Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Reenvío basado en paquetes

Un firewall de la serie SRX funciona en dos modos diferentes: modo de paquete y modo de flujo. En el modo de flujo, SRX procesa todo el tráfico mediante el análisis del estado o la sesión del tráfico. Esto también se denomina procesamiento de tráfico con estado. En el modo de paquete, SRX procesa el tráfico por paquete. Esto también se conoce como procesamiento de tráfico sin estado.

Descripción del procesamiento basado en paquetes

Los paquetes que entran y salen de un dispositivo de Juniper Networks que ejecuta Junos OS pueden someterse a un procesamiento basado en paquetes. El procesamiento de paquetes basado en paquetes, o sin estado, trata los paquetes de manera discreta. Cada paquete se evalúa individualmente para su tratamiento. El reenvío basado en paquetes sin estado se realiza paquete por paquete, sin tener en cuenta la información de flujo o estado. Cada paquete se evalúa individualmente para su tratamiento.

En la figura 1, se muestra el flujo de tráfico para el reenvío basado en paquetes.

Figura 1: Flujo de tráfico para el reenvío basado en paquetes Flowchart of a network packet processing pipeline with stages: Input Queue, Policer, Input Filter, Route Lookup, Services Module, Output Filter, Shaper, and Output Queue.

A medida que los paquetes ingresan al dispositivo, se le aplican clasificadores, filtros y aplicadores de políticas. A continuación, la interfaz de salida para el paquete se determina a través de una búsqueda de ruta. Una vez que se encuentra la interfaz de salida para el paquete, se aplican filtros y el paquete se envía a la interfaz de salida, donde se pone en cola y se programa para su transmisión.

El reenvío basado en paquetes no requiere ninguna información sobre paquetes anteriores o posteriores que pertenecen a una conexión determinada, y cualquier decisión de permitir o denegar el tráfico es específica del paquete. Esta arquitectura tiene la ventaja de un escalado masivo porque reenvía paquetes sin realizar un seguimiento de los flujos o estados individuales.

Descripción de los servicios selectivos basados en paquetes sin estado

Los servicios selectivos basados en paquetes sin estado permiten usar simultáneamente el reenvío basado en flujo y basado en paquetes en un sistema. Puede dirigir selectivamente el tráfico que requiere reenvío sin estado basado en paquetes para evitar el reenvío basado en flujo con estado mediante filtros de firewall sin estado, también conocidos como listas de control de acceso (ACL). El tráfico no dirigido de esta manera sigue la ruta de reenvío basada en flujo predeterminada. Omitir el reenvío basado en flujo puede ser útil para el tráfico para el que desea evitar explícitamente las restricciones de escalado de sesión de flujo.

De forma predeterminada, los dispositivos de seguridad de Juniper Networks que ejecutan Junos OS usan el reenvío basado en flujos. Los servicios selectivos basados en paquetes sin estado le permiten configurar el dispositivo para que proporcione solo procesamiento basado en paquetes para el tráfico seleccionado según los términos del filtro de entrada. El resto del tráfico se procesa para el reenvío basado en flujos. Omitir el reenvío basado en flujo es útil para implementaciones en las que desea evitar las restricciones de escalado de sesiones y los costos de creación y mantenimiento de sesiones.

Cuando se configura el dispositivo para el procesamiento selectivo basado en paquetes sin estado, los paquetes que entran en el sistema reciben un trato diferente en función de ciertas condiciones:

  • Si un paquete cumple las condiciones coincidentes especificadas en los términos del filtro de entrada, se marca para el modo de paquete y se le aplican todas las funciones de modo de paquete configuradas. No se aplican funciones de seguridad basadas en flujos. Los pasa por alto.

  • Si un paquete no se marcó para el modo de paquete, se somete a un procesamiento normal. Todos los servicios, excepto MPLS, se pueden aplicar a este tráfico.

La Figura 2 muestra el flujo de tráfico con servicios selectivos basados en paquetes sin estado, omitiendo el procesamiento basado en flujo.

Figura 2: Flujo de tráfico con servicios selectivos basados en paquetes sin estado Traffic Flow with Selective Stateless Packet-Based Services

Cuando el paquete entra en una interfaz, se aplican los filtros de paquete de entrada configurados en la interfaz.

  • Si el paquete coincide con las condiciones especificadas en el filtro del firewall, se establece un packet-mode modificador de acción para el paquete. El modificador de acción en modo de paquete actualiza un campo de bits en el búfer de clave de paquete: este campo de bits se utiliza para determinar si es necesario omitir el reenvío basado en flujo. Como resultado, el paquete con el modificador de acción en modo de paquete omite por completo el reenvío basado en flujo. La interfaz de salida para el paquete se determina a través de una búsqueda de ruta. Una vez que se encuentra la interfaz de salida para el paquete, se aplican filtros y el paquete se envía a la interfaz de salida, donde se pone en cola y se programa para su transmisión.

  • Si el paquete no coincide con las condiciones especificadas en este término de filtro, se evalúa con respecto a otros términos configurados en el filtro. Si, después de evaluar todos los términos, un paquete no coincide con ningún término en un filtro, el paquete se descarta silenciosamente. Para evitar que se descarten paquetes, configure un término en el filtro que especifique una acción para aceptar todos los paquetes.

Un conjunto definido de servicios sin estado está disponible con servicios selectivos basados en paquetes sin estado:

  • Enrutamiento IPv4/IPv6 (protocolos de unidifusión y multidifusión)

  • Clase de servicio (CoS)

  • Fragmentación e intercalación de vínculos (LFI)

  • Encapsulación de enrutamiento genérico (GRE)

  • conmutación de capa 2

  • conmutación de etiquetas multiprotocolo (MPLS)

  • Filtros de firewall sin estado

  • Protocolo de transporte en tiempo real comprimido (CRTP)

Aunque el tráfico que requiere servicios MPLS debe procesarse en modo de paquete, en algunas circunstancias puede ser necesario aplicar simultáneamente ciertos servicios a este tráfico que solo se pueden proporcionar en modo de flujo, como la inspección de estado, TDR e IPsec. Para indicar al sistema que procese el tráfico en los modos de flujo y paquete, debe configurar varias instancias de enrutamiento conectadas a través de una interfaz de túnel. Una instancia de enrutamiento debe configurarse para procesar los paquetes en modo de flujo y la otra instancia de enrutamiento debe configurarse para procesar los paquetes en modo de paquete. Cuando se usa una interfaz de túnel para conectar instancias de enrutamiento, el tráfico entre esas instancias de enrutamiento se inyecta de nuevo en la ruta de reenvío y, a continuación, se puede volver a procesar con un método de reenvío diferente.

Descripción general de la configuración de servicios selectivos basados en paquetes sin estado

Esta función se admite en dispositivos de SRX300, SRX320, SRX340, SRX345 y firewall virtual vSRX. Puede configurar servicios selectivos basados en paquetes sin estado mediante los filtros de firewall sin estado, también conocidos como listas de control de acceso (ACL). Para clasificar el tráfico para el reenvío basado en paquetes, se especifican condiciones de coincidencia en los filtros de firewall y se configura un packet-mode modificador de acción para especificar la acción. Una vez definidas las condiciones y acciones de coincidencia, se aplican filtros de firewall a las interfaces pertinentes.

Para configurar un filtro de firewall:

  1. Definir la familia de direcciones: defina primero la familia de direcciones de los paquetes con los que coincide un filtro de firewall. Para definir el nombre de familia, especifique inet que se filtren los paquetes IPv4/IPv6. Especifique mpls que se filtren los paquetes MPLS. Especifique ccc para filtrar las conexiones cruzadas de conmutación de capa 2.
  2. Definir términos: defina uno o varios términos que especifiquen los criterios de filtrado y la acción que se debe realizar si se produce una coincidencia. Cada término consta de dos componentes: condiciones de coincidencia y acciones.

    • Condiciones de coincidencia: especifique ciertas características que el paquete debe coincidir para que se vaya a realizar la acción. Puede definir varias condiciones de coincidencia, como el campo de dirección de origen IP, el campo de dirección de destino IP y el campo de protocolo IP.

    • Acción: especifique qué se debe hacer con el paquete si coincide con las condiciones de coincidencia. Las acciones posibles son aceptar, descartar o rechazar un paquete; pasar al siguiente período; o no hacer nada.

      Solo puede especificar uno action (u omitirlo) en un término, pero puede especificar cualquier combinación de modificadores de acción con él. Los modificadores de acción incluyen una acción predeterminada accept . Por ejemplo, si especifica un modificador de acción y no especifica ninguna acción, se implementará el modificador de acción especificado y se aceptará el paquete.

      El packet-mode modificador de acción especifica el tráfico que se va a omitir el reenvío basado en flujo. Al igual que otros modificadores de acción, puede configurar el modificador de packet-mode acción junto con otras acciones, como accept o count.

  3. Aplicar filtros de firewall a interfaces: aplique el filtro de firewall a la interfaz para que el filtro de firewall surta efecto.

Cuando el paquete entra en una interfaz, se aplican los filtros de paquete de entrada configurados en la interfaz. Si el paquete coincide con las condiciones especificadas y packet-mode se configura la acción, el paquete omite por completo el reenvío basado en flujo.

Al configurar los filtros, tenga en cuenta el orden de los términos dentro del filtro del firewall. Los paquetes se prueban con cada término en el orden en que aparece en la configuración. Cuando se encuentran las primeras condiciones coincidentes, la acción asociada con ese término se aplica al paquete y finaliza la evaluación del filtro de firewall, a menos que se incluya el next term modificador de acción. Si se incluye la next term acción, el paquete coincidente se evalúa con el siguiente término del filtro de firewall; de lo contrario, el paquete coincidente no se evalúa con los términos posteriores del filtro de firewall.

Cuando configure filtros de firewall para servicios selectivos basados en paquetes sin estado:

  • Identifique con precisión el tráfico que necesita desviar el flujo para evitar caídas innecesarias de paquetes.

  • Asegúrese de aplicar el filtro de firewall con la acción de modo de paquete en todas las interfaces implicadas en la ruta de flujo basada en paquetes.

  • Asegúrese de configurar el tráfico TCP dirigido al host para que utilice el reenvío basado en flujos: excluya este tráfico cuando especifique condiciones de coincidencia para el término de filtro de firewall que contiene el packet-mode modificador de acción. Se descarta cualquier tráfico TCP dirigido al host configurado para omitir el flujo. El procesamiento asíncrono en modo de flujo no se admite con servicios selectivos basados en paquetes sin estado.

  • Configure los filtros de paquetes de entrada (no de salida) con el packet-mode modificador de acción.

Nota:

Los filtros de firewall anidados (que configuran un filtro dentro del término de otro filtro) no son compatibles con los servicios selectivos basados en paquetes sin estado.

A continuación, se indican algunos escenarios típicos de implementación en los que puede configurar servicios selectivos basados en paquetes sin estado:

  • Flujo de tráfico entre interfaces privadas de LAN y WAN, como el tráfico de intranet, donde el reenvío de extremo a extremo se basa en paquetes

  • Flujo de tráfico entre interfaces de LAN privada y WAN no tan seguras, en que el tráfico usa reenvío basado en paquetes y en flujo para el tráfico seguro y no tan seguro, respectivamente

  • Flujo de tráfico entre la interfaz de la LAN privada y la WAN con tolerancia a fallos a la WAN IPsec basada en flujos cuando el vínculo de la WAN privada no funciona

  • Flujo de tráfico de la LAN basada en flujo a la WAN MPLS basada en paquetes

Ejemplo: Configuración de servicios selectivos basados en paquetes sin estado para un reenvío basado en paquetes de extremo a extremo

En este ejemplo, se muestra cómo configurar servicios selectivos basados en paquetes sin estado para el reenvío basado en paquetes de extremo a extremo. Esta característica se admite en los dispositivos de SRX300, SRX320, SRX340, SRX345 y firewall virtual vSRX

Requisitos

Antes de empezar:

  • Aprenda a configurar filtros de firewall sin estado.

  • Establezca una conectividad básica. .

Descripción general

En este ejemplo, configure las direcciones IP para las interfaces en cada uno de los dispositivos. Para R0 es 10.1.1.2/24 ; para R1 son 10.1.1.1/24, 10.2.1.1/24 y 203.0.113.1/30; para R2 es 203.0.113.2/30; y para R3 es 10.2.1.2/24. Puede crear rutas estáticas y asociar direcciones de salto siguiente para los dispositivos de la siguiente manera: R0 es 10.1.1.2, R1 es 198.51.100.2, R2 es 203.0.113.1 y R3 es 10.2.1.1.

Luego, en el dispositivo R1, configure una zona denominada no confianza y asígnela a la interfaz ge-0/0/3. También puede crear una zona denominada confianza y asignarle las interfaces ge-0/0/1 y ge-0/0/2. Puede configurar zonas de confianza y de no confianza para permitir todos los servicios de aplicaciones compatibles como servicios de entrada. Puede permitir que el tráfico desde cualquier dirección de origen, dirección de destino y aplicación pase entre las zonas.

A continuación, cree el filtro de firewall bypass-flow-filter y defina los términos bypass-flow-term-1 y bypass-flow-term-2 que coincidan con el tráfico entre las interfaces internas ge-0/0/1 y ge-0/0/2 y que contengan el modificador de acción packet-mode. El término accept-rest se define para aceptar todo el tráfico restante. Por último, aplique el filtro de firewall bypass-flow-filter a las interfaces internas ge-0/0/1 y ge-0/0/2 (no en la interfaz externa). Como resultado, todo el tráfico interno omite el reenvío basado en flujos y el tráfico hacia y desde Internet no omite el reenvío basado en flujos.

La Figura 3 muestra la topología de red utilizada en este ejemplo.

Figura 3: Tráfico de intranet mediante servicios Network topology diagram featuring routers R0, R1, R2, and R3 with subnets 10.1.1.2/24, 10.1.1.1/24, 10.2.1.1/24, 203.0.113.1/30, and 203.0.113.2/30. R2 connects to the Internet cloud. Devices connect to R0 and R3. Interfaces ge-0/0/1, ge-0/0/2, and ge-0/0/3 shown. basados en paquetes de extremo a extremo

Las sucursales de su empresa están conectadas entre sí a través de una WAN privada. Para este tráfico interno, se requiere el reenvío de paquetes, ya que la seguridad no es un problema. Por lo tanto, para este tráfico, decide configurar servicios selectivos basados en paquetes sin estado para omitir el reenvío basado en flujo. El tráfico restante, hacia y desde Internet, utiliza un reenvío basado en flujos.

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar servicios selectivos basados en paquetes sin estado para un reenvío basado en paquetes de extremo a extremo:

  1. Configure las direcciones IP para las interfaces en los dispositivos R0, R1, R2 y R3.

  2. Cree rutas estáticas y asocie las direcciones de próximo salto adecuadas para los dispositivos R0, R1, R2 y R3.

  3. Configure zonas de seguridad y asigne interfaces.

  4. Configure los servicios de aplicaciones por zonas.

  5. Configurar una política de seguridad

  6. Cree un filtro de firewall y defina términos para todo el tráfico de reenvío basado en paquetes.

  7. Especifique otro término para el tráfico restante.

  8. Aplique el filtro de firewall a las interfaces pertinentes.

Resultados

Desde el modo de configuración, ingrese los comandos , y show firewall para confirmar la show interfacesshow routing-optionsconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificar la configuración basada en paquetes de extremo a extremo

Propósito

Compruebe que los servicios selectivos basados en paquetes sin estado estén configurados.

Acción

En el modo de configuración, escriba los comandos , show routing-options, show security zonesshow security policies, y show firewall .show interfaces

Compruebe que el resultado muestra la configuración prevista del filtro de firewall, las interfaces y las políticas.

Compruebe que los términos se enumeran en el orden en que desea que se prueben los paquetes. Puede mover términos dentro de un filtro de firewall mediante el insert comando.

Verificar el establecimiento de la sesión en el tráfico de la intranet

Propósito

Compruebe que las sesiones se establecen cuando el tráfico se transmite a las interfaces de la intranet.

Acción

Para comprobar que se han establecido sesiones, realice las siguientes tareas:

  1. En el dispositivo R1, ingrese el comando del modo clear security flow session all operativo para borrar todas las sesiones de flujo de seguridad existentes.

  2. En el dispositivo R0, ingrese el comando del modo ping operativo para transmitir tráfico al dispositivo R3.

  3. En el dispositivo R1, con tráfico que transmite desde los dispositivos R0 a R3 través de R1, ingrese el comando del modo show security flow session operativo.

Nota:

Para comprobar las sesiones establecidas, asegúrese de ingresar el show security flow session comando mientras este ping envía y recibe paquetes.

El resultado muestra el tráfico que transmite desde R0 a R3 y no se establece ninguna sesión. En este ejemplo, aplicó el bypass-flow-filter modificador with action packet-mode en las interfaces Internal 1 y Internal 2 para el tráfico de intranet de la empresa. Este resultado verifica que el tráfico entre las dos interfaces omita correctamente el reenvío basado en flujos y, por lo tanto, no se establece ninguna sesión.

Verificar el establecimiento de la sesión en el tráfico de Internet

Propósito

Verifique que las sesiones se establecen cuando el tráfico se transmite a Internet.

Acción

Para comprobar que el tráfico a Internet utiliza el reenvío basado en flujo y que se han establecido sesiones, realice las siguientes tareas:

  1. En el dispositivo R1, ingrese el comando del modo clear security flow session all operativo para borrar todas las sesiones de flujo de seguridad existentes.

  2. En el dispositivo R0, ingrese el comando del modo ping operativo para transmitir tráfico al dispositivo R2.

  3. En el dispositivo R1, con tráfico que transmite desde a R2 través R1, R0 ingrese el comando del modo show security flow session operativo.

Nota:

Para comprobar las sesiones establecidas, asegúrese de ingresar el show security flow session comando mientras este ping envía y recibe paquetes.

El resultado muestra el tráfico que se transmite desde los dispositivos R0 a R1 las sesiones establecidas. En este ejemplo, no aplicó el bypass-flow-filter modificador with the packet-mode action en interface Internet para el tráfico de Internet de su empresa. Este resultado verifica que el tráfico a Internet esté utilizando correctamente el reenvío basado en flujo y, por lo tanto, se establecen sesiones.

Transmitir tráfico desde el dispositivo R3 y R2 usar los comandos de esta sección para verificar las sesiones establecidas.

Ejemplo: Configuración de servicios selectivos basados en paquetes sin estado para un reenvío basado en paquetes a basado en flujos

En este ejemplo, se muestra cómo configurar servicios selectivos basados en paquetes sin estado para un reenvío basado en paquetes a basado en flujo. Esta función se admite en dispositivos de SRX300, SRX320, SRX340, SRX345 y firewall virtual vSRX.

Requisitos

Antes de empezar:

  • Aprenda a configurar filtros de firewall sin estado.

  • Establezca una conectividad básica. .

Descripción general

En este ejemplo, configure las direcciones IP para las interfaces en cada uno de los dispositivos. Para el dispositivo R0 AS 198.51.100.9/24; para R1 son 198.51.100.10/24 y 203.0.113.5/24; y para R2 es 203.0.113.9/24. En el dispositivo R1, se establece una interfaz de servicio interna lt-0/0/0 entre instancias de enrutamiento y se configura una relación par entre dos dispositivos virtuales. A continuación, cree dos zonas de seguridad, Primary-VR-zone e Internet-VR-zone, asígneles interfaces relacionadas y configúrelas para permitir todas las aplicaciones y protocolos compatibles.

Luego, configure las políticas y especifique que se permiten todos los paquetes. Puede configurar una instancia de enrutamiento de dispositivos virtuales Internet-VR y asignar interfaces para el reenvío basado en flujos. Puede habilitar OSPF en los dispositivos R0, R1 y R2. En el dispositivo R2, configure el filtro bypass-flow-filter con el término bypass-flow-term que contiene el modificador de acción packet-mode. Dado que no especificó ninguna condición de coincidencia, este filtro se aplica a todo el tráfico que atraviesa las interfaces en las que se aplica.

Por último, en el dispositivo R1, se aplica el filtro de firewall bypass-flow-filter a las interfaces internas ge-0/0/2.0 y lt-0/0/0.0. No aplique el filtro a las interfaces asociadas con la instancia de enrutamiento de Internet-VR. Como resultado, todo el tráfico que atraviesa las interfaces de LAN asociadas con la instancia de enrutamiento principal utiliza reenvío basado en paquetes y todo el tráfico que atraviesa la instancia de enrutamiento de Internet-VR utiliza reenvío basado en flujo.

En la figura 4, se muestra la topología de red utilizada en este ejemplo.

Figura 4: Servicios selectivos basados en paquetes sin estado para reenvío basado en Network topology diagram showing connectivity: R0 connects to three LAN devices and R1 via subnet 198.51.100.9/24. R1 hosts two virtual routers, Master-VR and Internet-VR, linked via subnet 192.0.2.1/16. Internet-VR connects to R2 via WAN subnet 203.0.113.5/24. R2 connects to the Internet using subnet 203.0.113.9/24. Dotted lines indicate packet-mode filters. paquetes

La interfaz orientada hacia la LAN privada no necesita ningún servicio de seguridad, pero la interfaz orientada hacia la WAN necesita seguridad. En este ejemplo, se decide configurar el reenvío basado en paquetes y el basado en flujos para un tráfico seguro y no tan seguro mediante la configuración de dos instancias de enrutamiento: una que gestione el reenvío basado en paquetes y la otra que gestione el reenvío basado en flujos.

Configuración

Procedimiento

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red y, luego, copie y pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.

Procedimiento paso a paso

En el ejemplo siguiente, debe explorar por varios niveles en la jerarquía de configuración. Para obtener instrucciones sobre cómo hacerlo, consulte Uso del editor de CLI en el modo de configuración de la Guía del usuario de CLI.

Para configurar servicios selectivos basados en paquetes sin estado para un reenvío basado en paquetes de extremo a extremo:

  1. Configure las direcciones IP para las interfaces.

  2. Establezca una interfaz de servicio interna entre instancias de enrutamiento.

  3. Configure las zonas de seguridad.

  4. Configure políticas.

  5. Configure una instancia de enrutamiento de dispositivos virtuales.

  6. Habilite OSPF en todas las interfaces de la red.

  7. Cree un filtro de firewall y defina un término para el tráfico de reenvío basado en paquetes.

  8. Aplique el filtro de firewall a las interfaces pertinentes.

Resultados

Desde el modo de configuración, escriba los comandos , show protocols, show securityshow routing-instancesy show firewall para confirmar la show interfacesconfiguración. Si el resultado no muestra la configuración deseada, repita las instrucciones de configuración de este ejemplo para corregirla.

Cuando termine de configurar el dispositivo, ingrese commit desde el modo de configuración.

Verificación

Confirme que la configuración funcione correctamente.

Verificar la configuración basada en paquetes a basada en flujo

Propósito

Compruebe que los servicios selectivos basados en paquetes sin estado están configurados para un reenvío basado en paquetes a basado en flujos.

Acción

En el modo de configuración, escriba los comandos , show protocols, show securityshow routing-instances, y show firewall .show interfaces

Compruebe que el resultado muestra la configuración prevista del filtro de firewall, las instancias de enrutamiento, las interfaces y las políticas.

Compruebe que los términos se enumeran en el orden en que desea que se prueben los paquetes. Puede mover términos dentro de un filtro de firewall mediante el insert comando.

Verificar el establecimiento de la sesión en el tráfico de la LAN

Propósito

Compruebe que las sesiones se establecen cuando el tráfico se transmite en interfaces dentro de la LAN.

Acción

Para comprobar que se han establecido sesiones, realice las siguientes tareas:

  1. En el dispositivo R1, desde el modo operativo, ingrese el clear security flow session all comando para borrar todas las sesiones de flujo de seguridad existentes.

  2. En el dispositivo R0, desde el modo operativo, ingrese el ping comando para transmitir tráfico al dispositivo Primary-VR.

  3. En el dispositivo R1, con el tráfico que transmite desde los dispositivos R0 a través R1de , desde el modo operativo, ingrese el show security flow session comando.

Nota:

Para comprobar las sesiones establecidas, asegúrese de ingresar el show security flow session comando mientras este ping envía y recibe paquetes.

El resultado muestra el tráfico que transmite desde R0 a Primary-VR y no se establece ninguna sesión. En este ejemplo, aplicó el bypass-flow-filter modificador with the action en las interfaces ge-0/0/0 y lt-0/0/0.0 para el packet-mode tráfico de LAN de su empresa. Este resultado verifica que el tráfico entre las dos interfaces omita correctamente el reenvío basado en flujos y, por lo tanto, no se establece ninguna sesión.

Verificar el establecimiento de la sesión en el tráfico de Internet

Propósito

Verifique que las sesiones se establecen cuando el tráfico se transmite a Internet.

Acción

Para comprobar que el tráfico a Internet utiliza el reenvío basado en flujo y que se han establecido sesiones, realice las siguientes tareas:

  1. En el dispositivo R1, desde el modo operativo, ingrese el clear security flow session all comando para borrar todas las sesiones de flujo de seguridad existentes.

  2. En el dispositivo R0, desde el modo operativo, ingrese el ping comando para transmitir tráfico al dispositivo R2.

  3. En el dispositivo R1, con el tráfico que transmite desde a R2 través R1de R0 , desde el modo operativo ingrese el show security flow session comando.

Nota:

Para comprobar las sesiones establecidas, asegúrese de ingresar el show security flow session comando mientras este ping envía y recibe paquetes.

El resultado muestra el tráfico que se transmite desde los dispositivos R0 a R2 las sesiones establecidas. En este ejemplo, no aplicó el modificador with the packet-mode action en la bypass-flow-filter instancia Internet-VR de enrutamiento para el tráfico de Internet de su empresa. Este resultado verifica que el tráfico a Internet esté utilizando correctamente el reenvío basado en flujo y, por lo tanto, se establecen sesiones.

Tenga en cuenta que las sesiones se establecen solo cuando el tráfico fluye entre lt-0/0/0.1 y y ge-0/0/3 no cuando el tráfico fluye entre ge-0/0/2 y lt-0/0/0.0.

Documentación relacionada

Tabla de historial de cambios

La compatibilidad de la función depende de la plataforma y la versión que utilice. Utilice el Explorador de características para determinar si una característica es compatible con su plataforma.

Lanzamiento
Descripción
15,1 X 49-D30
A partir de Junos OS versión 15.1X49-D30 y Junos OS versión 17.3R1, los resúmenes de flujo de sesión incluyen ID de sesión de CP.