예를 들면 다음과 같습니다. OVSDB 매니지드 인터페이스에 방화벽 필터 적용
Junos OS 릴리스 14.1X53-D30부터 Contrail 컨트롤러가 관리하는 VXLAN 인터페이스에서 논리적 유닛(하위 인터페이스)을 생성 family ethernet-switching 할 수 있습니다. (컨트롤러와 스위치는 개방형 vSwitch 데이터베이스(OVSDB—관리 프로토콜)를 통해 통신합니다. 이러한 지원을 통해 레이어 2(family ethernet-switching) 방화벽 필터를 이러한 하위 인터페이스에 적용할 수 있습니다. 즉, OVSDB 매니지드 인터페이스에 방화벽 필터를 적용할 수 있습니다. Contrail 컨트롤러는 동적으로 서브 인터페이스를 생성할 수 있으므로 컨트롤러가 생성할 때마다 필터를 하위 인터페이스에 적용할 수 있는 방식으로 방화벽 필터를 적용해야 합니다. 구성 그룹을 사용하여 방화벽 필터를 구성하고 적용함으로써 이 작업을 수행할 수 있습니다. (이 목적을 위해 구성 그룹을 사용해야 합니다. 즉, 방화벽 필터를 이러한 하위 인터페이스에 직접 적용할 수 없습니다.)
방화벽 필터는 OVSDB 매니지드 인터페이스의 하위 인터페이스에서 family ethernet-switching 지원되는 유일한 구성 항목입니다. 레이어 2(포트) 필터는 허용되는 유일한 필터입니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
QFX5100 스위치
Junos OS 릴리스 14.1X53-D30 이상
개요
이 예에서는 스위치의 xe-0/0/0 및 xe-0/0/1 인터페이스가 Contrail 컨트롤러에 의해 관리되는 VXLAN 인터페이스라고 가정합니다. 즉, 컨트롤러가 이러한 인터페이스에 및 encapsulation extended-vlan-bridge 문을 적용 flexible-vlan-tagging 했음을 의미합니다. 웹에서 컨트롤러가 동적으로 생성하는 모든 하위 인터페이스에 트래픽을 허용하는 방화벽 필터를 적용하고자 합니다. 방화벽 필터 레이어 2(포트) 방화벽 필터를 동적으로 생성된 하위 인터페이스에 적용하려면 이 예와 같이 필터를 생성하고 적용해야 합니다.
구성
Contrail 컨트롤러에 의해 동적으로 생성된 하위 인터페이스에 자동으로 적용될 방화벽 필터를 구성하려면 다음 작업을 수행합니다.
CLI 빠른 구성
[edit] set groups vxlan-filter-group interfaces xe-0/0/0 unit <*> family ethernet-switching filter input vxlan-filter set groups vxlan-filter-group interfaces xe-0/0/1 unit <*> family ethernet-switching filter input vxlan-filter set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 from destination-port 80 set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 then accept set apply-groups vxlan-filter-group
절차
단계별 절차
인터페이스 xe-0/0/0의 모든 하위 인터페이스에 방화벽 필터
vxlan-filter를 적용하기 위한 구성 그룹을vxlan-filter-group만듭니다. 을(를) 지정unit <*>하기 때문에 필터가 모든 하위 인터페이스에 적용됩니다.[edit] user@switch# set groups vxlan-filter-group interfaces xe-0/0/0 unit <*> family ethernet-switching filter input vxlan-filter
인터페이스 xe-0/0/1에 대해 동일한 구성을 생성합니다.
[edit] user@switch# set groups vxlan-filter-group interfaces xe-0/0/1 unit <*> family ethernet-switching filter input vxlan-filter
웹으로 나가는 트래픽과 일치하는 제품군
ethernet-switching필터를 포함하도록 그룹을 구성합니다.[edit] user@switch# set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 from destination-port 80
필터와 일치하는 트래픽을 수락하도록 그룹을 구성합니다.
[edit] user@switch# set groups vxlan-filter-group firewall family ethernet-switching filter vxlan-filter term t1 then accept
그룹을 적용하여 구성을 활성화합니다.
[edit] user@switch# set apply-groups vxlan-filter-group