예: OVSDB 관리 인터페이스에 방화벽 필터 적용
Junos OS 릴리스 14.1X53-D30부터 Contrail 컨트롤러가 관리하는 VXLAN 인터페이스에 논리적 유닛(하위 인터페이스)을 생성할 수 있습니다.family ethernet-switching 컨트롤러와 스위치는 Open vSwitch Database(OVSDB) 관리 프로토콜을 통해 통신합니다. 이 지원을 통해 이러한 하위 인터페이스에 레이어 2() 방화벽 필터를 적용할 수 있으며, 이는 OVSDB 관리 인터페이스에 방화벽 필터를 적용한다는 것을 의미합니다.family ethernet-switching Contrail 컨트롤러는 하위 인터페이스를 동적으로 생성할 수 있으므로, 컨트롤러가 하위 인터페이스를 생성할 때마다 필터가 하위 인터페이스에 적용되도록 방화벽 필터를 적용해야 합니다. 구성 그룹을 사용하여 방화벽 필터를 구성하고 적용하면 됩니다. (이를 위해 구성 그룹을 사용해야 합니다. 즉, 이러한 하위 인터페이스에 방화벽 필터를 직접 적용할 수 없습니다.)
방화벽 필터는 OVSDB 관리 인터페이스의 하위 인터페이스에서 유일하게 지원되는 구성 항목 입니다.family ethernet-switching 레이어 2(포트) 필터만 허용됩니다.
요구 사항
이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.
QFX5100 스위치
Junos OS 릴리스 14.1X53-D30 이상
개요
이 예에서는 스위치의 인터페이스 xe-0/0/0 및 xe-0/0/1이 Contrail 컨트롤러에 의해 관리되는 VXLAN 인터페이스라고 가정합니다. 이는 컨트롤러가 이러한 인터페이스에 및 문을 적용 했음을 의미합니다.flexible-vlan-taggingencapsulation extended-vlan-bridge 웹에서 들어오는 트래픽을 컨트롤러가 동적으로 생성하는 모든 하위 인터페이스에 허용하는 방화벽 필터를 적용하려고 합니다. 방화벽 필터 레이어 2(포트) 방화벽 필터를 동적으로 생성된 하위 인터페이스에 적용하려면 이 예와 같이 필터를 생성하고 적용해야 합니다.
구성
Contrail 컨트롤러에 의해 동적으로 생성된 하위 인터페이스에 방화벽 필터가 자동으로 적용되도록 구성하려면 다음 작업을 수행하십시오.
CLI 빠른 구성
[edit] set groups vxlan-filter-group interfaces xe-0/0/0 unit <*> family ethernet-switching filter input vxlan-filter set groups vxlan-filter-group interfaces xe-0/0/1 unit <*> family ethernet-switching filter input vxlan-filter set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 from destination-port 80 set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 then accept set apply-groups vxlan-filter-group
절차
단계별 절차
인터페이스 xe-0/0/0의 모든 하위 인터페이스에 방화벽 필터를 적용할 구성 그룹을 생성합니다. 필터는 다음을 지정하므로 모든 하위 인터페이스에 적용됩니다.
vxlan-filter-groupvxlan-filterunit <*>[edit] user@switch# set groups vxlan-filter-group interfaces xe-0/0/0 unit <*> family ethernet-switching filter input vxlan-filter
인터페이스 xe-0/0/1에 대해 동일한 구성을 생성합니다.
[edit] user@switch# set groups vxlan-filter-group interfaces xe-0/0/1 unit <*> family ethernet-switching filter input vxlan-filter
웹으로 나가는 트래픽과 일치하는 패밀리 필터를 포함하도록 그룹을 구성합니다.
ethernet-switching[edit] user@switch# set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 from destination-port 80
필터와 일치하는 트래픽을 허용하도록 그룹을 구성합니다.
[edit] user@switch# set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 then accept
그룹을 적용하여 구성을 활성화합니다.
[edit] user@switch# set apply-groups vxlan-filter-group