Filtrado selectivo basado en clases en enrutadores PTX

Para los enrutadores y tarjetas de línea de la serie PTX compatibles, puede filtrar el tráfico IPv4 e IPv6 según la clasificación de origen o destino (uso de clase de origen, SCU) y (uso de clase de destino, DCU). Esto es útil porque significa que puede aplicar un filtro selectivamente, en un subconjunto de paquetes de una clase, en lugar de todos los paquetes de la clase. Además, el flujo de paquetes a través del motor de reenvío de paquetes (PFE) está optimizado y el filtrado es más eficiente.

Para los proveedores de servicios, el filtrado basado en clases le permite proporcionar servicios avanzados como:

• Manipulación del comportamiento por salto mediante el ajuste de la clase de reenvío del paquete en función de la clase del paquete de origen o destino y otros criterios de filtro.

• Limitación de la tasa de tráfico hacia ciertas interfaces de clientes, con un alto volumen de tráfico que debe caer (por ejemplo, bajo ataque DDoS). Normalmente, implementaría un filtro de interfaz saliente para limitar la velocidad del tráfico. Sin embargo, esto puede ser ineficaz porque el tráfico sigue cruzando la estructura en los sistemas distribuidos y consume un ancho de banda limitado de la estructura. La ineficiencia se hace aún más visible en un sistema de cola de salida virtual, como PTX, donde la admisión en la cola de salida ocurre antes de que se ejecute el filtro de salida y cualquier acción de caída posterior en el filtro de salida requiere compensación: se debe admitir más tráfico en la cola, lo que requiere más ancho de banda de estructura y más espacio de búfer en chip de salida (que es un recurso limitado). Los filtros basados en clases se ejecutan en la canalización de entrada antes de la admisión de los paquetes en la cola de salida. Este mecanismo se recomienda sobre los filtros de interfaz de salida regulares, si espera dejar caer grandes volúmenes de tráfico hacia ciertos destinos.

El filtrado basado en clases también es efectivo para ataques DoS "bajos y lentos" que se dirigen a los recursos de aplicaciones y servidores imitando patrones de tráfico normales.

Para admitir el filtrado basado en clases, se introducen dos nuevos puntos de enlace en la tabla de reenvío para enrutadores PTX: source-class y destination-class.

Aquí se muestra la jerarquía de la CLI, donde src-class-name o dest-class-name es el nombre del filtro definido en la política correspondiente.

También puede configurar filtros específicos de la instancia en varias clases de SCU y DCU. De forma predeterminada, solo se crea una instancia de un conjunto de contadores y aplicadores para un filtro. En el filtro específico de la instancia, se crea un conjunto separado de contadores y aplicadores de políticas para cada punto de conexión del filtro.

Inicialmente, se introdujo la característica de uso de clase de origen (SCU) para proporcionar un desglose estadístico del tráfico enviado hacia una interfaz específica por prefijo de origen (identificado por la clase de origen). El uso de clase de destino (DCU) se introdujo originalmente para proporcionar un desglose estadístico del tráfico recibido en una interfaz por prefijo de destino (identificado por la clase de destino).

Ambas clases de origen o destino se asignan al paquete en el proceso de búsqueda de origen o destino. Por lo tanto, las condiciones de coincidencia del filtro de origen y destino solo se pueden evaluar si el filtro se ejecuta después de la búsqueda.

Los enrutadores Juniper admiten múltiples puntos de enlace de filtro, aquellos que pueden aprovechar el resultado de la clasificación de origen y destino se enumeran a continuación, con pautas de uso:

• Filtro de interfaz de salida (establecer interfaces <nombre de interfaz> familia inet filter <output>. Compatible con cualquier plataforma PTX, pero no se recomienda si se espera descartar grandes volúmenes de tráfico en estado estable (por ejemplo, al implementar un filtro de mitigación de ataques DDoS). Es posible que el tráfico de ataque DDoS descartado no sea compensado por otro tráfico que no coincida con los criterios de ataque DDoS debido al ancho de banda limitado de la estructura y al espacio de búfer en el chip de salida limitado.

• Filtrar después de reenviar la tabla de búsqueda de filtro (establecer opciones de reenvío de la familia de filtros inet filter <filter-name> salida). Compatible con plataformas Express 2 (PE) y Express 3 (ZX). Sin embargo, los filtros se instancian en la canalización de salida, por lo tanto, el comportamiento de descarte es similar al filtro de interfaz de salida normal.

• Punto de enlace específico de la clase de origen o destino (set routing-options-forwarding-table source-class src-class-name family [inet | inet6] filter <filter-name>). Compatible con las plataformas Express 2 (PE), Express 3 (ZX) y Express 4 (BT). Se crea una instancia de este filtro en la canalización de entrada. Esta es la opción recomendada para descartar grandes volúmenes de tráfico. Esta opción también se recomienda si necesita anular la clase de reenvío y, posteriormente, la asignación de cola de salida. En un sistema de cola de salida virtual, la cola se selecciona en la canalización de entrada y cualquier anulación también debe ocurrir en la canalización de entrada.

En este ejemplo se muestra cómo aplicar acciones de firewall (descartar, rechazar o vigilar) a los flujos de tráfico IPv4 e IPv6 en función de la clasificación de origen o destino. Se aplica a enrutadores PTX10001-36MR, PTX10003-160C, PTX10003-80C, PTX10004 y PTX10008 que ejecutan Junos Evolved OS versión 21.2, enrutadores PTX10016 que ejecutan JUNOS Evolved OS versión 21.4 o enrutadores PTX3000, PTX-5000, PTX1000, PTX10002, PTX10008 PTX10016 que ejecutan software Junos OS versión 21.2 o posterior.

• Requisitos
• Descripción general
• Configuración

Descripción general

En este ejemplo se utilizan tres dispositivos de enrutamiento: un dispositivo perimetral del cliente (CE), un dispositivo perimetral del proveedor (PE) y un dispositivo núcleo del proveedor (P). Se muestra la configuración del tráfico IPv4, que incluye dos conjuntos de clases SCU y DCU, además de los filtros de firewall. En la siguiente figura, los prefijos IP /32 representan hosts conectados a los enrutadores perimetral del cliente (CE) y proveedor (P), respectivamente.

Figura 1: Red de muestra

En este ejemplo, definimos dos clases de tráfico: SCU-1 y SCU-2, el primero se asigna a los prefijos de la subred 172.16.2.0/24 y el segundo se asigna a los prefijos de la subred 172.16.3.0/24. Otros prefijos no tienen ninguna asignación de clase. Como se muestra en el siguiente fragmento de CLI, la directiva de enrutamiento se define en el enrutador de PE para asignar prefijos a source-class scu-1 y source-class scu-2.

Para tener en cuenta el tráfico que ingresa a las interfaces de PE desde CE, la política llamada dcu-class definida en el enrutador PE utiliza filtros de ruta para colocar el tráfico en dcu-1, otros prefijos no tienen asignaciones de clase.

A continuación, las directivas se aplican a la tabla de reenvío.

En el siguiente paso, configuramos un filtro en el enrutador PE.

Y adjunte ese filtro a los puntos de enlace de clase de origen y destino específicos en el enrutador PE.