Filtrado MAC, control de tormentas y compatibilidad de duplicación de puertos en un entorno EVPN-VXLAN

Beneficios del filtrado mac, el control de tormentas y el soporte de duplicación de puertos en un entorno EVPN-VXLAN

• El filtrado MAC le permite filtrar y aceptar paquetes de interfaces ce de entrada, lo que reduce el volumen de las direcciones MAC asociadas en la tabla de conmutación Ethernet y el tráfico en una VXLAN.

• El control de tormentas le permite supervisar los niveles de tráfico en interfaces EVPN-VXLAN, y si se supera un nivel de tráfico especificado, deje caer la difusión, los paquetes de unidifusión y multidifusión desconocidos (BUM), y en algunos conmutadores de Juniper Networks, desactive la interfaz durante un tiempo especificado. Esta función puede evitar que un tráfico excesivo degrade la red.

• Con la duplicación de puertos y los analizadores, puede analizar el tráfico hasta el nivel del paquete en un entorno EVPN-VXLAN. Puede usar esta función para aplicar políticas relacionadas con el uso de la red y el uso compartido de archivos, e identificar las fuentes de problemas mediante la localización de un uso de ancho de banda anormal o pesado por parte de determinadas estaciones o aplicaciones.

Filtrado MAC

El filtrado MAC le permite filtrar direcciones MAC y aceptar tráfico. Esta función solo es compatible con interfaces ce de entrada, que son interfaces en las que la encapsulación VXLAN no suele estar habilitada. Para usar esta función, debe hacer lo siguiente:

• Cree un filtro de firewall en el que especifique una o más de las condiciones de coincidencia admitidas en la tabla 1 y la tabla 2.

• Aplique el filtro de firewall a una interfaz de capa 2 configurada en la [edit interfaces interface-name unit logical-unit-number family ethernet-switching filter] jerarquía.

Mediante el filtro de firewall, se especifican las direcciones MAC asociadas con una VXLAN permitidas en una interfaz determinada.

La siguiente configuración de ejemplo en un conmutador QFX5110 crea un filtro de firewall denominado DHCP-Discover-In que acepta y cuenta el tráfico entrante que cumple varias condiciones de coincidencia (dirección MAC de origen, dirección MAC de destino, puertos de destino y ID de VLAN) en interfaz lógica de capa 2 xe-0/0/6.0:

Control de tormentas

De forma predeterminada, el control de tormentas está habilitado en conmutadores QFX y EX para interfaces de capa 2 asociadas con VXLAN. El nivel de control de tormentas se establece en el 80 % de las transmisiones de tráfico BUM combinadas.

En un entorno EVPN-VXLAN, el control de tormentas se implementa y configura en interfaces de capa 2 que están asociadas con VXLAN del mismo modo que en un entorno que no es EVPN-VXLAN, excepto por las siguientes diferencias:

• En un entorno EVPN-VXLAN, los tipos de tráfico que monitorean el control de tormentas son los siguientes:

  • Tráfico BUM de capa 2 que se origina en una VXLAN y se reenvía a interfaces dentro de la misma VXLAN.

  • Tráfico de multidifusión de capa 3 que recibe una interfaz de enrutamiento y puente integrados (IRB) en una VXLAN y se reenvía a interfaces en otra VXLAN.

• Después de crear un perfil de control de tormentas, debe enlazarlo a una interfaz de entrada de capa 2 en la [edit interfaces interface-name unit logical-unit-number family ethernet-switching] jerarquía.

  Nota:

  Después de enlazar el perfil a una interfaz de capa 2, la interfaz reside dentro de la instancia predeterminada del conmutador.

• Si el tráfico en una interfaz supera el nivel de control de tormenta especificado, el conmutador de Juniper Networks deja caer el exceso de paquetes, lo que se conoce como limitación de velocidad. Además, QFX10000 conmutadores en un entorno EVPN-VXLAN admiten la deshabilitación de la interfaz durante un tiempo especificado mediante la action-shutdown instrucción de configuración en el [edit forwarding-options storm-control-profiles] nivel de jerarquía y la recovery-timeout instrucción de configuración en el [edit interfaces interface-name unit logical-unit-number family ethernet-switching] nivel de jerarquía.

  Nota:

  QFX5100 y QFX5110 conmutadores en un entorno EVPN-VXLAN no admiten la deshabilitación de la interfaz durante un tiempo especificado.

  Nota:

  En QFX5110 conmutadores, si configura un control de tormenta mejorado y un analizador nativo en una interfaz, y el analizador nativo tiene VxLAN VLAN como entrada, la acción de apagado no funcionará para la VLAN en esa interfaz. La limitación de velocidad funcionará según lo esperado.

La siguiente configuración crea un perfil llamado scp, el cual especifica que si el ancho de banda utilizado por las secuencias de tráfico BUM combinadas supera el 5 por ciento en la interfaz lógica de capa 2 et-0/0/23.0, la interfaz pierde el exceso de tráfico BUM.

La siguiente configuración crea un perfil llamado scp, el cual especifica que si el ancho de banda utilizado por el flujo de tráfico de multidifusión (se excluyen las secuencias de tráfico de unidifusión y de unidifusión desconocida) supera el 5 % en la interfaz lógica de capa 2 et-0/0/23.0, la interfaz deja caer el exceso de tráfico de multidifusión.

La siguiente configuración en un conmutador QFX10000 crea el mismo perfil que en la configuración anterior. Sin embargo, en lugar de dejar caer implícitamente el tráfico de multidifusión si el flujo de tráfico supera el 5 %, la siguiente configuración deshabilita explícitamente la interfaz durante 120 segundos y, luego, vuelve a activar la interfaz.

Analizadores y espejados de puertos

Para analizar el tráfico en un entorno EVPN-VXLAN, apoyamos la siguiente funcionalidad de duplicación y analizador de puertos:

• Creación de reflejos locales

  • En una interfaz

  • En una VXLAN

• Creación de reflejos remotos

  • En una interfaz

  • En una VXLAN

En las siguientes secciones se proporciona más información acerca de la funcionalidad compatible e se incluyen configuraciones de ejemplo.

• Replicación local
• Configuración de la duplicación local
• Creación de reflejos remotos

Configuración de la duplicación remota con encapsulación GRE

Configuración de la duplicación remota con encapsulación VXLAN

Para averiguar qué plataformas admiten esta función a partir de qué versiones, consulte la página del Explorador de funciones para la duplicación de puertos remotos con encapsulación VXLAN.

• Configuración basada en analizadores
• Configuración basada en filtros de firewall

Duplicación de puerto remoto mediante condiciones de coincidencia de VNI

Para QFX10002, QFX10008 y conmutadores de la serie QFX10016, puede usar valores de identificador de red VXLAN (VNI) como condición de coincidencia al filtrar tráfico para la duplicación de puertos remotos. Esta es una capacidad que se utiliza a menudo en la planificación de red y para análisis, como la inspección profunda de paquetes (DPI).

La función de duplicación de puerto remoto actúa para crear una copia de los paquetes de entrada de destino, que se encapsulan en un encabezado IPv4 GRE externo y, luego, se reenvían al destino remoto designado. La compatibilidad con condiciones de coincidencia de VNI significa que puede seleccionar paquetes que se duplicarán según su VNI, de modo que solo esos flujos se dirijan al puerto espejo remoto. También puede configurar un valor de punto de código de servicio (DSCP) diferenciado para priorizar el flujo, por ejemplo, la entrega de alta prioridad o el mejor esfuerzo. Las interfaces de enrutamiento y puentes integrados (IRB) no se admiten como puerto espejo de destino.

En un nivel alto, el procedimiento para la duplicación de puertos remotos basada en VNIs es crear una instancia de duplicación de puerto remoto, promover VNI en la familia de filtros de firewall para manejar VNI, crear las reglas y acciones de filtro necesarias y, luego, aplicar la política de firewall a una interfaz de entrada. La tunelización GRE también debe estar implementada en la interfaz utilizada para enviar los paquetes reflejados.

Remote Port Mirroring on the Basis of VNI Use Case: Sample Configuration

Los ejemplos de código a continuación destacan las configuraciones clave de CLI de Junos que necesita para reflejar paquetes de acuerdo con VNI.

1. Habilite la duplicación de puertos remotos y configure el origen del tráfico y el destino al que desea enviar los paquetes reflejados.
2. Cree un filtro de firewall (aquí denominado bf_vni_st) y promocione VNI en este filtro para que sea el módulo de reenvío de paquetes (en otras palabras, este comando establece todo el filtro para optimizar las condiciones de coincidencia de VNI).
3. Cree un filtro de firewall de entrada (bf_vni_st), que especifique una condición de coincidencia de VNI (6030 en este ejemplo) y una acción (recuento, en este ejemplo).
4. Aplique el filtro al tráfico de entrada en la interfaz que desea reflejar.