Ejemplo: segmentación micro y macro mediante políticas basadas en grupos en una VXLAN

Condiciones del partido

En la tabla 5 se muestran las condiciones de coincidencia en GBP admitidas a partir de Junos OS versión 22.4R1:

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from interface ge-0/0/1
set firewall family any filter test term t1 from interface ge-0/0/2

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from vlan-id 2000

set firewall family any filter test term t1 from vlan-id 2000-2100
set firewall family any filter test term t1 from vlan-id [3000 3010 3020]

Este es un ejemplo de asignación de etiquetas GBP mediante direcciones MAC:

Le recomendamos que tenga la misma configuración de asignación de etiquetas en GBP en todas partes (tanto en la entrada como en la salida).

En la entrada en el ejemplo anterior, a los paquetes de la dirección 00:00:5E:00:53:10 MAC se les asigna la etiqueta 100, a los paquetes de la dirección 00:00:5E:00:53:20 MAC se les asigna la etiqueta 200 y a los paquetes de la dirección 00:00:5E:00:53:30 MAC se les asigna la etiqueta 300.

La misma asignación de etiqueta se utiliza para asignar la dirección MAC de destino a la etiqueta de destino en la salida. En la salida del ejemplo anterior, a los paquetes a la dirección 00:00:5E:00:53:10 MAC se les asigna la etiqueta 100, a los paquetes a la dirección 00:00:5E:00:53:20 MAC se les asigna la etiqueta 200 y a los paquetes a la dirección 00:00:5E:00:53:30 MAC se les asigna la etiqueta 300.

Este es un ejemplo de asignación de etiquetas GBP mediante direcciones IP:

Este es un ejemplo de varios términos de dirección IP en un filtro de etiquetado de GBP:

Este es un ejemplo con un término de coincidencia duplicado:

En el ejemplo anterior, tanto t1 como t2 coinciden en la dirección IP 172.16.0.0/24, pero asignan diferentes etiquetas GBP. En esta situación, solo se evalúa el primer término de coincidencia. Se omiten el segundo término y los siguientes términos coincidentes. Esto es cierto independientemente de si configura el filtro para la coincidencia de prefijo más larga o no. El término t1 entra en vigor y a cualquier paquete coincidente se le asignará la etiqueta GBP 10.

Este es un ejemplo de aplicación de políticas de GBP:

Los paquetes con la etiqueta de origen GBP 100 y la etiqueta de destino GBP 200 coincidirán según el plazo t100-200 y serán aceptados. Los paquetes con la etiqueta de origen GBP 100 y la etiqueta de destino GBP 300 coincidirán según el plazo t100-300 y se descartarán.

A partir de Junos OS versión 23.4R1:

• Los conmutadores EX4400, EX4650 y QFX5120 admiten listas y rangos de VLAN en un filtro GBP.

• Los conmutadores EX4400, EX4650 y QFX5120 admiten varias entradas de VLAN en un solo término en un filtro GBP.

• Los conmutadores EX4400, EX4650 y QFX5120 admiten varias entradas de interfaz en un solo término en un filtro GBP.

• Los conmutadores EX4400, EX4650 y QFX5120 admiten una combinación de interfaz y VLAN en un solo término en un filtro GBP.

• Los conmutadores EX4100 admiten múltiples entradas de interfaz en un solo término en un filtro GBP.

Por ejemplo:

Condiciones del partido L4

A partir de la versión 23.2R1 de Junos OS, ampliamos las condiciones de coincidencia en los filtros GBP para incluir las coincidencias L4. Esto le proporciona granularidad adicional para controlar el tráfico de aplicaciones. Véase el cuadro 6.

Perfiles en GBP

Junos OS versión 23.2R1 y posteriores admiten vxlan-gbp-l2-profile y vxlan-gbp-l3-profile como se muestra en la tabla 7.

El perfil UFT determina los tamaños de tabla que se asignarán a los distintos filtros GBP. Seleccione el perfil que mejor se adapte a sus necesidades de red.

Consulte Descripción de los perfiles de GBP para obtener más información sobre cuándo usar estos perfiles.

Consulte vxlan-gbp-profile, vxlan-gbp-l2-profile y vxlan-gbp-l3-profile para ver la configuración del tamaño de la tabla.

Descartar predeterminado explícito

Cuando no se cumplen condiciones, la acción predeterminada es aceptar el paquete. A partir de Junos OS versión 24.2R1, puede especificar una acción de descarte predeterminada explícita para los paquetes que no coincidan con ninguna condición. Véase el cuadro 8.

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then accept
set firewall family any filter f1 term t2 then discard

Aplicación de políticas en la entrada y propagación de etiquetas

A partir de Junos versión 22.4R1, puede realizar la aplicación de políticas más cerca de la entrada. El cumplimiento de entrada ahorra ancho de banda de red al descartar paquetes etiquetados en la entrada que de otro modo se descartarían en la salida. Para apoyar la aplicación de políticas en o cerca de la entrada, propagamos las etiquetas basadas en MAC e IP-MAC por toda la red mediante comunidades BGP extendidas dentro de las rutas EVPN Tipo 2 y Tipo 5. Consulte Rutas EVPN tipo 2 y tipo 5 para obtener información sobre estos tipos de rutas.

El anuncio de ruta EVPN se activa por la instalación (o un cambio) de una ruta EVPN, como a través del aprendizaje MAC-IP al recibir un paquete de un nuevo host. En este caso, la ruta IP de origen se instala en la base de datos evpn.0 y se envía un anuncio EVPN de tipo 2 (que incluye la etiqueta GBP si está asignada) a todos los pares de eBGP.

Después de que estos anuncios se propagan a través de la red a los puntos de conexión remotos, los puntos de conexión remotos tienen suficiente información para tomar decisiones de filtro de firewall GBP sobre los paquetes recibidos en la entrada remota. Cuando se reciben paquetes en su entrada, los extremos remotos pueden buscar la ruta de destino y obtener la etiqueta GBP de destino recibida previamente a través del anuncio de EVPN tipo 2. Armados con la etiqueta GBP de destino, los puntos de conexión remotos pueden posteriormente tomar decisiones de aplicación de políticas GBP en sus paquetes de entrada.

Dado que las etiquetas GBP se propagan mediante anuncios de ruta EVPN tipo 2, la propagación de etiquetas se realiza necesariamente por dirección MAC o IP. Sin embargo, esto no tiene relación con la asignación de etiquetas, que pueden seguir siendo cualquiera de los métodos compatibles, como VLAN o interfaz, entre otros.

Por ejemplo, si configura la asignación de etiquetas en función de la interfaz y se recibe un paquete de un nuevo host en esa interfaz, la etiqueta asignada para esa interfaz se propaga en un anuncio de ruta de tipo 2 junto con la dirección MAC de origen e IP del paquete entrante. Si posteriormente se recibe un paquete de un host diferente en esa misma interfaz, se propaga la misma etiqueta en otro anuncio de ruta Tipo 2 junto con la dirección MAC e IP de origen de este host diferente.

Debe habilitar la instrucción siguiente para realizar la aplicación de directivas en el nodo de entrada. Cuando la aplicación de entrada está habilitada o deshabilitada, el motor de reenvío de paquetes (PFE) se reinicia.

A partir de Junos OS versión 24.2R1, admitimos la propagación de etiquetas GBP para rutas de prefijos IP mediante anuncios de EVPN tipo 5. Antes de esta versión, la propagación de etiquetas GBP solo se desencadenaba mediante el aprendizaje de MAC-IP en el plano de datos, lo que significaba que la propagación de etiquetas solo se producía para rutas IP /32.

Gracias a la compatibilidad con rutas de prefijo IP, ahora puede producirse la propagación de etiquetas, por ejemplo, al crear una interfaz y habilitar la publicidad de rutas EVPN directas (set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop). Si también asigna una etiqueta GBP a ese prefijo IP, el anuncio posterior de EVPN tipo 5 incluye la etiqueta GBP, propagando así la etiqueta incluso antes de que tenga lugar el aprendizaje de MAC-IP.

En general, la propagación de etiquetas GBP en los anuncios de tipo 5 de EVPN se produce siempre que se crea un filtro GBP que asigna una etiqueta a un prefijo IP y esa ruta de prefijo IP está instalada en la base de datos de enrutamiento evpn.0. (Puede crear el filtro GBP antes o después de instalar la ruta).

Aunque el conmutador genere un anuncio de tipo 5, si el conmutador se entera de un nuevo host (por ejemplo, mediante el aprendizaje de MAC-IP en el plano de datos), el conmutador también generará un anuncio de tipo 2. En muchos casos, puede ser conveniente suprimir estos anuncios /32 redundantes para reducir el tráfico EVPN. Para ello, cree una política BGP para rechazar rutas /32.

Por ejemplo, lo siguiente crea una política denominada T5_EXPORT con un término llamado fm_v4_host que rechaza las rutas /32 de los hosts IPv4:

La propagación de etiquetas de prefijo IP se habilita automáticamente cuando se crea un filtro GBP para un prefijo IP y se asocia el filtro GBP a una instancia de enrutamiento. Por ejemplo:

donde <routing-instance> es el nombre de la instancia de enrutamiento a la que desea que se aplique el filtro.

Una vez que una ruta de prefijo IP se asocia a una etiqueta GBP, la etiqueta GBP se muestra en la salida de los show route comandos para esa ruta de prefijo IP. Por ejemplo:

Para ver el enlace entre una instancia de enrutamiento y un filtro GBP, utilice el show evpn gbp-src-tag filter-bind routing-instance comando.

Para ver la ruta del prefijo IP a la asignación de etiquetas GBP, use el show evpn gbp-src-tag ip-prefix inet comando.

Entre las limitaciones de esta característica se incluyen las siguientes:

• Solo puede asociar un filtro GBP a una instancia de enrutamiento. No puede asociar el mismo filtro GBP a varias instancias de enrutamiento.

• No puede asociar dos filtros GBP diferentes con la misma condición de coincidencia de prefijo IP a la misma instancia de enrutamiento.

• Solo puede asociar un filtro GBP basado en IP a una instancia de enrutamiento. La asociación de otros tipos de filtros GBP no tiene ningún efecto.

• Esta función solo se admite con los conmutadores de las series EX4400, EX4650 y QFX-5120 enumerados en la Tabla 1.

Requisitos para las superposiciones CRB y ERB

La configuración en GBP varía en función de si se ejecuta en una superposición de enrutamiento centralizado y puente (CRB) o en una superposición de borde enrutado y puente. La Tabla 9 muestra estas diferencias.

set firewall family any filter f1 micro-segmentation
set firewall family any filter f1 term t1 from ip-version ipv4 address 172.16.10.0/24
set firewall family any filter f1 term t1 then gbp-tag 10

set firewall family any filter f2 term t1 from gbp-src-tag 10
set firewall family any filter f2 term t1 then discard

set forwarding-options evpn-vxlan gbp ingress-enforcement

set firewall family any filter f3 term t1 from gbp-src-tag 10
set firewall family any filter f3 term t1 from gbp-dst-tag 20
set firewall family any filter f3 term t1 then discard

set firewall family any filter f3 term t1 from gbp-src-tag 10
set firewall family any filter f3 term t1 from gbp-dst-tag 20
set firewall family any filter f3 term t1 then discard

Además, si se ejecuta en una superposición CRB, debe configurar lo siguiente:

set protocols l2-learning crb-proxy-mac family inet <proxy-MAC-address>

delete interfaces irb unit <logical-unit-number> proxy-macip-advertisement 

Paquetes originados por el host

Cuando los paquetes salen de una interfaz de enrutamiento y puente integrados (IRB) a través de un punto de conexión de túnel virtual (VTEP), el kernel inserta una etiqueta GBP de origen en el encabezado VXLAN y envía el paquete. El valor de la etiqueta GBP de origen se configura mediante la siguiente instrucción:

Interetiquetado MAC/IP en GBP

De forma predeterminada, un filtro GBP basado en MAC solo se aplica al tráfico conmutado y un filtro GBP basado en IP solo se aplica al tráfico enrutado.

A partir de Junos OS versión 24.2R1, los filtros GBP basados en MAC también se pueden aplicar al tráfico enrutado, y los filtros GBP basados en IP también se pueden aplicar al tráfico conmutado. Esto se denomina interetiquetado MAC/IP y se puede habilitar en los conmutadores específicos de las series EX4100, EX4400, EX4650 y QFX5120 que se muestran en la Tabla 1.

Cuando está habilitado, el conmutador agrega automáticamente una entrada correspondiente de la siguiente manera:

• Si crea un filtro GBP basado en MAC, el primer paquete que llegue que coincida con esa dirección MAC hará que el conmutador cree automáticamente una asignación GBP basada en IP correspondiente. Esta asignación aplicará la misma etiqueta que el filtro GBP original basado en MAC, pero coincidirá en la dirección IP de origen en lugar de la dirección MAC.

• Si crea un filtro GBP basado en IP, el primer paquete que llegue que coincida con esa dirección IP hará que el conmutador cree automáticamente una asignación GBP basada en MAC correspondiente. Esta asignación aplicará la misma etiqueta que el filtro GBP original basado en IP, pero coincidirá en la dirección MAC de origen en lugar de la dirección IP.

La creación de una entrada correspondiente garantiza que se asigne la etiqueta GBP deseada, independientemente de si el flujo se conmuta o enruta posteriormente.

Para habilitar el interetiquetado MAC/IP:

A continuación, puede ver que aparece la misma etiqueta GBP 100 en las tablas MAC e IP cuando habilita el interetiquetado MAC/IP.

Reenvío basado en filtros

A partir de la versión 24.3R1 de Junos OS, admitimos el reenvío basado en filtros para el tráfico etiquetado con GBP. Esta es la capacidad de reenviar tráfico a un siguiente salto especificado si las etiquetas GBP asignadas a ese tráfico coinciden con las etiquetas GBP especificadas en el filtro. Utilice esta característica para aplicar un tratamiento de enrutamiento diferente para el tráfico etiquetado especificado frente al tráfico regular.

Para crear un filtro de reenvío, especifique las etiquetas de origen y destino que desea que coincidan y el próximo salto en el que desea reenviar el tráfico coincidente. Véase el cuadro 11.

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.0/24

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip 10.10.1.1 routing-instance VRF-100

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136::/48

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then next-ip6 2001:db8:4136:e378:8000:63bf:3fff:fdd2 routing-instance VRF-100

Asignación de SGT para asignación de etiqueta de 802,1X GBP

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en los conmutadores de acceso habilitados para GBP para recibir los SGT cuando un punto de conexión coincidente se conecta al conmutador. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión integrada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos OS versión 23.4R1, además del existente Juniper-Switching-Filter, se admite una nueva llamada VSA en Juniper-Group-Based-Policy-Id los conmutadores EX4400, EX4100, EX4650 y QFX5120.

Puede asignar etiquetas GBP dinámicamente desde RADIUS a través de cualquiera de estos VSA:

• Juniper-Switching-Filter lleva el filtro GBP y otras condiciones de coincidencia y acción del filtro.

• El Juniper-Group-Based-Policy-Id solo lleva la etiqueta GBP.

El Juniper-Group-Based-Policy-Id filtro de etiqueta de VSA para MAC y GBP basado en interfaz tiene este aspecto:

La etiqueta GBP configurada es un valor positivo distinto de cero en el intervalo (1-65535) para etiquetas GBP especificado en un VSA (atributo específico del proveedor) de un servidor RADIUS.

A partir de Junos OS versión 23.4R1 y posteriores, la compatibilidad con funciones GBP también se agrega a las siguientes instrucciones de configuración dot1x en los conmutadores EX4400, EX4100, EX4650 y QFX5120:

Puede usar el show dot1x interface detail comando o para show ethernet-switching table comprobar qué etiqueta GBP se recibe de RADIUS.

Aquí hay un ejemplo de salida del show ethernet-switching table comando:

Planificación de sus asignaciones de SGT

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. La siguiente tabla se puede utilizar para simplificar aún más la lógica y aclarar sus reglas.

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 22.4.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

Figura 2: GBP de VXLAN en un conmutador EX4400

• Requisitos
• Configuración
• Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP
• Limitaciones para conmutadores EX y QFX:

Asignación de SGT con un servidor RADIUS

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en el EX4400 para recibirlos. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión incorporada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos versión 21.1R1, los conmutadores EX4400 introducen una nueva condición de coincidencia para su uso con VXLAN-GBP que permite que el firewall reconozca las etiquetas SGT que pasa el servidor RADIUS e inserta en el encabezado VXLAN.

Puede ver cómo funciona esto en los siguientes ejemplos de código. Las políticas de firewall en GBP se enmarcan en función de las etiquetas GBP de origen y destino. Una etiqueta de origen es el campo de 16 bits del encabezado VXLAN del paquete entrante, mientras que la etiqueta de destino se deriva en el extremo del túnel de salida, según la asignación de etiqueta configurada.

Supongamos que tenemos un punto final de salida con la configuración que se muestra a continuación. A los paquetes de la dirección 00:01:02:03:04:10:10 MAC de origen se les asigna la etiqueta 100, y a los paquetes de la dirección 00:01:02:03:04:20:20 MAC de origen se les asigna 200.

Para los paquetes con una etiqueta GBP de 100 y una dirección MAC de destino de , la etiqueta (gbp-dst-tag) de grupo de 00:01:02:03:04:10:10destino será 100 y coincidirá a término t10-100. Del mismo modo, para los paquetes con etiqueta GBP 100 y una dirección MAC de destino de , la etiqueta de grupo de 00:01:02:03:04:20:20destino será 200 y coincidirá con el término t10-200.

La misma asignación de etiqueta utilizada para asignar la dirección MAC de origen a la etiqueta de origen también se utiliza para asignar la dirección MAC de destino a la etiqueta de destino. Esto también es cierto para las asignaciones basadas en interfaces.

Veamos otro ejemplo de código, esta vez con una etiqueta de origen GBP de 300 y con interfaz ge-0/0/30.0de entrada de paquetes. Como puede ver a continuación, la etiqueta de origen GBP 300 está asignada y en dirección de salida, y 300 también es la etiqueta de grupo de destino GBP.

Tenga en cuenta que debe configurar el filtro de firewall GBP en el conmutador de salida, ya que no hay forma de que el conmutador de entrada sepa qué etiquetas de grupo se utilizan en el conmutador de salida. Además, debe habilitar VXLAN-GBP globalmente en el nodo de entrada, para que pueda realizar la búsqueda en las coincidencias y agregar SGT en el encabezado VXLAN, así como en el nodo de salida. Haga esto con el comando de configuración que se muestra aquí:

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. Aquí, mostramos una de esas tablas, cuyos valores se aplicarán más tarde en una matriz, que se puede usar para simplificar aún más la lógica y aclarar sus reglas.

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 21.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

Figura 3: GBP de VXLAN en un conmutador EX4400

• Requisitos
• Configuración
• Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP

A partir de la versión 21.4R1 de Junos, VXLAN-GBP también es compatible con los siguientes conmutadores: QFX5120-32C, QFX5120-48T, QFX5120-48Y, QFX5120-48YM, EX4650 y EX4650-48Y-VC.