Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Requisitos para el firewall virtual vSRX en VMware

Especificaciones de software

En la siguiente tabla, se enumeran las especificaciones de los requisitos de software del sistema cuando se implementa el firewall virtual vSRX en VMware. La tabla describe la versión de Junos OS en la que se introdujo una especificación de software particular para implementar el firewall virtual vSRX en VMware. Debe descargar una versión específica de Junos OS para aprovechar ciertas características.

Tabla 1: Compatibilidad de funciones en el firewall virtual vSRX
Características Especificación Presentación de la versión de Junos OS
vCPU/memoria

2 vCPU/4 GB RAM

Junos OS versión 15.1X49-D15 y Junos OS versión 17.3R1 (firewall virtual vSRX)

5 vCPU/8 GB RAM

Junos OS versión 15.1X49-D70 y Junos OS versión 17.3R1 (firewall virtual vSRX)

9 vCPU/16 GB RAM

Junos OS versión 18.4R1 (firewall virtual vSRX)

Junos OS versión 19.1R1 (firewall virtual vSRX 3.0)

17 vCPU/32 GB RAM

Junos OS versión 18.4R1 (firewall virtual vSRX)

Junos OS versión 19.1R1 (firewall virtual vSRX 3.0)

Capacidad de sesión de flujo flexible, escalado por una vRAM adicional

 NA

Junos OS versión 19.1R1 (firewall virtual vSRX)

Junos OS versión 19.2R1 (firewall virtual vSRX 3.0)

Soporte de escalado multinúcleo (Software, RSS)

 NA Junos OS versión 19.3R1 (solo firewall virtual vSRX 3.0)

Reserve núcleos de vCPU adicionales para el motor de enrutamiento (firewall virtual vSRX y firewall virtual vSRX 3.0)

 NA  

Virtio (virtio-net, vhost-net) (Firewall virtual vSRX y Firewall virtual vSRX 3.0)

 NA  
Hipervisores compatibles

Soporte de hipervisor

VMware ESXi 5.1, 5.5, 6.0 y 6.5 (firewall virtual vSRX y firewall virtual vSRX 3.0)

 Junos OS versión 18.4R1
VMware ESXi 6.7 y 7.0 (solo firewall virtual vSRX 3.0) Junos OS versión 19.3R1 en adelante
VMware ESXi 8.0 (solo firewall virtual vSRX 3.0) Junos OS versión 24.2R2 en adelante
Otras características

Inicio de la nube

 NA  

Modo de alimentación IPSec (PMI)

 NA  

Clúster de chasis

 NA  

Distribución de sesiones basada en GTP TEID mediante RSS de software

 NA Junos OS versión 19.3R1 en adelante

Motor de análisis antivirus en el dispositivo (Avira)

 NA Junos OS versión 19.4R1 en adelante

LLDP

 NA Junos OS versión 21.1R1 en adelante

Interfaz de telemetría de Junos

 NA Junos OS versión 20.3R1 en adelante
Requisitos del sistema

Aceleración de hardware/marca de CPU VMX habilitada en el hipervisor (solo firewall virtual vSRX)

 NA  

Espacio en disco

16 GB (unidades IDE o SCSI) (firewall virtual vSRX)

Junos OS versión 15.1X49-D15 y Junos OS versión 17.3R1

18 GB (Firewall virtual vSRX 3.0)

  
Tabla 2: Compatibilidad con vNIC en un firewall virtual vSRX
vNIC Presentación de la versión de Junos OS
VMXNET3 SA y HA  
SR-IOV, SA y HA sobre las series Intel X710/XL710/XXV710 (Firewall virtual vSRX 3.0)

Junos OS versión 20.4R2 en adelante
AD SR-IOV en I40E (X710, X740, X722, etc.) (Firewall virtual vSRX 3.0) No compatible
SR-IOV, SA y HA sobre la serie Intel E810 (firewall virtual vSRX 3.0) Versión 21.2R1 de Junos en adelante
SR-IOV, SA y HA sobre Mellanox ConnectX-3 No compatible
SR-IOV, SA y HA sobre Mellanox ConnectX-4/5/6 (solo controlador MLX5)

(SA desde Junos OS versión 21.2R1 en adelante)

(AD desde Junos OS versión 21.2R2 en adelante)

Función física (PF) Intel NIC Soporte de paso a través de PCI

El paso a través de PF PCI asigna un puerto NIC físico completo directamente a una máquina virtual (VM) vSRX3.0 en una máquina virtual (KVM) basada en kernel (KVM) e hipervisores VMware ESXi. Con el paso de PF, el plano de datos vSRX3.0 accede directamente al hardware de la NIC, sin pasar por la pila de conmutación virtual del hipervisor. Las máquinas virtuales con NIC de paso a través de PF no admiten la migración en vivo. Las NIC asignadas mediante el paso a través de PF están dedicadas a una sola máquina virtual y no se pueden compartir.

Este modelo de despliegue cambia las características de rendimiento y el comportamiento operativo en comparación con las NIC para virtualizadas y el paso de la función virtual (VF) SR-IOV. Use el paso a través de PF solo con combinaciones calificadas de hipervisor, NIC y controlador.

Las categorías de NIC compatibles se asignan a los controladores DPDK PF, con una NIC representativa seleccionada por categoría.

Tabla 2: NIC compatible asignada a impulsadores DPDK PF
Controlador PF NIC
hielo E810
i40e XL710
ixgbe 82599
IGC* I225
IGB/E1000* I350
Tabla 3: Soporte de plataforma
Hipervisor hielo i40e ixgbe IGC IGB/E1000
VMware Y Y Y N N
Junos OS versión 26.2R1

La versión DPDK se ha actualizado de 17.02 a 17.11.2 para admitir los adaptadores de la familia Mellanox.

 Junos OS versión 18.4R1

Kit de desarrollo de plano de datos (DPDK) versión 18.11

La versión 18.11 de DPDK es compatible con el firewall virtual vSRX. Con esta función, la tarjeta de interfaz de red (NIC) Mellanox Connect en el firewall virtual vSRX ahora es compatible con la multidifusión y VLAN de OSPF.

 Junos OS versión 19.4R1

Prácticas recomendadas para mejorar el rendimiento del firewall virtual vSRX

Revise las siguientes prácticas para mejorar el rendimiento del firewall virtual vSRX.

Nodos NUMA

La arquitectura de servidor x86 consta de varios sockets y varios núcleos dentro de un socket. Cada socket también tiene memoria que se usa para almacenar paquetes durante las transferencias de E/S desde la NIC al host. Para leer eficazmente los paquetes de la memoria, las aplicaciones invitadas y los periféricos asociados (como la NIC) deben residir en un único socket. La penalización se asocia con la expansión de sockets de CPU para accesos a la memoria, lo que podría dar lugar a un rendimiento no determinista. Para el firewall virtual vSRX, recomendamos que todas las vCPU de la máquina virtual del firewall virtual vSRX estén en el mismo nodo físico de acceso a la memoria no uniforme (NUMA) para un rendimiento óptimo.

PRECAUCIÓN:

El motor de reenvío de paquetes (PFE) del firewall virtual vSRX dejará de responder si la topología de nodos NUMA está configurada en el hipervisor para distribuir las vCPU de la instancia en varios nodos NUMA de host. El firewall virtual vSRX requiere que se asegure de que todas las vCPU residen en el mismo nodo NUMA.

Recomendamos que vincule la instancia de firewall virtual vSRX con un nodo NUMA específico estableciendo la afinidad de nodos NUMA. La afinidad de nodos NUMA restringe la programación de recursos de máquina virtual del firewall virtual vSRX solo al nodo NUMA especificado.

Mapeo de PCI de NIC a VM

Si el nodo en el que se ejecuta el firewall virtual vSRX es distinto del nodo al que está conectada la NIC PCI de Intel, los paquetes tendrán que atravesar un salto adicional en el vínculo QPI, lo que reducirá la transferencia de datos general. Utilice el esxtop comando para ver información acerca de las ubicaciones de las NIC físicas relativas. En algunos servidores en los que esta información no está disponible, consulte la documentación del hardware para conocer la topología de nodo de ranura a NUMA.

Asignación de interfaz para el firewall virtual vSRX en VMware

Cada adaptador de red definido para un firewall virtual vSRX se asigna a una interfaz específica, dependiendo de si la instancia de firewall virtual vSRX es una máquina virtual independiente o una de un par de clústeres para alta disponibilidad. Los nombres y las asignaciones de interfaz en el firewall virtual vSRX se muestran en la tabla 5 y la tabla 6.

Tenga en cuenta lo siguiente:

  • En modo independiente:

    • fxp0 es la interfaz de administración fuera de banda.

    • ge-0/0/0 es la primera interfaz de tráfico (ingresos).

  • En modo de clúster:

    • fxp0 es la interfaz de administración fuera de banda.

    • em0 es el vínculo de control del clúster para ambos nodos.

    • Cualquiera de las interfaces de tráfico se puede especificar como vínculos de estructura, como ge-0/0/0 para fab0 en el nodo 0 y ge-7/0/0 para fab1 en el nodo 1.

En la tabla 5, se muestran los nombres de interfaz y las asignaciones para una máquina virtual de firewall virtual vSRX independiente.

Tabla 5: Nombres de interfaz para una máquina virtual de firewall virtual vSRX independiente

Adaptador de red

Nombre de interfaz en Junos OS

1

fxp0

2

GE-0/0/0

3

GE-0/0/1

4

GE-0/0/2

5

GE-0/0/3

6

GE-0/0/4

7

GE-0/0/5

8

GE-0/0/6

En la tabla 6 se muestran los nombres de interfaz y las asignaciones para un par de máquinas virtuales de firewall virtual vSRX en un clúster (nodo 0 y nodo 1).

Tabla 6: Nombres de interfaz para un par de clústeres de firewall virtual vSRX

Adaptador de red

Nombre de interfaz en Junos OS

1

fxp0 (nodo 0 y 1)

2

em0 (nodo 0 y 1)

3

ge-0/0/0 (nodo 0)ge-7/0/0 (nodo 1)

4

ge-0/0/1 (nodo 0)ge-7/0/1 (nodo 1)

5

ge-0/0/2 (nodo 0)ge-7/0/2 (nodo 1)

6

ge-0/0/3 (nodo 0)ge-7/0/3 (nodo 1)

7

ge-0/0/4 (nodo 0)ge-7/0/4 (nodo 1)

8

ge-0/0/5 (nodo 0)ge-7/0/5 (nodo 1)

Configuración predeterminada del firewall virtual vSRX en VMware

El firewall virtual vSRX requiere los siguientes ajustes de configuración básicos:

  • A las interfaces se les deben asignar direcciones IP.

  • Las interfaces deben estar enlazadas a zonas.

  • Las políticas deben configurarse entre zonas para permitir o denegar el tráfico.

Nota:

Con las plataformas de firewall virtual vSRX, VMware usa vNIC de VMXNET 3 y requiere el modo promiscuo en vSwitch para la interfaz de administración, fxp0.

En la tabla 7 se enumera la configuración predeterminada de fábrica para las políticas de seguridad del firewall virtual vSRX.

Tabla 7: Configuración predeterminada de fábrica para las políticas de seguridad

Zona de origen

Zona de destino

Acción política

confianza

no confiar

Permiso

confianza

confianza

Permiso

no confiar

confianza

denegar

Documentación relacionada