MPLS 트래픽의 IP 기반 필터링 및 선택적 포트 미러링 이해
MPLS 패킷에서 IP 헤더는 MPLS 헤더 바로 뒤에 옵니다. IP 기반 필터링 기능은 심층 검사 메커니즘을 제공하며, 최대 8개의 내부 페이로드 MPLS 레이블을 검사하여 IP 매개변수를 기반으로 MPLS 트래픽을 필터링할 수 있습니다. 필터링된 MPLS 트래픽은 모니터링 디바이스로 포트 미러링되어 코어 MPLS 네트워크에서 네트워크 기반 서비스를 제공할 수도 있습니다.
MPLS 트래픽의 IP 기반 필터링
Junos OS 릴리스 18.4R1 이전에는 MPLS 제품군 필터에 대해 IP 매개 변수를 기반으로 한 필터링이 지원되지 않았습니다. IP 기반 필터링 기능의 도입으로 소스 및 목적지 주소, 레이어 4 프로토콜 유형, 소스 및 목적지 포트와 같은 IP 매개 변수를 기반으로 MPLS 태그 지정된 IPv4 및 IPv6 패킷에 인바운드 및 아웃바운드 필터를 적용할 수 있습니다.
IP 기반 필터링 기능을 사용하면 인터페이스 수신 시 MPLS 패킷을 필터링할 수 있으며, 여기서 필터링은 MPLS 패킷의 내부 페이로드에 대한 일치 조건을 사용하여 수행됩니다. 그런 다음 선택적 MPLS 트래픽은 논리 터널을 사용하여 원격 모니터링 디바이스에 포트 미러링될 수 있습니다.
IP 기반 필터링을 지원하기 위해 적절한 필터가 적용되기 전에 MPLS 패킷을 심층 검사하여 레이어 3 및 레이어 4 헤더가 있는 내부 페이로드를 구문 분석할 수 있는 추가 일치 조건이 추가되었습니다.
IP 기반 필터링 기능은 MPLS 태그가 지정된 IPv4 및 IPv6 패킷에 대해서만 지원됩니다. 즉, MPLS 필터는 IP 페이로드가 MPLS 레이블 바로 뒤에 올 때만 IP 매개 변수를 일치시킵니다.
MPLS 페이로드에 유사 회선, inet 및 inet6 이외의 프로토콜 또는 레이어 2 VPN 또는 VPLS와 같은 기타 캡슐화가 포함된 다른 시나리오에서는 IP 기반 필터링 기능이 지원되지 않습니다.
MPLS 트래픽의 IP 기반 필터링에 대해 다음과 같은 일치 조건이 추가되었습니다.
IPv4 소스 주소
IPv4 대상 주소
IPv6 소스 주소
IPv6 대상 주소
프로토콜
소스 포트
목적지 포트
소스 IPv4 접두사 목록
대상 IPv4 접두사 목록
소스 IPv6 접두사 목록
대상 IPv6 접두사 목록
MPLS 트래픽의 IP 기반 필터링에 대해 지원되는 일치 조합은 다음과 같습니다.
IPv4 및 IPv6 접두사 목록과 소스 및 대상 주소 일치 조건.
소스 및 대상 포트 주소와 프로토콜 유형은 IPv4 및 IPv6 접두사 목록과 조건을 일치시킵니다.
MPLS 트래픽의 선택적 포트 미러링
포트 미러링은 패킷의 정상적인 처리 및 전달에 더하여 구성된 대상으로 패킷을 미러링하는 기능입니다. 포트 미러링은 방화벽 필터에 대한 작업으로 적용되며, 이는 모든 인터페이스의 수신 또는 송신에 적용됩니다. 마찬가지로, 선택적 포트 미러링 기능은 IP 매개 변수를 기반으로 필터링된 MPLS 트래픽을 논리적 터널을 사용하여 미러링된 대상으로 미러링하는 기능을 제공합니다.
선택적 포트 미러링을 활성화하기 위해 기존의 , , 작업 외에 계층 수준에서 추가 작업을 구성합니다.[edit firewall family mpls filter filter-nameterm term-name then]counteracceptdiscard
port-mirrorport-mirror-instance
Port Mirroring
이 작업은 디바이스에서 포트 미러링을 전역적으로 활성화하며, 이는 모든 패킷 전달 엔진(PEE) 및 관련 인터페이스에 적용됩니다.port-mirror
MPLS 제품군 필터의 경우, 글로벌 포트 미러링에 대해 작업이 활성화됩니다.port-mirror
Port Mirroring Instance
이 작업을 통해 포트 미러링을 위해 단일 시스템 전체 구성을 사용할 필요 없이 입력 샘플링 및 포트 미러링 출력 대상에 대해 서로 다른 속성으로 각 인스턴스를 사용자 지정할 수 있습니다.port-mirror-instance
계층 수준에서 문을 포함하여 FPC(Flexible PIC Concentrator)당 2개의 포트 미러링 인스턴스만 구성할 수 있습니다.instance port-mirror-instance-name[edit forwarding-options port-mirror] 그런 다음 디바이스 하드웨어에 따라 개별 포트 미러링 인스턴스를 FPC, PIC 또는 (FEB(Forwarding Engine Board))와 연결할 수 있습니다.
MPLS 제품군 필터의 경우, 포트 미러링 인스턴스에 대해서만 작업이 활성화됩니다.port-mirror-instance
및 작업 모두에 대해 선택적 포트 미러링 기능이 작동하려면 출력 인터페이스가 제품군 MPLS(레이어 3)가 아닌 레이어 2 제품군으로 활성화되어야 합니다.port-mirrorport-mirror-instance
샘플 구성
IP 기반 필터링 구성
[edit firewall family mpls filter mpls-filter]
term ipv4-term {
from {
ip-version {
ipv4 {
source-address {
10.10.10.10/24;
}
destination-address {
20.20.20.20/24;
}
protocol tcp {
source-port 100;
destination-port 200;
}
soure-prefix-list ipv4-source-users;
destination-prefix-list ipv4-destination-users;
}
}
exp 1;
}
then port-mirror;
then accept;
then count;
}
term ipv6-term {
from {
ip-version {
ipv6 {
source-address {
2000::1/128;
}
destination-address {
3000::1/128;
}
protocol tcp {
source-port 100;
destination-port 200;
}
source-prefix-list ipv6-source-users;
destination-prefix-list ipv6-destination-users;
}
}
exp 1;
}
then port-mirror-instance port-mirror-instance1;
then accept;
then count;
}
[edit policy-options]
prefix-list ipv4-source-users {
172.16.1.16/28;
172.16.2.16/28;
}
prefix-list ipv6-source-users {
2001::1/128;
3001::1/128;
}
[edit interfaces]
xe-0/0/1 {
unit 0 {
family inet {
address 100.100.100.1/30;
}
family mpls {
filter {
input mpls-filter;
}
}
}
}
선택적 포트 미러링 구성
[edit forwarding-options]
port-mirroring {
input {
rate 2;
run-length 4;
maximum-packet-length 500;
}
family any {
output {
interface xe-2/0/2.0;
}
}
}
[edit forwarding-options]
port-mirroring {
instance {
port-mirror-instance1 {
input {
rate 3;
run-length 5;
maximum-packet-length 500;
}
family any {
output {
interface xe-2/0/2.0;
}
}
}
}
}
출력 인터페이스는 제품군 MPLS가 아닌 레이어 2 제품군에 대해 구성됩니다.xe-2/0/2.0
및 작업 모두에 대해 선택적 포트 미러링 기능이 작동하려면 출력 인터페이스가 제품군 MPLS(레이어 3)가 아닌 레이어 2 제품군으로 활성화되어야 합니다.port-mirrorport-mirror-instance
미러링된 대상 구성
[edit interfaces]
xe-2/0/2 {
vlan-tagging;
encapsulation extended-vlan-bridge;
unit 0 {
vlan-id 600;
}
}
[edit bridge-domains]
bd {
domain-type bridge;
interface xe-2/0/2.0;
}