウォールVMの仕様を示しています。

Junos OSリリース19.1R1以降、vSRX仮想ファイアウォールインスタンスは、Linux KVMハイパーバイザー上のIntel X710/XL710上でシングルルートI/O仮想化を行い、9または17のvCPUを使用するゲストOSをサポートし、拡張性とパフォーマンスを向上させます。

vSRX仮想ファイアウォールのKVMカーネルに関する推奨事項

表5は 、KVMにvSRX仮想ファイアウォールを導入する場合に使用しているLinuxホストOSに推奨されるvSRX仮想ファイアウォールバージョンを示しています。表は、特定の Linux カーネル バージョンのサポートが導入された Junos OS リリースの概要を示しています。

表5:KVMのカーネル推奨事項

Linuxディストリビューション

Linux カーネル バージョン

サポートされているJunos OSリリース

CentOS

3.10.0.229

Linuxカーネルをアップグレードして、推奨バージョンをキャプチャします。

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1以降のリリース

Ubuntu

3.16

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1以降のリリース

4.4

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1以降のリリース
18.04

Junos OSリリース20.4R1以降のリリース
20.04

Junos OSリリース20.4R1以降のリリース

RHEL

3.10

Junos OSリリース15.1X49-D15およびJunos OSリリース17.3R1以降のリリース

KVM上のvSRX仮想ファイアウォール用の追加Linuxパッケージ

表6 は、KVMでvSRX仮想ファイアウォールを実行するためにLinuxホストOSに必要な追加パッケージを示しています。これらのパッケージがサーバーに存在しない場合のインストール方法については、ホストOSのドキュメントを参照してください。

表6:KVM用の追加Linuxパッケージ

パッケージ

バージョン

ダウンロードリンク

libvirt

0.10.0

libvirtダウンロード

virt-manager(推奨)

0.10.0

virt-managerのダウンロード

ハードウェア仕様

表7 は、vSRX仮想ファイアウォールVMを実行するホストマシンのハードウェア仕様を示しています。

表7:ホストマシンのハードウェア仕様

コンポーネント

仕様

ホストプロセッサータイプ

Intel x86_64マルチコアCPU

注:

DPDKを使用するには、CPUでIntel Virtualization VT-x/VT-dをサポートする必要があります。 インテル仮想化テクノロジーについてを参照してください。

vSRX仮想ファイアウォールおよびvSRX仮想ファイアウォール 3.0の物理NICサポート

  • Virtio

  • SR-IOV(Intel X710/XL710、X520/540、82599)

  • SR-IOV(Mellanox ConnectX-3/ConnectX-3 Pro および Mellanox ConnectX-4 EN/ConnectX-4 Lx EN)

注:

Mellanox ConnectX-3 または ConnectX-4 ファミリー アダプターで SR-IOV を使用する場合は、必要に応じて、Linux ホストで最新の MLNX_OFED Linux ドライバーをインストールします。
注:

ゲストごとに物理デバイスを直接割り当てるためのハードウェアサポートを提供するには、Intel VT-d拡張機能を有効にする必要があります。 KVMでのSR-IOVとPCIの設定を参照してください。

vSRX仮想ファイアウォール 3.0の物理NICサポート

Intel X710/XL710/XXV710およびIntel E810でSR-IOVをサポートします。

vSRX仮想ファイアウォールのパフォーマンスを向上させるためのベストプラクティス

以下のプラクティスを確認して、vSRX仮想ファイアウォールのパフォーマンスを向上させます。

NUMAノード

x86サーバーアーキテクチャは、複数のソケットとソケット内の複数のコアで構成されています。各ソケットには、NICからホストへのI/O転送中にパケットを保存するために使用されるメモリがあります。メモリからパケットを効率的に読み取るには、ゲスト アプリケーションと関連する周辺機器 (NIC など) を 1 つのソケット内に配置する必要があります。ペナルティは、メモリーアクセス用のCPUソケットのスパニングに関連付けられており、その結果、非決定的なパフォーマンスが生じる可能性があります。vSRX仮想ファイアウォールの場合、最適なパフォーマンスを得るために、vSRX仮想ファイアウォールVMのすべてのvCPUを同じ物理不均一メモリアクセス(NUMA)ノードに配置することをお勧めします。

注意:

NUMAノードトポロジーがハイパーバイザーで、インスタンスのvCPUを複数のホストNUMAノードに分散するように設定されている場合、vSRX仮想ファイアウォール上のパケット転送エンジン(PFE)は応答しなくなります。vSRX仮想ファイアウォールでは、すべてのvCPUが同じNUMAノード上に存在することを確認する必要があります。

NUMAノードアフィニティを設定して、vSRX仮想ファイアウォールインスタンスを特定のNUMAノードにバインドすることを推奨します。NUMAノードアフィニティは、vSRX仮想ファイアウォール VMリソースのスケジューリングを指定されたNUMAノードのみに制限します。

仮想インターフェイスをvSRX仮想ファイアウォールVMにマッピング

LinuxホストOS上のどの仮想インターフェイスがvSRX仮想ファイアウォールVMにマッピングされているかを確認するには:

  1. Linux ホスト OS で virsh list コマンドを使用して、実行中の VM を一覧表示します。

  2. virsh domiflist vsrx-nameコマンドを使用して、そのvSRX仮想ファイアウォールVM上の仮想インターフェイスを一覧表示します。

    注:

    最初の仮想インターフェイスは、Junos OSのfxp0インターフェイスにマッピングされます。

KVM上のvSRX仮想ファイアウォールのインターフェイスマッピング

vSRX仮想ファイアウォール用に定義された各ネットワークアダプタは、vvSRX仮想ファイアウォールインスタンスがスタンドアロンVMか、高可用性のためのクラスターペアの1つかに応じて、特定のインターフェイスにマッピングされます。vSRX仮想ファイアウォールのインターフェイス名とマッピングを 表8 および 表9に示します。

以下の点に注意してください。

  • スタンドアロンモードでは:

    • fxp0はアウトオブバンド管理インターフェイスです。

    • ge-0/0/0 は、最初のトラフィック(収益)インターフェイスです。

  • クラスター モードでは:

    • fxp0はアウトオブバンド管理インターフェイスです。

    • em0 は、両方のノードのクラスター制御リンクです。

    • ノード0のfab0のge-0/0/0、ノード1のfab1のge-7/0/0など、どのトラフィックインターフェイスもファブリックリンクとして指定できます。

表8 は、スタンドアロンのvSRX仮想ファイアウォールVMのインターフェイス名とマッピングを示しています。

表8:スタンドアロンvSRX仮想ファイアウォールVMのインターフェイス名

ネットワーク アダプター

vSRX仮想ファイアウォール用Junos OSのインターフェイス名

1

fxp0

2

ge-0/0/0

3

ge-0/0/1

4

ge-0/0/2

5

ge-0/0/3

6

ge-0/0/4

7

ge-0/0/5

8

ge-0/0/6

表9 は、クラスター(ノード0とノード1)内の1組のvSRX仮想ファイアウォールVMのインターフェイス名とマッピングを示しています。

表9:vSRX仮想ファイアウォールクラスターペアのインターフェイス名

ネットワーク アダプター

vSRX仮想ファイアウォール用Junos OSのインターフェイス名

1

fxp0(ノード0および1)

2

em0(ノード0および1)

3

ge-0/0/0(ノード0)ge-7/0/0(ノード1)

4

ge-0/0/1(ノード0)ge-7/0/1(ノード1)

5

ge-0/0/2(ノード0)ge-7/0/2(ノード1)

6

ge-0/0/3(ノード0)ge-7/0/3(ノード1)

7

ge-0/0/4(ノード0)ge-7/0/4(ノード1)

8

ge-0/0/5(ノード0)ge-7/0/5(ノード1)

KVMのvSRX仮想ファイアウォールのデフォルト設定

vSRX仮想ファイアウォールには、以下の基本的な構成設定が必要です。

  • インターフェイスにはIPアドレスを割り当てる必要があります。

  • インターフェイスはゾーンにバインドする必要があります。

  • トラフィックを許可または拒否するには、ゾーン間でポリシーを設定する必要があります。

表10 は、vSRX仮想ファイアウォールのセキュリティポリシーの工場出荷時のデフォルト設定を示しています。

表10:セキュリティポリシーの工場出荷時のデフォルト設定

送信元ゾーン

宛先ゾーン

ポリシーアクション

信頼

信頼できない

許可

信頼

信頼

許可

信頼できない

信頼

拒否

関連ドキュメント