Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의
 

레이어 3 VPN의 라우팅 인스턴스

이 항목에서는 레이어 3 VPN에서 라우팅 인스턴스 구성에 대해 설명합니다.

레이어 3 VPN의 라우팅 인스턴스

라우팅 인스턴스는 라우팅 테이블, 인터페이스 및 라우팅 프로토콜 매개변수의 모음입니다. 인터페이스 세트는 라우팅 테이블에 속하며 라우팅 프로토콜 매개 변수가 라우팅 테이블의 정보를 제어합니다. 각 라우팅 인스턴스에는 고유의 이름과 해당 IP 유니캐스트 테이블이 있습니다.

JUNOS 소프트웨어에서 Layer 3 VPN을 구현하려면 각 VPN에 대해 하나의 라우팅 인스턴스를 구성해야 합니다. PE 라우터에서만 라우팅 인스턴스를 구성합니다. 각 VPN 라우팅 인스턴스는 다음과 같은 구성 요소로 구성됩니다.

  • VRF 테이블—각 PE 라우터에서 각 VPN에 대해 하나의 VRF 테이블을 구성합니다.

  • VRF 테이블을 사용하는 인터페이스 세트—직접 연결된 각 CE 라우터에 대한 논리적 인터페이스 는 VRF 테이블과 연결되어야 합니다. VPN에서 두 개 이상의 CE 라우터가 PE 라우터에 직접 연결된 경우 두 개 이상의 인터페이스를 동일한 VRF 테이블에 연결할 수 있습니다.

  • 정책 규칙—경로로의 가져오기와 VRF 테이블로부터의 경로 내보내기 제어

  • CE 라우터에서 VRF 테이블로 경로를 설치하는 하나 이상의 라우팅 프로토콜 — BGP, OSPF 및 RIP 라우팅 프로토콜을 사용하고 정적 경로를 사용할 수 있습니다.

Layer 3 VPN의 라우팅 인스턴스를 위한 루프백 인터페이스상의 논리적 단위 구성

레이어 3 VPN(VRF 라우팅 인스턴스)의 경우, 라우터에서 구성한 각 VRF 라우팅 인스턴스에 루프백 인터페이스의 논리적 단위를 구성할 수 있습니다. VRF 라우팅 인스턴스와 루프백 인터페이스의 논리적 유닛을 연결하면 VRF 라우팅 인스턴스를 쉽게 식별할 수 있습니다.

이 방법은 문제 해결에 유용합니다.

루프백 인터페이스상의 논리적 장치에 대한 방화벽 필터를 구성할 수도 있습니다. 이 구성을 사용하면 관련된 VRF 라우팅 인스턴스의 트래픽을 필터링할 수 있습니다.

다음은 방화벽 필터가 기본 루프백 인터페이스, VRF 라우팅 인스턴스 또는 이 두 가지의 조합에 대해 구성되었는지 여부에 따라 VRF 라우팅 인스턴스에 미치는 영향을 설명합니다. "기본 루프백 인터페이스"는 (기본 라우팅 테이블과 연결됨)을 의미 lo0.0 하며, "VRF 루프백 인터페이스"는 VRF 라우팅 인스턴스에서 구성된 을 말합니다 lo0.n.

  • 기본 루프백 인터페이스에서 필터 A를 구성하고 VRF 루프백 인터페이스에서 필터 B를 구성하면 VRF 라우팅 인스턴스가 필터 B를 사용합니다.

  • 기본 루프백 인터페이스에서 필터 A를 구성하지만 VRF 루프백 인터페이스에서 필터를 구성하지 않는 경우, VRF 라우팅 인스턴스는 필터를 사용하지 않습니다.

  • 기본 루프백 인터페이스에서 필터 A를 구성하지만 VRF 루프백 인터페이스를 구성하지 않는 경우, VRF 라우팅 인스턴스는 필터 A를 사용합니다. MX80 디바이스의 경우 동작이 약간 다릅니다. 기본 루프백 인터페이스에서 필터를 구성하지만 VRF 루프백 인터페이스를 구성하지 않는 경우 VRF 라우팅 인스턴스는 기본 루프백에 할당된 입력 필터만 사용합니다(기본 루프백에서 출력 필터를 사용하지 않음).

일부 ACX 시리즈 유니버설 메트로 라우터(ACX1000, ACX2000, ACX4000 및 ACX5000)의 경우, 기본 루프백 필터는 필터링하는 수신 트래픽과 동일한 라우팅 또는 VRF(Virtual Routing and Forwarding) 인스턴스에 있어야 합니다. 즉, 이러한 디바이스에서는 다른 라우팅 인스턴스에 속하는 인터페이스를 통과하는 트래픽에 기본 루프백 필터를 사용할 수 없습니다.

루프백 인터페이스에서 논리적 단위를 구성하려면 다음과 같은 명령문을 unit 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit interfaces lo0]

  • [edit logical-systems logical-system-name interfaces lo0]

방화벽 필터를 루프백 인터페이스의 논리적 장치와 연결하려면 다음과 같은 명령문을 filter 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit interfaces lo0 unit unit-number family inet]

  • [edit logical-systems logical-system-name interfaces lo0 unit unit-number family inet]

VRF 라우팅 인스턴스에 lo0.n 대한 구성에 인터페이스(논리적 단위를 지정하는 위치 n )를 포함하려면 다음 명령문을 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

VPN의 PE 라우터에서 라우팅 인스턴스 구성

VPN에 참여하는 각 PE 라우터에서 각 VPN에 대한 라우팅 인스턴스를 구성해야 합니다. 이 섹션에 설명된 구성 절차는 Layer 2 VPN, Layer 3 VPN 및 VPLS에 적용됩니다. 각 VPN 유형에 대한 구성 절차는 다른 구성 장의 해당 섹션에서 설명합니다.

VPN을 위한 라우팅 인스턴스를 구성하려면 다음과 같은 진술을 포함합니다.

다음과 같은 계층 수준에 이러한 진술을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

VPN 라우팅 인스턴스를 구성하려면 다음 섹션에서 단계를 수행합니다.

VPN을 위한 라우팅 인스턴스 이름 구성

VPN을 위한 라우팅 인스턴스의 이름은 최대 128자이며 문자, 숫자 및 하이픈을 포함할 수 있습니다. Junos OS 릴리스 9.0 이상에서는 더 이상 실제 라우팅 인스턴스 이름으로 지정할 default 수 없습니다. 또한 특별한 문자 (! @ # $ % ** 및 * - + < > : ;) 라우팅 인스턴스 이름에서 확인할 수 있습니다.

참고:

Junos OS 릴리스 9.6 이상에서는 논리적 시스템이 구성되지 않은 경우에만 라우팅 인스턴스 이름에 슬래시(/)를 포함할 수 있습니다. 즉, 기본값 이외의 논리적 시스템이 명시적으로 구성된 경우, 라우팅 인스턴스 이름에 슬래시 문자를 포함할 수 없습니다.

다음과 같은 명령문으로 라우팅 인스턴스 이름을 지정합니다 routing-instance .

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit]

  • [edit logical-systems logical-system-name]

설명 구성

라우팅 인스턴스에 대한 텍스트 설명을 제공하려면 명령문을 포함합니다 description . 텍스트에 하나 이상의 공백이 있는 경우 따옴표(" ")로 동봉합니다. 포함된 모든 설명 텍스트는 명령의 show route instance detail 출력에 표시되며 라우팅 인스턴스의 작동에 영향을 미치지 않습니다.

텍스트 설명을 구성하려면 다음 내용을 포함하십시오 description .

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

인스턴스 유형 구성

구성한 인스턴스 유형은 레이어 2 VPN, 레이어 3 VPN, VPLS 또는 가상 라우터 구성 여부에 따라 달라집니다. 다음과 같은 명령문을 포함하여 instance-type 인스턴스 유형을 지정합니다.

  • PE 라우터에서 Layer 2 VPN 라우팅을 활성화하려면, 명령문을 포함하고 instance-type 다음 값을 l2vpn지정합니다.

  • PE 라우터에서 VPLS 라우팅을 활성화하려면, 명령문을 포함하고 instance-type 다음 값을 vpls지정합니다.

  • Layer 3 VPN은 각 PE 라우터에 VPN 내에서 경로를 분산하기 위한 VPN 라우팅 및 포워딩(VRF) 테이블을 갖출 것을 요구합니다. PE 라우터에서 VRF 테이블을 만들려면, 명령문을 포함하고 instance-type 다음 값을 vrf지정합니다.

    참고:

    라우팅 엔진 기반 샘플링은 VRF 라우팅 인스턴스에서 지원되지 않습니다.

  • 가상 라우터 라우팅 인스턴스를 활성화하려면, 명령문을 포함하고 instance-type 다음 값을 virtual-router지정합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

VPN 라우팅을 위한 인터페이스 구성

각 PE 라우터에서 VPN 트래픽이 PE와 CE 라우터 사이를 이동하는 인터페이스를 구성해야 합니다.

다음 섹션에서는 VPN을 위한 인터페이스 구성 방법을 설명합니다.

VPN 라우팅을 위한 일반 구성

이 섹션에 설명된 구성은 모든 유형의 VPN에 적용됩니다. Layer 3 VPN 및 캐리어 VPN의 경우, 이 섹션에 설명된 구성을 완료한 후 해당 주제에 대한 인터페이스 구성 섹션으로 진행하십시오.

VPN 라우팅을 위한 인터페이스를 구성하려면 다음과 같은 명령문을 interface 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

인터페이스 이름의 물리적 부분과 논리적 부분을 다음 형식으로 지정합니다.

예를 들어, at-1/2/1 인터페이스 at-1/2/1.2이름의 물리적 부분이며 2 논리적 부분입니다. 인터페이스 이름의 논리적 부분을 지정하지 않으면 기본적으로 값 0 이 설정됩니다.

논리적 인터페이스는 하나의 라우팅 인스턴스에만 연결될 수 있습니다. 계층 수준에서 프로토콜의 마스터 인스턴스를 구성할 때 지정하여 interfaces all 모든 인스턴스에서 [edit protocols] 라우팅 프로토콜을 활성화하고 계층 수준 또는 [edit logical-systems logical-system-name routing-instances routing-instance-name] 계층 수준에서 VPN 라우팅 [edit routing-instances routing-instance-name] 을 위한 특정 인터페이스를 구성하는 경우 후자의 인터페이스 명령문이 우선 순위를 지정하고 인터페이스가 VPN에만 사용됩니다.

계층 수준 및 [edit routing-instances routing-instance-name] [edit logical-systems logical-system-name routing-instances routing-instance-name] 계층 수준에서 동일한 인터페이스 이름을 [edit protocols] 명시적으로 구성하면 구성 커밋 시도가 실패합니다.

레이어 3 VPN을 위한 인터페이스 구성

계층 수준에서 레이어 3 VPN 인터페이스를 [edit interfaces] 구성할 때 논리적 인터페이스를 구성할 때도 구성 family inet 해야 합니다.

Carrier-of-Carriers VPN을 위한 인터페이스 구성

캐리어의 캐리어 VPN을 구성할 때는 PE와 CE 라우터 간의 인터페이스에 대한 명령문 이외에 family inet 도 명령문을 구성 family mpls 해야 합니다. 통신 사업자 VPN의 경우, 다음과 같이 논리적 인터페이스를 구성하십시오.

논리적 인터페이스에서 구성 family mpls 한 다음 비 캐리어(non-carrier-of-carriers) 라우팅 인스턴스 family mpls 에 이 인터페이스를 구성하면, 명령문은 필요하지 않기 때문에 논리적 인터페이스에 대한 구성에서 자동으로 제거됩니다.

VPN 인터페이스에서 유니캐스트 RPF 구성

IP 버전 4 또는 버전 6(IPv4 또는 IPv6) 트래픽을 전송하는 VPN 인터페이스의 경우, RPF(unicast Reverse Path Forwarding)를 구성하여 DoS(Denial-of-Service) 공격의 영향을 줄일 수 있습니다. 유니캐스트 RPF는 공격의 근원을 파악하고 유니캐스트 RPF가 활성화된 인터페이스의 예기치 않은 소스 주소에서 패킷을 거부합니다.

인터페이스에서 유니캐스트 RPF를 활성화하고 계층 레벨의 명령문을 포함 interface 함으로써 VPN 인터페이스에서 유니캐스트 RPF를 [edit routing-instances routing-instance-name] 구성할 수 있습니다.

코어 대면 인터페이스에서는 유니캐스트 RPF를 구성할 수 없습니다. PE 라우터의 CE 라우터-PE 라우터 인터페이스에서 유니캐스트 RPF만 구성할 수 있습니다. 그러나 가상 라우터 라우팅 인스턴스의 경우, 라우팅 인스턴스에서 사용자가 지정한 모든 인터페이스에서 유니캐스트 RPF가 지원됩니다.

VPN 인터페이스에서 유니캐스트 RPF를 구성하는 방법에 대한 자세한 내용은 라우터(Unicast RPF)의 이해(Understanding Unicast RPF)를 참조하십시오.

Route Distinguisher 구성

PE 라우터에서 구성한 각 라우팅 인스턴스에는 연결된 고유 라우트 구분기가 있어야 합니다. VPN 라우팅 인스턴스는 BGP가 서로 다른 VPN에서 수신되는 NLRI(Network Layer Reachability Information) 메시지를 구별할 수 있도록 지원하는 라우트 구분기를 필요로 합니다. 동일한 라우트 구분선으로 다른 VPN 라우팅 인스턴스를 구성하면 커밋에 장애가 발생합니다.

Layer 2 VPN 및 VPLS의 경우, 명령문을 구성 l2vpn-use-bgp-rules 한 경우 특정 라우팅 인스턴스에 참여하는 각 PE 라우터에 대해 고유의 라우트 구분기를 구성해야 합니다.

다른 유형의 VPN의 경우 라우팅 인스턴스에 참여하는 각 PE 라우터에 대해 고유의 라우트 구분기를 사용하는 것이 좋습니다. 동일한 VPN 라우팅 인스턴스(Layer 2 VPN 및 VPLS 제외)에 대해 모든 PE 라우터에서 동일한 라우트 구분기를 사용할 수 있지만 고유한 경로 구분기를 사용하는 경우 VPN 내에서 어떤 경로가 시작되었는지 CE 라우터를 결정할 수 있습니다.

PE 라우터에서 Route Distinguisher를 구성하려면 다음과 같은 명령문을 route-distinguisher 포함합니다.

이 명령문을 포함할 수 있는 계층 수준 목록은 이 명령문의 명령문 요약 섹션을 참조하십시오.

Route Distinguisher는 다음과 같은 형식 중 하나로 지정할 수 있는 6바이트 값입니다.

  • as-number:number, 자율 as-number 시스템(AS) 번호(2바이트 값)이며 number 모든 4바이트 값입니다. AS 번호는 1에서 65,535까지입니다. IANA(Internet Assigned Numbers Authority) 할당, 비인증 AS 번호, 가급적 인터넷 서비스 프로바이더는 자체 또는 고객의 AS 번호를 사용하는 것이 좋습니다.

  • ip-address:number, IP ip-address 주소(4바이트 값)이며 number 모든 2바이트 값입니다. IP 주소는 전역적으로 고유한 유니캐스트 주소일 수 있습니다. 지정된 접두사 범위에서 router-id 비능동적인 주소인 명령문에서 구성한 주소를 사용하는 것이 좋습니다.

자동 경로 구분자 구성

계층 수준에서 명령문을 [edit routing-options] 구성 route-distinguisher-id 하면 라우팅 인스턴스에 라우트 구분자가 자동으로 할당됩니다. 명령문 이외에 route-distinguisher-id 도 명령문을 구성 route-distinguisher 하면 구성 route-distinguisher 된 값이 에서 route-distinguisher-id생성된 값을 대체합니다.

라우트 구분기를 자동으로 할당하려면 다음과 같은 명령문을 route-distinguisher-id 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-options]

  • [edit logical-systems logical-system-name routing-options]

type 1 라우트 구분자가 해당 형식 ip-address:number을 사용하여 라우팅 인스턴스에 자동으로 할당됩니다. IP 주소는 명령문에 route-distinguisher-id 의해 지정되며 번호는 라우팅 인스턴스에 대해 고유합니다.

VPN에서 가상 라우터 라우팅 인스턴스 구성

VRF 라우팅 인스턴스와 같은 가상 라우터 라우팅 인스턴스는 각 인스턴스에 대해 별도의 라우팅 및 포워딩 테이블을 유지합니다. 그러나 VRF 라우팅 인스턴스에 필요한 많은 구성 단계는 가상 라우터 라우팅 인스턴스에 필요하지 않습니다. 특히 서비스 프로바이더 라우터 간에 Route Distinguisher, 라우팅 테이블 정책( vrf-export, vrf-import및 route-distinguisher 명령문) 또는 MPLS를 구성할 필요가 없습니다.

다음과 같은 명령문을 포함하여 가상 라우터 라우팅 인스턴스를 구성합니다.

다음과 같은 계층 수준에 이러한 진술을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

다음 섹션에서는 가상 라우터 라우팅 인스턴스를 구성하는 방법에 대해 설명합니다.

서비스 프로바이더 라우터 간 라우팅 프로토콜 구성

서비스 프로바이더 라우터는 라우팅 정보를 교환할 수 있어야 합니다. 계층 수준에서 가상 라우터 라우팅 인스턴스 protocols 명령문 구성을 위해 다음 프로토콜을 [edit routing-instances routing-instance-name] 구성할 수 있습니다.

  • BGP

  • IS-IS

  • LDP

  • OSPF

  • PIM(Protocol Independent Multicast)

  • RIP

정적 경로를 구성할 수도 있습니다.

IBGP 경로 리플렉션은 가상 라우터 라우팅 인스턴스에 대해 지원되지 않습니다.

가상 라우터 인스턴스에서 LDP를 구성하면 LDP 경로는 기본적으로 라우팅 인스턴스의 inet.0 및 inet.3 라우팅 테이블(예: sample.inet.0 및 sample.inet.3)에 배치됩니다. LDP 경로를 라우팅 인스턴스의 inet.3 테이블로만 제한하려면 다음과 같은 명령문을 no-forwarding 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name protocols ldp]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name protocols ldp]

LDP 경로를 inet.3 라우팅 테이블로만 제한하면 inet.0 라우팅 테이블의 해당 IGP 경로를 다른 라우팅 프로토콜에 재배포하고 공지할 수 있습니다.

라우팅 테이블에 대한 자세한 내용은 Junos OS 라우팅 테이블 이해(Understanding Junos OS Routing Tables)를 참조하십시오.

참여하는 라우터 간 논리적 인터페이스 구성

라우팅 인스턴스에 참여하는 각 고객 라우터와 라우팅 인스턴스에 참여하는 각 P 라우터에 대한 인터페이스를 구성해야 합니다. 각 가상 라우터 라우팅 인스턴스는 해당 인스턴스에 참여하는 모든 P 라우터에 대해 별도의 논리적 인터페이스를 필요로 합니다. 가상 라우터 인스턴스를 위한 인터페이스를 구성하려면 다음과 같은 명령문을 interface 포함합니다.

다음 계층 수준에서 이 명령문을 포함할 수 있습니다.

  • [edit routing-instances routing-instance-name]

  • [edit logical-systems logical-system-name routing-instances routing-instance-name]

인터페이스 이름의 물리적 부분과 논리적 부분을 다음 형식으로 지정합니다.

예를 들어, at-1/2/1 인터페이스 at-1/2/1.2이름의 물리적 부분이며 2 논리적 부분입니다. 인터페이스 이름의 0 논리적 부분을 지정하지 않으면 기본적으로 설정됩니다.

또한 계층 수준에서 인터페이스를 [edit interfaces] 구성해야 합니다.

프로바이더 라우터 간에 이러한 논리적 인터페이스를 제공하는 한 가지 방법은 이들 간에 터널을 구성하는 것입니다. IP 보안(IPsec), GRE(Generic Routing Encapsulation) 또는 IP-IP 터널을 프로바이더 라우터 간에 구성하여 가상 라우터 인스턴스에서 터널을 종료할 수 있습니다.

터널 및 인터페이스 구성 방법에 대한 자세한 내용은 라우팅 디바이스용 Junos OS 서비스 인터페이스 라이브러리를 참조하십시오.

VPN 라우팅 인스턴스에 대한 경로 MTU 검사 구성

기본적으로 VPN 라우팅 인스턴스에 대한 최대 전송 장치(MTU) 검사는 M 시리즈 라우터(M320 라우터 제외)에서 비활성화되고 M320 라우터는 활성화됩니다. M 시리즈 라우터에서는 VRF 라우팅 인스턴스와 가상 라우터 라우팅 인스턴스에서 라우팅되는 유니캐스트 트래픽에 대해 나가는 인터페이스에서 경로 MTU 검사를 구성할 수 있습니다.

MTU 검사를 활성화하면 라우팅 인스턴스를 통과하는 패킷이 MTU 크기를 초과하고 비트 세트가 있는 경우 라우팅 플랫폼이 do-not-fragment ICMP(Internet Control Message Protocol) 메시지를 보냅니다. ICMP 메시지는 VRF 로컬 주소를 소스 주소로 사용합니다.

MTU 검사가 라우팅 인스턴스에서 작동하려면 둘 다 계층 수준 명령문을 포함하고 vrf-mtu-check 라우팅 인스턴스에 [edit chassis] IP 주소를 포함하는 최소 1개의 인터페이스를 할당해야 합니다.

경로 MTU 검사에 대한 자세한 내용은 라우팅 디바이스용 Junos OS 관리 라이브러리를 참조하십시오.

경로 MTU 검사를 구성하려면 다음 섹션에서 설명한 작업을 수행합니다.

VPN 라우팅 인스턴스에 대한 경로 MTU 검사 실행

VRF 또는 가상 라우터 라우팅 인스턴스에서 라우팅되는 유니캐스트 트래픽을 위해 나가는 인터페이스에서 경로 검사를 사용하려면 계층 레벨의 [edit chassis] 명령문을 포함합니다vrf-mtu-check.

VPN 라우팅 인스턴스에 IP 주소 할당

경로 MTU 검사가 올바르게 작동하는지 확인하려면 최소 한 개의 IP 주소가 각 VRF 또는 가상 라우터 라우팅 인스턴스와 연결되어야 합니다. IP 주소가 라우팅 인스턴스와 연결되지 않은 경우 ICMP 회신 메시지를 보낼 수 없습니다.

일반적으로 VRF 또는 가상 라우터 라우팅 인스턴스 IP 주소는 해당 라우팅 인스턴스에 대해 구성된 인터페이스와 관련된 IP 주소 사이에서 도출됩니다. VRF 또는 가상 라우터 라우팅 인스턴스와 연관된 인터페이스가 IP 주소로 구성되지 않은 경우 IP 주소로 논리적 루프백 인터페이스를 명시적으로 구성해야 합니다. 이 인터페이스는 라우팅 인스턴스와 연결되어야 합니다. 자세한 내용은 Layer 3 VPN의 라우팅 인스턴스를 위한 루프백 인터페이스의 논리적 단위 구성 을 참조하십시오.

관련 설명서