Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의 내용
 

GBP 처리

GBP 처리에는 태그 할당, 패킷 분류 및 정책 시행이 포함됩니다.

GBP 태그 할당

CLI를 사용하여 정적으로 또는 RADIUS 인증을 사용하여 동적으로 GBP 태그를 할당합니다.

태그 할당은 사용자와 그룹 간의 매핑을 구성하고 이 매핑을 MAC 주소 테이블 및 내부 데이터 구조에 프로그래밍하는 것을 의미합니다. 그룹 멤버십 자체는 구성하지 않습니다. 동일한 태그 할당을 가진 다른 사용자는 암시적으로 동일한 그룹에 속합니다.

태그 할당은 CLI를 통해 정적으로 구성하거나 RADIUS 인증을 통해 동적으로 구성할 수 있습니다. RADIUS 인증을 통한 태그 할당은 가장 큰 유연성을 제공하므로 선호되는 접근 방식입니다.

  • CLI를 사용하여 태그 할당을 정적으로 구성할 때, 사용자와 GBP 태그 간, 더 정확하게는 해당 사용자의 프록시(예: MAC 또는 IP 주소)와 GBP 태그 간에 매핑을 생성합니다. 특히 사용자가 많은 경우 이 접근 방식을 덜 번거롭게 하기 위해 인터페이스에서 개별 MAC 주소에 이르기까지 다양한 수준에서 태그 할당을 구성할 수 있는 유연성을 제공합니다. 예를 들어 동일한 인터페이스에 연결된 모든 사용자에게 동일한 태그를 할당하려면 해당 인터페이스에 대한 태그가 직접 연결된 모든 사용자에게 적용되도록 구성합니다. 반면에 특정 사용자에게 특정 태그를 할당하려면 MAC 또는 IP 주소를 기반으로 태그 할당을 구성합니다.

    정적 CLI 구성의 단점은 사용자에 대한 선험적 지식(사용자가 연결된 위치, MAC 또는 IP 주소 등)이 필요하다는 것입니다. 또한 사용자가 나중에 위치 또는 디바이스를 변경할 경우 이 매핑을 재구성해야 합니다.

    예를 들어, John이라는 사용자에 대해 GBP 태그 10을 구성하고 그의 MAC 주소를 해당 사용자의 프록시로 사용한다고 가정해 보겠습니다. 이 경우 GBP 태그 10에 매핑하기 전에 John의 MAC 주소를 알아야 합니다. 이 매핑을 구성하면 GBP 지원 스위치는 데이터 플레인 처리를 위해 이를 MAC 주소 테이블 및 내부 데이터 구조에 프로그래밍할 수 있습니다. John이 디바이스를 다른 MAC 주소로 변경하는 경우 이 매핑을 수동으로 다시 구성해야 합니다.

    익숙한 방화벽 CLI 문을 활용하여 태그 할당을 구성합니다. 특히, 특정 기준(예: MAC 주소 일치)이 충족될 때 특정 GBP 태그를 구성하는 방화벽 필터를 생성합니다. 일반 방화벽 필터와 태그 할당 방화벽 필터를 구분하기 위해 마이크로세그먼테이션과 관련된 새로운 유형의 필터를 도입합니다.

  • RADIUS 인증을 사용하여 동적으로 태그 할당을 구성할 때 사용자의 네트워킹 구성에 대한 사전 지식이 필요하지 않습니다. 사용자를 인증할 때 원하는 GBP 태그를 제공하도록 RADIUS를 구성하기만 하면 됩니다.

    위의 예에서 John이 RADIUS 서버로 인증할 때 GBP 태그 10이 제공됩니다. John의 MAC 주소는 전혀 확인할 필요가 없습니다. 인증자 역할을 하는 GBP 지원 스위치는 John의 MAC 주소와 제공된 GBP 태그를 모두 인증 교환의 일부로 간주합니다. 따라서 스위치는 CLI 개입 없이 이 매핑을 MAC 주소 테이블 및 내부 데이터 구조에 직접 프로그래밍할 수 있습니다. John이 디바이스를 변경하면 RADIUS 서버로 다시 인증하고 GBP 지원 스위치는 MAC 주소 테이블과 내부 데이터 구조를 새 연결로 자동으로 다시 프로그래밍합니다.

    Mist AP에 연결할 때 무선 사용자도 RADIUS를 사용한 태그 할당이 지원됩니다. 이 경우 Mist AP는 인증자 역할을 하며 사용자의 MAC 주소와 GBP 태그 간의 매핑을 인식하게 됩니다. 이 정보를 바탕으로 Mist AP는 업스트림 GBP 지원 스위치에 전용 메시징을 사용하여 이 매핑을 알립니다. 이 알림을 수신하면 GBP 지원 스위치는 새 매핑을 사용하여 MAC 주소 테이블 및 내부 데이터 구조를 프로그래밍합니다.

참고:

RADIUS를 사용하여 직접 연결된 유선 사용자에 대한 태그 할당을 동적으로 구성할 때 GBP 지원 스위치는 RADIUS 구성 방법에 따라 MAC 또는 인터페이스 기반 할당을 생성합니다.

RADIUS를 사용하여 Mist AP에 연결된 무선 사용자에 대한 태그 할당을 동적으로 구성하면 GBP 지원 스위치가 MAC 기반 할당을 생성합니다.

CLI를 사용하여 태그 할당을 정적으로 구성할 때 요구 사항에 맞게 다양한 유형의 할당을 구성할 수 있습니다. 이로 인해 일부 상황에서 필요한 구성의 양이 줄어들 수 있습니다.

CLI를 사용하여 GBP 태그 할당

CLI를 사용하여 GBP 태그를 할당하려면 마이크로세그먼테이션 필터라고 하는 특수 유형의 방화벽 필터를 사용합니다. 일반 방화벽 필터와 마찬가지로 일치 조건과 후속 작업을 지정합니다.

마이크로세그먼테이션 필터의 경우, 지원되는 일치 조건이 표 1에 나와 있으며 지원되는 단일 작업은 GBP 태그를 할당하는 것입니다.

표 1: 일치 조건(Junos OS 릴리스 22.4R1 이상)
일치 조건 설명

ip-version ipv4 address <ip address> | prefix-list <prefix-list>

ip-version ipv6 address <ip address> | prefix-list <prefix-list>

 IPv4/IPv6 주소/접두사 목록을 일치시킵니다. 이 일치는 연결된 클라이언트에서 액세스 링크에 도착하는 패킷의 소스 IP 주소에 적용됩니다. IP 주소 일치의 예를 참조하십시오.
참고: IP 주소 일치는 순수 레이어 2 구축에서는 지원되지 않습니다.
참고:

IPv4 및 IPv6 일치 조건은 동일한 필터에 공존할 수 없습니다.
참고:

구문 및 동작은 플랫폼에 따라 다를 수 있습니다. 표 2를 참조하십시오.

mac-address <mac address>

 일치하는 MAC 주소. 이 일치는 연결된 클라이언트에서 액세스 링크에 도착하는 패킷의 소스 MAC 주소에 적용됩니다. MAC 주소 일치의 예를 참조하십시오.

interface <interface_name>

 인터페이스 이름을 일치시킵니다. 이 일치는 지정된 인터페이스에 도착하는 패킷에 적용됩니다. 인터페이스 일치의 예를 참조하십시오.
참고:

인터페이스 일치는 모든 플랫폼에서 지원되지 않습니다. 표 2를 참조하십시오.

vlan-id <vlan id> | [<vlan_list>] | <vlan_range>

 VLAN ID를 일치시킵니다. 이 일치는 지정된 VLAN ID에 도착하는 패킷에 적용됩니다. VLAN에서의 일치 예를 참조하십시오.
참고:

VLAN ID에 대한 일치는 모든 플랫폼에서 지원되지 않습니다. 표 2를 참조하십시오.

입니다.

정책을 일관되게 적용하려면 모든 곳에서(수신 및 송신 모두에서) 동일한 GBP 태그 할당을 구성하는 것이 좋습니다.

표 2는 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 2: 플랫폼별 GBP 태그 할당 동작

플랫폼

차이

EX4100

  • VLAN ID에 대한 일치는 지원되지 않습니다.

QFX5130, QFX5700

  • IP 주소 일치를 위한 구문은 다음과 같습니다.

    ip-version ipv4 ip-address <ip address> | prefix-list <prefix-list>
    ip-version ipv6 ip6-address <ip address> | prefix-list <prefix-list>

  • 순수 레이어 2 네트워크에서도 IP 주소를 일치시킬 수 있습니다.

  • IPv4 /32 및 IPv6 /128 주소 일치만 지원됩니다. IP 접두사에 대한 일치는 지원되지 않습니다.

  • 인터페이스 일치는 지원되지 않습니다.

  • VLAN ID에 대한 일치는 지원되지 않습니다.

  • 필터에는 global-bind 옵션이 포함되어야 합니다. 예를 들면 다음과 같습니다.

    set firewall family any filter f1 micro-segmentation 
set firewall family any filter f1 global-bind 
set firewall family any filter f1 term t1 from ip-version ipv4 ip-address 10.0.0.101/32 
set firewall family any filter f1 term t1 then gbp-tag 101

IP 주소 일치의 예

다음은 IP 주소를 사용한 GBP 태그 할당의 예입니다.

수신 IP 주소가 둘 이상의 IP 주소 조건과 일치할 때의 동작에 대해서는 Longest Prefix Match 대 Strict Firewall Term Order 를 참조하십시오.

MAC 주소 일치의 예

다음은 MAC 주소를 사용한 GBP 태그 할당의 예입니다.

인터페이스 일치의 예

다음은 인터페이스를 기반으로 하는 GBP 태그 할당의 예입니다.

단일 방화벽 필터 용어 내에서 여러 interface 일치 조건을 가질 수 있습니다. 예를 들면 다음과 같습니다.

단일 방화벽 필터 용어에서 일치 조건과 vlan-id 일치 조건을 결합 interface 할 수 있습니다. 예를 들면 다음과 같습니다.

VLAN에서의 일치 예

참고: VLAN ID에 대한 일치는 EX4100 디바이스에서 지원되지 않습니다.

다음은 VLAN ID를 사용한 GBP 태그 할당의 예입니다.

단일 방화벽 필터 용어 내에서 여러 vlan-id 일치 조건을 가질 수 있습니다.

VLAN 범위에서 일치시킬 수 있습니다.

VLAN 목록에서 일치시킬 수 있습니다.

RADIUS를 사용하여 GBP 태그 할당

인증 중에 사용자에게 GBP 태그를 할당하도록 RADIUS 서버를 구성할 수 있습니다. RADIUS 서버는 일반적으로 액세스 제어 및 VLAN 할당과 같은 기타 기능을 위해 캠퍼스 환경에서 사용됩니다.

참고: RADIUS를 사용한 GBP 태그 할당은 모든 플랫폼에서 지원되지 않습니다. 표 4를 참조하십시오.
참고:

RADIUS를 사용할 때는 MAC 및 인터페이스 기반 GBP 태그 할당만 지원됩니다.

  • 단일 보안 또는 다중 서플리컨트 모드로 RADIUS 인증을 구성하는 경우, GBP 태깅은 MAC 기반입니다.

  • 단일 신청자 모드로 RADIUS 인증을 구성하는 경우, GBP 태깅은 인터페이스 기반입니다.

인증 중 GBP 태그 배포를 수용하기 위해 AAA 서비스 프레임워크에서 지원하는 대로 VSA(Vendor Specific Attribute)를 활용합니다. 이러한 VSA는 표준 RADIUS 요청 응답 메시지의 일부로 전송되며, GBP 태그와 같은 구현 관련 정보를 처리하기 위한 기본 제공 확장을 제공합니다.

다음 VSA 중 하나를 사용하여 GBP 태그를 할당할 수 있습니다.

  • VSA는 Juniper-Switching-Filter GBP 태그와 기타 필터 일치 및 작업 조건을 전달합니다.

  • GBP Juniper-Group-Based-Policy-Id 태그만 전달합니다.

참고:

동일한 클라이언트에 대해 VSA와 Juniper-Group-Based-Policy-Id VSA를 함께 Juniper-Switching-Filter 사용하면 안 됩니다.

두 VSA가 모두 존재하고 다른 GBP 태그 값을 포함하는 경우 클라이언트는 인증되지 않습니다.

RADIUS 서버의 정확한 구문은 인증 체계가 MAC 기반인지 EAP 기반인지에 따라 다릅니다.

MAC 기반 클라이언트의 경우 구성은 다음과 같습니다.

EAP 기반 클라이언트의 경우 GBP 태그는 인증 시 RADIUS 서버에서 푸시됩니다. 구성은 다음과 같습니다.

다음은 VSA를 사용하는 EAP 예입니다.Juniper-Group-Based-Policy-Id

두 VSA의 경우, 구성된 GBP 태그는 범위(1-65535)에서 0이 아닌 양수 값이어야 합니다.

CLI 문을 사용하여 dot1x GBP 태그를 구성할 수 있습니다. 이는 표 3에 나와 있습니다.

표 3: GBP에 대한 dot1x 구성 문

CLI

설명
set protocols dot1x authenticator interface [interface-names] server-fail gbp-tag gbp-tag

서버에 액세스할 수 없을 때 인터페이스에 적용할 GBP 태그를 지정합니다. 를 gbp-tag gbp-tag 구성하고 클라이언트가 또는 server-fail permit에서 인증하는 server-fail vlan-name 경우, 구성된 gbp-tag gbp-tag 필터도 클라이언트에 대해 설치됩니다.

or server-fail permit 옵션이 구성된 경우에만 server-fail vlan-name 이 옵션을 구성할 수 있습니다.
set protocols dot1x authenticator interface [interface-names] server-reject-vlan gbp-tag gbp-tag

RADIUS가 클라이언트 인증을 거부할 때 적용할 GBP 태그를 지정합니다. 를 gbp-tag gbp-tag 구성하고 클라이언트가 에서 인증 server-reject vlan하면, 구성된 gbp-tag 필터도 클라이언트에 대해 설치됩니다.

옵션이 구성된 경우에만 server-reject-vlan vlan-id 구성할 server-reject gbp-tag gbp-tag 수 있습니다.

set protocols dot1x authenticator interface [interface-names] guest-gbp-tag gbp-tag

인터페이스가 게스트 VLAN으로 이동할 때 적용할 GBP 태그를 지정합니다. 가 guest-gbp-tag 구성되고 클라이언트가 게스트 VLAN에서 인증되면, 구성된 guest-gbp-tag 필터도 클라이언트에 대해 설치됩니다.

옵션이 구성된 경우에만 guest-vlan vlan-id 구성할 guest-gbp-tag 수 있습니다.

게스트 VLAN에 대한 자세한 내용은 802.1X 인증을 참조하십시오.

또한 또는 show ethernet-switching table 명령을 사용하여 show dot1x interface detail RADIUS에서 수신된 GBP 태그를 확인할 수 있습니다.

다음은 명령의 출력 예입니다.show dot1x interface detail

다음은 명령의 출력 예입니다.show ethernet-switching table

표 4 는 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 4: 플랫폼별 RADIUS 태그 할당 동작

플랫폼

차이

QFX5130, QFX5700

RADIUS를 사용한 GBP 태그 할당은 지원되지 않습니다.

GBP 태그 할당 우선 순위

이 섹션에서는 잠재적으로 모호한 일치 조건을 만들 때의 동작을 명확히 설명합니다.

CLI와 RADIUS를 모두 사용한 할당

일반적으로 CLI 또는 RADIUS를 사용하여 태그 어시그먼트를 구성하지만 둘 다 구성할 수는 없습니다. 둘 다 사용하고 충돌하는 할당이 있는 경우(예: CLI는 사용자에게 GBP 태그 10을 할당하고 RADIUS는 동일한 사용자에게 GBP 태그 20을 할당), RADIUS 할당이 우선합니다.

충돌하는 일치 조건

다음은 충돌하는 일치 조건의 예입니다.

위의 예에서 t1과 t2는 모두 IP 주소 172.16.0.0/24에서 일치하지만 서로 다른 GBP 태그를 할당합니다. 이 상황에서는 일치하는 첫 번째 용어만 평가됩니다. 두 번째와 그 이후의 일치하는 용어는 무시됩니다.

동시 경기

수신 패킷이 둘 이상의 조건과 일치하면 표 5에 표시된 일치 우선 순위가 적용됩니다.

표 5: 일치 우선 순위
우선순위 일치 조건
1(최고)

ip-version ipv4 <ip address> | <prefix-list>
2

ip-version ipv6<ip address> | <prefix-list>
3

mac-address<mac address>
4

interface<interface_name> VLAN ID <vlan id>
5

vlan-id<vlan id>
6(최저)

interface<interface_name>
참고: 대부분의 플랫폼에서 MAC/IP 인터 태그를 활성화하고 MAC와 IP 주소 모두에서 수신 패킷이 일치하면 결과가 불확실합니다. 이 상황에서 IP 주소 일치가 반드시 MAC 주소 일치보다 우선하는 것은 아닙니다. 예외는 표 6을 참조하십시오. MAC/IP 인터 태깅에 대한 정보는 GBP MAC/IP 인터 태깅을 참조하십시오.

표 6 은 여러 플랫폼에 대한 메인 라인 기능과의 차이점을 보여줍니다.

표 6: 플랫폼별 동시 일치 동작

플랫폼

차이

QFX5130, QFX5700

MAC/IP 인터 태깅이 활성화되어 있더라도 모든 상황에서 IP 주소 일치가 MAC 주소 일치보다 우선합니다.

가장 긴 접두사 일치 대 엄격한 방화벽 용어 순서

엄격한 방화벽 용어 순서 대신 가장 긴 접두사 일치를 선택할 수 있습니다.

참고: 가장 긴 접두사 일치 옵션은 모든 플랫폼에서 지원되는 것은 아닙니다. 표 7을 참조하십시오.

예를 들어, 중복 IP 주소가 포함된 마이크로세그먼테이션 필터는 다음과 같습니다.

예를 들어 엄격한 방화벽 용어 순서를 사용하기로 선택한 경우 IP 주소가 10.0.0.231인 수신 패킷에 GBP 태그 10이 할당됩니다. 이는 수신 패킷이 필터의 첫 번째 용어(t1)와 일치하기 때문입니다.

가장 긴 접두사 일치를 사용하기로 선택한 경우 두 번째 용어(t2)가 더 구체적인 일치 항목을 제공하기 때문에 동일한 패킷에 GBP 태그 20이 할당됩니다. 이는 기본 동작입니다.

기본 동작을 변경하고 엄격한 방화벽 용어 순서를 사용하려면 다음과 같이 필터를 구성합니다.

참고:

마이크로세그먼테이션 필터를 처음 생성할 때 매개 변수를 no-longest-prefix-match 설정합니다. 기존 마이크로세그먼테이션 필터에서 이 매개 변수를 전환하지 마십시오.

표 7 은 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 7: 플랫폼별 가장 긴 접두사 일치 동작

플랫폼

차이

QFX5130, QFX5700

IP 접두사 일치는 지원되지 않으므로 가장 긴 접두사 일치 옵션을 적용할 수 없습니다. 방화벽 용어는 용어 순서대로 엄격하게 평가됩니다.

GBP 태그가 지정된 트래픽의 패킷 분류

GBP의 맥락에서 패킷 분류는 수신 패킷의 데이터 플레인 처리 중에 구성된 GBP 태그를 검색하는 것을 의미합니다.

패킷 분류는 수신 및 송신 스위치 모두에서 발생합니다. 수신 시 스위치는 액세스 링크에서 수신 패킷을 분류하여 발신자(소스)의 GBP 태그를 획득합니다. 송신 시 스위치는 네트워크에서 수신 패킷을 분류하여 수신자(대상)의 GBP 태그를 획득합니다.

소스 및 대상 태그가 검색되면 정책 시행이 이루어질 수 있습니다.

GBP 정책 실행

GBP 태그를 사용하여 마이크로세그먼테이션 정책을 생성합니다.

GBP 지원 스위치는 할당된 GBP 태그에 대해 생성한 규칙에 따라 정책을 시행합니다. GBP 정책 적용을 지원하기 위해 GBP 태그 매칭 및 작업을 포함하도록 일반 방화벽 필터 기능을 확장했습니다. 수락 또는 거부와 같은 일반적인 방화벽 작업이 지원됩니다.

EVPN-VXLAN과 함께 실행할 때, 정책 시행은 일반적으로 소스 및 대상 GBP 태그를 모두 사용하여 송신에서 이루어집니다. 수신 적용도 지원되지만( EVPN-VXLAN의 수신 및 태그 전파에서 GBP 정책 적용 참조), 대규모 네트워크에서는 송신 적용을 사용하는 것이 좋습니다. 송신 적용이 기본 동작입니다.

EVPN-VXLAN 없이 실행할 경우, 정책 시행은 일반적으로 네트워크에 따라 소스 GBP 태그와 대상 IP 주소 중 하나를 사용하여 또는 소스 및 대상 GBP 태그를 모두 사용하여 수신 시 이루어집니다. 자세한 내용은 제로 트러스트 인라인 세그멘테이션 을 참조하십시오.

GBP 태그를 사용한 적용

참고:

기본적으로 정책 시행은 송신에서 수행됩니다. 수신 시 정책을 적용하려면 EVPN-VXLAN에 대한 수신 및 태그 전파 시 GBP 정책 적용을 참조하십시오.

다음은 GBP 정책 적용의 예입니다.

GBP 소스 태그 100 및 GBP 대상 태그 200이 있는 패킷은 용어 t100-200 와 일치하고 수락됩니다. GBP 소스 태그가 100이고 GBP 대상 태그가 300인 패킷은 용어 t100-300 가 일치하고 폐기됩니다.

표 8 은 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 8: GBP 태그 동작을 사용한 플랫폼별 적용

플랫폼

차이

QFX5130, QFX5700

  • 수신 및 송신 적용이 모두 자동으로 지원됩니다.

  • 필터에는 global-bind 옵션이 포함되어야 합니다. 예를 들면 다음과 같습니다.

    set firewall family any filter gbp-policy global-bind
set firewall family any filter gbp-policy term t100-200 from gbp-src-tag 100
set firewall family any filter gbp-policy term t100-200 from gbp-dst-tag 200
set firewall family any filter gbp-policy term t100-200 then accept

  • 단일 GBP 정책 실행 필터만 바인딩할 수 있습니다. 여러 GBP 정책 적용 필터를 바인딩할 수 없습니다. 모든 정책은 해당 단일 필터 내에서 용어로 지정됩니다.

대상 IP 주소를 사용한 적용

순수 L2 구축에서 액세스 스위치는 일반적으로 레이어 3 게이트웨이로 WAN 라우터에 연결합니다. WAN 라우터는 GBP를 인식하지 않으며 GBP 태그를 전달할 수 없습니다. 따라서 정책은 소스 GBP 태그를 기반으로 수신 액세스 스위치에서만 시행될 수 있습니다. 이 상황에서는 대상 IP 주소를 포함하도록 정책을 보강할 수 있습니다.

참고: 모든 플랫폼이 대상 IP 주소를 사용하여 실행을 지원하거나 적용해야 하는 것은 아닙니다. 표 9를 참조하십시오.

다음은 대상 IP 주소와 함께 GBP 소스 태그를 사용하는 예입니다.

이 사용 사례에 대한 자세한 내용은 GBP Pure L2 프로필 사용을 참조하십시오.

표 9는 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 9: 대상 IP 주소 동작을 사용한 플랫폼별 적용

플랫폼

차이

QFX5130, QFX5700

순수 레이어 2 네트워크에서도 IP 주소를 기반으로 태그를 할당할 수 있으므로 대상 IP 주소를 사용하여 적용할 필요가 없습니다. IP 주소를 기반으로 태그 할당을 생성하고 평소와 같이 할당된 태그에 정책을 적용하기만 하면 됩니다.

L4 필드를 사용한 적용

표 10에 표시된 L4 필드를 사용하여 정책을 시행할 수 있습니다. 이를 통해 애플리케이션 트래픽을 더욱 세밀하게 제어할 수 있습니다.

표 10: 추가 L4 정책 일치 지원
MAC 및 IP GBP 태그 패킷에 대한 정책 적용 일치 설명
ip-version ipv4 destination-port dst_port

TCP/UDP 대상 포트를 일치시킵니다.
ip-version ipv4 source-port src_port

TCP/UDP 소스 포트를 일치시킵니다.
ip-version ipv4 ip-protocol ip-protocol

IP 프로토콜 유형을 일치시킵니다.
ip-version ipv4 is-fragment

패킷이 단편인 경우 일치시킵니다.
ip-version ipv4 fragment-flags flags

조각 플래그를 일치시킵니다(기호 또는 16진수 형식).
ip-version ipv4 ttl value

MPLS/IP TTL 값을 일치시킵니다.
ip-version ipv4 tcp-flags flags

TCP 플래그를 일치시킵니다(기호 또는 16진수 형식) - (수신 전용).
ip-version ipv4 tcp-initial

TCP 연결의 초기 패킷을 일치시킵니다 - (수신 전용).
ip-version ipv4 tcp-established

설정된 TCP 연결의 패킷을 일치시킵니다.
ip-version ipv6 destination-port dst_port

TCP/UDP 대상 포트를 일치시킵니다.
ip-version ipv6 source-port src_port TCP/UDP 소스 포트를 일치시킵니다.
ip-version ipv6 next-header protocol 다음 헤더 프로토콜 유형을 일치시킵니다.
ip-version ipv6 payload-protocol protocol 페이로드 프로토콜을 일치시킵니다.
ip-version ipv6 tcp-flags flags TCP 플래그와 일치(기호 또는 16진수 형식)수신 전용.
ip-version ipv6 tcp-initial TCP 연결의 초기 패킷을 일치시킵니다.
ip-version ipv6 tcp-established 설정된 TCP 연결의 패킷을 일치시킵니다.
참고:

L4 필터는 기본적으로 지원되지만 지원되는 GBP 규모를 줄일 수 있습니다. L4 필터를 비활성화하려면: set forwarding-options evpn-vxlan gbp tag-only-policy.

이 설정(및 해당 삭제) 명령을 사용하면 패킷 포워딩 엔진(PFE)이 다시 시작됩니다.

표 11 은 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 11: L4 필드 동작을 사용한 플랫폼별 적용

플랫폼

차이
EX9200 및 MX 시리즈

  • L4 필터를 사용한 적용은 지원되지 않습니다.

QFX5130, QFX5700

  • 적용에 대해 지원되는 L4 필드는 다음과 같습니다.

    • destination-port

    • source-port

    • ip-protocol (IPv4)

    • payload-protocol (IPv6)

  • tag-only-policy 구성은 지원되지 않습니다.

적용에서 제외된 패킷

모든 패킷이 GBP 정책 적용 대상은 아닙니다. 표 12 는 플랫폼 간의 차이를 보여줍니다.

표 12: 집행 동작에서 플랫폼별로 제외됨

플랫폼

차이

EX4100

  • 정책 적용은 정책 적용이 지원되는 특정 DHCP 보안 패킷을 제외하고 호스트 생성 패킷 또는 브로드캐스트, 알 수 없는 트래픽 및 멀티캐스트 트래픽에 대해 지원되지 않습니다. dhcp-security를 참조하십시오.

  • 정책은 802.1X 패킷에 적용되지 않습니다. 정책 시행은 인증 후에 이루어집니다.

EX4400, EX4650, EX5200, EX9200, QFX5120, MX 시리즈

  • 정책 적용은 정책 적용이 지원되는 특정 DHCP 보안 패킷을 제외하고 호스트 생성 패킷 또는 브로드캐스트, 알 수 없는 트래픽 및 멀티캐스트 트래픽에 대해 지원되지 않습니다. dhcp-security를 참조하십시오.

  • 정책은 802.1X 패킷에 적용됩니다. 특정 MAC 주소에 대한 CLI 태그 할당을 생성하고 해당 태그에 대한 패킷을 폐기하는 정책을 생성하면 해당 MAC 주소의 802.1X 인증 요청이 삭제됩니다. 최종 사용자의 관점에서 인증 시간이 초과되었습니다.

QFX5130, QFX5700

  • DHCP 보안 패킷을 포함한 호스트 생성 패킷 또는 브로드캐스트, 알 수 없는 트래픽 및 멀티캐스트 트래픽에는 정책 시행이 지원되지 않습니다.

명시적 기본 폐기

일치하는 조건이 없으면 기본 행동은 패킷을 수락하는 것입니다. 기본적으로 패킷을 수락하지 않으려면 조건과 일치하지 않는 패킷에 대해 명시적인 기본 폐기 작업을 지정할 수 있습니다.

참고: 명시적 기본 삭제는 모든 플랫폼에서 지원되는 것은 아닙니다. 표 13을 참조하십시오.

다음은 명시적 기본 삭제의 예입니다.

용어 t2에는 폐기 작업이 포함되어 있지만 일치 조건은 없습니다. 이는 시퀀스의 이전 용어의 조건과 일치하지 않는 패킷에 대한 catch-all 역할을 합니다.

이 명시적 기본 폐기 작업은 브로드캐스트, 멀티캐스트, 호스트 원본 또는 알 수 없는 유니캐스트 패킷에는 적용되지 않습니다. 이러한 유형의 트래픽은 항상 허용됩니다.

명시적 폐기 작업을 구성하지 않으면 패킷을 수락하는 것이 기본 작업입니다.

표 13 은 여러 플랫폼에 대한 메인 라인 기능과의 차이점을 보여줍니다.

표 13: 플랫폼별 명시적 기본 폐기 동작

플랫폼

차이
EX9200 및 MX 시리즈

  • 명시적 기본 폐기 기능은 지원되지 않습니다.

QFX5130, QFX5700

  • 명시적 기본 폐기 지원되지만 필요하지 않습니다. 기본 조치는 패킷을 폐기하는 것입니다.

  • 수신에 도착하는 패킷의 대상 GBP 태그가 GBP 정책과 일치하지 않으면 기본적으로 패킷을 폐기하더라도 패킷이 네트워크로 수락됩니다. 이는 송신이 정책을 시행하도록 허용하기 위한 것입니다.

EVPN-VXLAN에 대한 수신 및 태그 전파에서의 GBP 정책 적용

수신 정책 시행은 송신 시 폐기될 태그가 지정된 패킷을 수신 시 폐기하여 네트워크 대역폭을 절약합니다. 수신 시점 또는 수신에 가까운 시점에서 정책 시행을 지원하기 위해 EVPN 유형 2 및 유형 5 경로 내에서 확장된 BGP 커뮤니티를 사용하여 네트워크 전체에 MAC 및 IP-MAC 기반 태그를 전파합니다. 이러한 유형의 경로에 대한 정보는 EVPN-VXLAN과 EVPN 유형 2 및 유형 5 경로 공존 을 참조하십시오.

EVPN 경로 보급은 새 호스트로부터 패킷을 수신할 때 MAC-IP 학습을 통해 EVPN 경로의 설치(또는 변경)에 의해 트리거됩니다. 이 경우, 소스 IP 경로가 evpn.0 데이터베이스에 설치되고 EVPN 유형 2 광고(할당된 경우 GBP 태그 포함)가 모든 eBGP 피어로 전송됩니다.

이러한 보급이 네트워크를 통해 원격 엔드포인트로 전파된 후 원격 엔드포인트는 원격 수신에서 수신된 패킷에 대한 GBP 방화벽 필터 결정을 내리기에 충분한 정보를 갖게 됩니다. 패킷이 수신 시 수신되면 원격 엔드포인트는 대상 경로를 조회하고 이전에 EVPN 유형 2 광고를 통해 수신한 대상 GBP 태그를 가져올 수 있습니다. 대상 GBP 태그로 무장한 원격 엔드포인트는 이후 수신 패킷에 대한 GBP 정책 시행 결정을 내릴 수 있습니다.

GBP 태그는 EVPN 유형 2 경로 보급을 사용하여 전파되기 때문에 태그 전파는 반드시 MAC 또는 IP 주소별로 수행됩니다. 그러나 이는 태그 할당과 관련이 없으며, 이는 VLAN 또는 인터페이스와 같은 지원되는 방법 중 하나일 수 있습니다.

예를 들어, 인터페이스를 기반으로 태그 할당을 구성하고 해당 인터페이스에서 새 호스트의 패킷이 수신된 경우, 해당 인터페이스에 할당된 태그는 수신 패킷의 소스 MAC 및 IP 주소와 함께 유형 2 경로 보급에 전파됩니다. 이후 동일한 인터페이스에서 다른 호스트의 패킷이 수신되면, 동일한 태그가 다른 호스트의 소스 MAC 및 IP 주소와 함께 다른 Type 2 경로 보급에 전파됩니다.

참고:

경계 리프 스위치가 GBP 태그가 포함된 EVPN 유형 2 보급을 수신하면 스위치는 유형 2 경로를 설치하고 해당 GBP 태그가 포함된 EVPN 유형 5 보급을 다른 데이터센터의 경계 리프 스위치와 같은 eBGP 피어에 생성합니다(DC 간 트래픽용). 이 유형 5 경로에는 /32 IP 주소와 GBP 태그가 포함되어 있습니다.

이 유형 2에서 유형 5 GBP 태그 전파는 지원되지만 유형 5에서 유형 2 GBP 태그 전파는 지원되지 않습니다.

멀티호밍 토폴로지의 경우, 멀티호밍 멤버 간에 구성을 동일하게 유지합니다.

수신 노드에서 정책 시행을 수행하려면 다음 문을 활성화해야 합니다. 수신 적용이 활성화 또는 비활성화되면 패킷 포워딩 엔진(PFE)이 다시 시작됩니다.

표 14 는 여러 플랫폼에 대한 메인 라인 기능과의 차이점을 보여줍니다.

표 14: 플랫폼별 수신 적용 동작

플랫폼

차이

QFX5130, QFX5700

  • 수신 적용이 자동으로 지원됩니다. 수신 적용을 구성할 필요는 없으며 수신 적용을 비활성화할 수도 없습니다.

  • 수신에 도착하는 패킷의 대상 GBP 태그가 GBP 정책과 일치하지 않으면 기본적으로 패킷을 폐기하더라도 패킷이 네트워크로 수락됩니다. 이는 송신이 정책을 시행하도록 허용하기 위한 것입니다.

EVPN 유형 5 보급을 사용한 IP 접두사 경로에 대한 태그 전파

MAC-IP 학습에 의해 트리거되는 태그 전파로 인해 /32 IP 경로가 생성되는 것 외에도, EVPN 유형 5 보급을 사용하여 IP 접두사 경로에 대한 GBP 태그 전파를 지원합니다.

참고: 모든 플랫폼이 IP 접두사 경로에 대한 태그 전파를 지원하는 것은 아닙니다. 표 15를 참조하십시오.

IP 접두사 경로의 경우, 예를 들어 인터페이스를 생성하고 직접 EVPN 경로()의 보급을 활성화할 때 태그 전파가 발생할 수 있습니다.set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop 또한 해당 IP 접두사에 GBP 태그를 할당하는 경우, 후속 EVPN 유형 5 보급에는 GBP 태그가 포함되어 MAC-IP 학습이 수행되기 전에 태그가 전파됩니다.

일반적으로 EVPN 유형 5 광고 내의 GBP 태그 전파는 태그를 IP 접두사에 할당하는 GBP 필터를 생성하고 해당 IP 접두사 경로가 evpn.0 라우팅 데이터베이스에 설치될 때마다 발생합니다. (경로가 설치되기 전이나 후에 GBP 필터를 생성할 수 있습니다.)

스위치가 유형 5 광고를 생성하더라도 스위치가 새로운 호스트를 학습하면(예: 데이터 플레인의 MAC-IP 학습을 통해) 스위치는 유형 2 광고도 생성합니다. 많은 경우 EVPN 트래픽을 줄이기 위해 이러한 중복 /32 보급을 억제하는 것이 바람직할 수 있습니다. 이렇게 하려면 /32 경로를 거부하는 BGP 정책을 생성합니다.

예를 들어, 다음은 IPv4 호스트에서 /32 경로를 거부하는 fm_v4_host라는 용어를 가진 T5_EXPORT라는 정책을 생성합니다.

참고:

스위치가 IP 접두사 경로 및 연결된 GBP 태그에 대한 EVPN 보급을 수신하고 동일한 IP 접두사 경로에 다른 태그를 할당하는 GBP 필터를 구성한 경우 로컬로 구성된 GBP 필터의 GBP 태그가 우선합니다. 스위치는 EVPN 경로를 다시 보급하기 전에 수신된 EVPN 보급의 GBP 태그를 로컬에 할당된 GBP 태그로 바꿉니다.

IP 접두사에 대한 GBP 필터를 생성하고 GBP 필터를 라우팅 인스턴스에 연결하면 IP 접두사 태그 전파가 자동으로 활성화됩니다. 예를 들면 다음과 같습니다.

여기서 <routing-instance> 는 필터를 적용할 라우팅 인스턴스의 이름입니다.

IP 접두사 경로가 GBP 태그와 연결되면 해당 IP 접두사 경로에 대한 명령 출력 show route 에 GBP 태그가 표시됩니다. 예를 들면 다음과 같습니다.

라우팅 인스턴스와 GBP 필터 간의 바인딩을 보려면 다음 show evpn gbp-src-tag filter-bind routing-instance 명령을 사용합니다.

GBP 태그 매핑에 대한 IP 접두사 경로를 보려면 다음 show evpn gbp-src-tag ip-prefix inet 명령을 사용합니다.

이 기능의 한계는 다음과 같습니다.

  • GBP 필터는 하나의 라우팅 인스턴스에만 연결할 수 있습니다. 동일한 GBP 필터를 여러 라우팅 인스턴스에 연결할 수 없습니다.

  • 동일한 IP 접두사 일치 조건을 가진 두 개의 서로 다른 GBP 필터를 동일한 라우팅 인스턴스에 연결할 수 없습니다.

  • IP 기반 GBP 필터만 라우팅 인스턴스에 연결할 수 있습니다. 다른 유형의 GBP 필터를 연결해도 효과가 없습니다.

표 15 는 여러 플랫폼에 대한 메인 라인 기능과의 차이점을 보여줍니다.

표 15: IP 접두사 경로 동작에 대한 플랫폼별 태그 전파

플랫폼

차이

EX4100

IP 접두사 경로에 대한 태그 전파는 지원되지 않습니다.

QFX5130, QFX5700

IP 접두사 경로에 대한 태그 전파는 지원되지 않습니다.

GBP 태그가 지정된 트래픽의 필터 기반 포워딩

필터 기반 포워딩은 트래픽에 할당된 GBP 태그가 필터에 지정된 GBP 태그와 일치하는 경우 지정된 다음 홉으로 트래픽을 포워딩하는 기능을 의미합니다. 이 기능을 사용하여 지정된 태그 지정된 트래픽과 일반 트래픽에 대해 다른 라우팅 처리를 적용할 수 있습니다.

참고: 모든 플랫폼이 필터 기반 포워딩을 지원하는 것은 아닙니다. 표 19를 참조하십시오.

포워딩 필터를 생성하려면 일치시키려는 소스 및 대상 태그와 일치하는 트래픽을 전달하려는 다음 홉을 지정합니다.

필터 기반 포워딩에 대한 CLI 문은 제품마다 다릅니다. 표 16 과 표 17을 참조하십시오.

표 16: GBP 태그가 지정된 트래픽의 필터 기반 포워딩 예(EX4xxx 시리즈 및 QFX 시리즈 스위치)

필터 기반 포워딩 구성 예(EX4xxx, EX5200 및 QFX5120 스위치)

설명

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1

기본 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 10.10.1.1 경로의 다음 홉으로 포워딩합니다.

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.0/24

기본 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 10.10.1.0/24 경로의 다음 홉으로 포워딩합니다.

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1 routing-instance VRF-100

VRF-100 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 10.10.1.1 경로의 다음 홉으로 전달합니다.

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2

기본 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 2001:db8:4136:e378:8000:63bf:3fff:fdd2 경로의 다음 홉으로 전달합니다.

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136::/48

기본 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 2001:db8:4136::/48 경로의 다음 홉으로 포워딩합니다.

 
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2 routing-instance VRF-100

VRF-100 라우팅 인스턴스를 사용하여 GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 2001:db8:4136:e378:8000:63bf:3fff:fdd2 경로의 다음 홉으로 포워딩합니다.

제한 사항:

  • 필터 기반 포워딩은 IPv4/IPv6 주소 일치 조건을 사용하여 할당된 태그에 대해서만 지원됩니다. MAC 주소, 인터페이스, VLAN, 인터페이스+VLAN과 같은 다른 일치 조건을 사용하여 할당된 태그에는 지원되지 않습니다.

  • 다음 홉의 유효성 또는 존재에 관한 확인은 이루어지지 않습니다. 다음 홉이 라우팅 테이블에 없거나 해결되지 않거나 아웃바운드 인터페이스가 다운된 경우 필터 기반 포워딩이 수행되지 않고 패킷이 드롭됩니다.

  • 와 공 next-ip 존할 수 있는 유일한 행동은 count.next-ip6 예를 들면 다음과 같습니다.

    set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then count num_100_200_packets
set firewall family any filter f1 term t1 then next-ip 10.10.1.1
표 17: GBP 태그가 지정된 트래픽의 필터 기반 포워딩 예(EX92xx 시리즈 스위치 및 MX 시리즈 라우터)

필터 기반 포워딩 구성 예(EX92xx 시리즈 스위치 및 MX 시리즈 라우터)

설명

 
set firewall family any filter f1 term t1 from ip-version ipv4
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1/32

GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 10.10.1.1/32 경로의 다음 홉으로 포워딩합니다.

 
set firewall family any filter f1 term t1 from ip-version ipv6
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2/128

GBP 소스 태그 100 및 대상 태그 200이 있는 트래픽을 2001:db8:4136:e378:8000:63bf:3fff:fdd2/128 경로의 다음 홉으로 포워딩합니다.

제한 사항:

  • IPv4/32 및 IPv6/128 주소만 다음 홉으로 지원됩니다.

  • 다음 홉의 유효성 또는 존재에 관한 확인은 이루어지지 않습니다. 다음 홉이 라우팅 테이블에 없거나 해결되지 않거나 아웃바운드 인터페이스가 다운된 경우 필터 기반 포워딩이 수행되지 않고 패킷이 드롭됩니다.

  • 와 공 next-ip 존할 수 있는 동작은 count, policer, , .acceptnext-ip6 예를 들면 다음과 같습니다.

    set firewall family any filter f1 term t1 from ip-version ipv4
set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then count num_100_200_packets
set firewall family any filter f1 term t1 then policer CIR-100
set firewall family any filter f1 term t1 then next-ip 10.10.1.1/32

EX92xx 시리즈 스위치 및 MX 시리즈 라우터의 경우, 필터에서 직접 라우팅 테이블을 지정하지 않기 때문에 포워딩 필터를 라우팅 테이블에 명시적으로 연결해야 합니다. CLI 구성 예는 표 18 을 참조하십시오.

표 18: 포워딩 필터 연결 예시(EX92xx 시리즈 스위치 및 MX 시리즈 라우터)
포워딩 필터 연결 구성 예(EX92xx 시리즈 스위치 및 MX 시리즈 라우터) 설명 
set routing-instances VRF-100 forwarding-options family inet filter output f1
 VRF-100 IPv4 라우팅 테이블에서 경로 조회 후 f1 포워딩 필터를 적용합니다. 
set routing-instances VRF-100 forwarding-options family inet6 filter output f1
 VRF-100 IPv6 라우팅 테이블에서 경로 조회 후 f1 포워딩 필터를 적용합니다.
참고: 포워딩 필터는 또는 virtual-router유형의 vrf 라우팅 인스턴스에만 연결할 수 있습니다. 포워딩 필터는 다른 라우팅 인스턴스 또는 다른 연결 지점에 연결할 수 없습니다.

표 19 에는 플랫폼에 대한 필터 기반 포워딩 플랫폼별 동작이 요약되어 있습니다.

표 19: 플랫폼별 필터 기반 전달 동작

플랫폼

차이

EX4xxx, EX5200

  • 필터의 다음 홉은 접두사 경로일 수 있습니다.

  • 필터에서 적용 가능한 라우팅 인스턴스를 직접 지정합니다.

EX92xx

  • 필터의 다음 홉은 /32 IPv4 또는 /128 IPv6 경로여야 합니다.

  • 해당 라우팅 인스턴스에 필터를 명시적으로 연결하여 해당 라우팅 인스턴스를 지정합니다.

MX 시리즈

  • 필터의 다음 홉은 /32 IPv4 또는 /128 IPv6 경로여야 합니다.

  • 해당 라우팅 인스턴스에 필터를 명시적으로 연결하여 해당 라우팅 인스턴스를 지정합니다.

QFX 5120

  • 필터의 다음 홉은 접두사 경로일 수 있습니다.

  • 필터에서 적용 가능한 라우팅 인스턴스를 직접 지정합니다.
QFX5130, QFX5700 필터 기반 전달은 지원되지 않습니다.

GBP MAC/IP 인터 태깅

MAC/IP 인터 태깅을 통해 MAC 기반 GBP 태그 할당을 라우팅된 트래픽에 적용하고 IP 기반 GBP 태그 할당을 스위치 트래픽에 적용할 수 있습니다.

  • MAC/IP 인터 태깅이 활성화되면 MAC 기반 및 IP 기반 GBP 필터가 모두 스위칭 및 라우팅된 트래픽에 적용됩니다.

  • MAC/IP 인터 태깅이 비활성화된 경우, MAC 기반 GBP 필터는 스위치된 트래픽에만 적용되고 IP 기반 GBP 필터는 라우팅된 트래픽에만 적용됩니다.

활성화되면 스위치가 다음과 같이 해당 항목을 자동으로 추가합니다.

  • MAC 기반 GBP 필터를 생성하는 경우 해당 MAC 주소와 일치하는 첫 번째 패킷이 도착하면 스위치가 해당 IP 기반 GBP 할당을 자동으로 생성합니다. 이 할당은 원래 MAC 기반 GBP 필터와 동일한 태그를 적용하지만 MAC 주소 대신 소스 IP 주소와 일치합니다.

  • IP 기반 GBP 필터를 생성하는 경우 해당 IP 주소와 일치하는 첫 번째 패킷이 도착하면 스위치가 해당 MAC 기반 GBP 할당을 자동으로 생성합니다. 이 할당은 원래 IP 기반 GBP 필터와 동일한 태그를 적용하지만 IP 주소 대신 소스 MAC 주소에서 일치합니다.

해당 항목을 생성하면 플로우가 이후에 전환되거나 라우팅되는지 여부에 관계없이 원하는 GBP 태그가 할당됩니다.

참고: 이 기능을 활성화하는 경우 충돌하는 GBP 태그 할당을 생성하지 않도록 주의해야 합니다. 예를 들어, 이 기능을 사용하도록 설정하고 다음과 같이 두 개의 필터를 생성합니다.

  • 필터 1: MAC 주소가 52:54:00:00:00:11인 트래픽에 GBP 태그 100을 할당합니다.

  • 필터 2: IP 주소가 172.16.0.11인 트래픽에 GBP 태그 200을 할당합니다

    • 그런 다음
스위치가 해당 MAC/IP 조합으로 트래픽을 수신하지 않도록 합니다. 위의 필터를 생성하고 MAC/IP 인터 태깅을 활성화할 때 스위치가 MAC 주소 52:54:00:00:00:11 및 IP 주소 172.16.0.11의 패킷을 수신하면 태깅 동작이 불확실합니다.

MAC/IP 인터 태깅을 활성화하려면:

참고:

mac-ip-inter-tagging 옵션을 설정하거나 삭제하면 패킷 포워딩 엔진(PFE)이 자동으로 재시작됩니다.
참고:

버추얼 섀시에서 mac-ip-inter-tagging 옵션을 설정하거나 삭제하는 경우 버추얼 섀시의 모든 멤버를 재부팅해야 합니다. request system reboot all-members

아래에서 MAC/IP 인터 태깅을 활성화할 때 MAC 및 IP 테이블 모두에 동일한 GBP 태그 100이 나타나는 것을 볼 수 있습니다.

표 20 은 여러 플랫폼에 대한 메인라인 기능과의 차이점을 보여줍니다.

표 20: 플랫폼별 MAC/IP 인터 태깅 동작

플랫폼

차이

QFX5130, QFX5700

MAC/IP 인터 태깅이 자동으로 활성화됩니다. 비활성화할 수 없습니다.

변경 내역 표

기능 지원은 사용 중인 플랫폼과 릴리스에 따라 결정됩니다. 기능 탐색기를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.

출시
설명
26.2R1S1
Junos OS 릴리스 26.2R1S1부터 EX5200 플랫폼은 GBP 처리를 지원합니다.
25.4R1
Junos OS 릴리스 25.4R1부터는 를 gbp-pure-l2-profile사용할 때 대상 IP 주소를 기반으로 정책을 적용할 수 있습니다. 대상 IP 주소를 사용한 적용을 참조하십시오.
25.4R1
EX4100, EX4400, EX4650 및 QFX5120 플랫폼에서 Junos OS 릴리스 25.4R1부터는 MAC/IP 인터 태깅이 기본적으로 활성화됩니다. GBP MAC/IP 인터 태깅을 참조하십시오.
25.2X100-D30
Junos OS Evolved 릴리스 25.2X100-D30부터 QFX5130 및 QFX5700 플랫폼은 GBP 처리를 지원합니다.
25.2R1
EX9200 및 MX 플랫폼에서 Junos OS 릴리스 25.2R1부터는 GBP 태그가 지정된 트래픽의 필터 기반 포워딩을 지원합니다. GBP 태그가 지정된 트래픽의 필터 기반 포워딩을 참조하십시오.
24.4R1
Junos OS 릴리스 24.4R1부터는 GBP 태그 할당 필터에서 엄격한 방화벽 용어 순서 외에도 가장 긴 접두사 일치를 지원합니다. 가장 긴 접두사 일치 대 엄격한 방화벽 용어 순서를 참조하십시오.
24.4R1
EX4100, EX4400, EX4650 및 QFX5120 플랫폼에서 Junos OS 릴리스 24.4R1부터는 GBP 태그가 지정된 트래픽의 필터 기반 포워딩을 지원합니다. GBP 태그가 지정된 트래픽의 필터 기반 포워딩을 참조하십시오.
24.2R1
EX4100, EX4400, EX4650 및 QFX5120 플랫폼에서 Junos OS 릴리스 24.2R1부터는 MAC/IP 인터 태깅을 지원합니다. GBP MAC/IP 인터 태깅을 참조하십시오.
24.2R1
EX4100, EX4400, EX4650 및 QFX5120 플랫폼의 Junos OS 릴리스 24.2R1부터는 GBP 정책 적용 필터에서 명시적 기본 폐기를 지원합니다. 명시적 기본 폐기를 참조하십시오.
24.2R1
EX4400, EX4650, EX9200 및 QFX5120 플랫폼에서 Junos OS 릴리스 24.2R1부터는 EVPN 유형 5 보급을 사용하여 IP 접두사 경로에 대한 GBP 태그 전파를 지원합니다. EVPN 유형 5 보급을 사용한 IP 접두사 경로에 대한 태그 전파를 참조하십시오.
23.4R1
Junos OS 릴리스 23.4R1부터 인터페이스 범위, 인터페이스 목록 및 GBP 태그 할당 필터의 여러 인터페이스 항목을 지원합니다. IP 주소 일치의 예를 참조하십시오.
23.4R1
EX4400, EX4650 및 QFX5120 플랫폼에서 Junos OS 릴리스 23.4R1부터 GBP 태그 할당 필터에서 VLAN 범위, VLAN 목록 및 여러 VLAN 항목을 지원합니다. VLAN에서의 일치 예를 참조하십시오.
23.4R1
EX4400, EX4650 및 QFX5120 플랫폼에서 Junos OS 릴리스 23.4R1부터는 GBP 태그 할당 필터의 단일 용어 내에서 인터페이스 및 VLAN 일치 조건의 조합을 지원합니다. 인터페이스 일치의 예를 참조하십시오.
23.4R1
Junos OS 릴리스 23.4R1부터는 RADIUS 인증에 대해 juniper-group-based-policy-id VSA를 지원합니다. RADIUS를 사용하여 GBP 태그 할당을 참조하십시오.
23.4R1
Junos OS 릴리스 23.4R1부터는 CLI 문에서 protocols dot1x authenticator interface 옵션을 지원합니다gbp-tag. RADIUS를 사용하여 GBP 태그 할당을 참조하십시오.
23.2R1
EX4100, EX4400, EX4650 및 QFX5120 플랫폼의 Junos OS 릴리스 23.2R1부터는 GBP 정책 실행 필터에서 L4 일치를 지원합니다. L4 필드를 사용한 적용을 참조하십시오.
22.4R1
Junos 릴리스 22.4R1부터는 수신 시 정책 시행을 수행할 수 있습니다. EVPN-VXLAN에 대한 수신 및 태그 전파에서 GBP 정책 시행을 참조하십시오.