Exemplo: Segmentação micro e macro usando política baseada em grupo em uma VXLAN

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from interface ge-0/0/1
set firewall family any filter test term t1 from interface ge-0/0/2

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from vlan-id 2000

set firewall family any filter test term t1 from vlan-id 2000-2100
set firewall family any filter test term t1 from vlan-id [3000 3010 3020]

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then accept
set firewall family any filter f1 term t2 then discard

Atribuição de SGTs para atribuição de tags de 802,1X GBP

Neste exemplo, configuramos SGTs em um servidor RADIUS e depois usamos o controle de acesso 802.1X nos switches de acesso habilitados para GBP para receber os SGTs quando um endpoint correspondente se conecta ao switch. Os servidores RADIUS são comumente usados em ambientes de campus para controle de acesso e, por exemplo, para governar a atribuição de VLANs.

Nota:

• Se você configurar a autenticação do 802.1X com modo único seguro ou múltiplo suplicante, a tagagem GBP será baseada em MAC. Se você configurar a autenticação 802.1X com modo suplicante único, a tagagem GBP será baseada em porta.

• As correspondências de endereço IP, VLAN-ID e interface VLAN-ID+não contam com o 802.1X.

Para acomodar o uso de SGTs no servidor RADIUS, precisamos aproveitar atributos específicos (VSA) do fornecedor, conforme suportado pela estrutura de serviço AAA (esses VSA's são transportados como parte da mensagem de resposta de solicitação RADIUS padrão e fornecer uma extensão integrada para lidar com informações específicas da implementação, como nossos SGTs). A sintaxe exata no servidor RADIUS varia de acordo com se o esquema de autenticação é baseado em MAC ou EAP. Para clientes baseados em MAC, a configuração é assim:

Para clientes baseados em EAP, o SGT é empurrado do servidor RADIUS no momento da autenticação. A configuração é assim:

Começando pelo Junos OS Release 23.4R1, além do existente Juniper-Switching-Filter, um novo VSA chamado Juniper-Group-Based-Policy-Id é suportado nos switches EX4400, EX4100, EX4650 e QFX5120.

Nota:

Você não deve usar tanto o JUNiper-Group-Based-Policy-Id VSA quanto o Juniper-Switching-Filter VSA juntos para o mesmo cliente.

O cliente não será autenticado se ambos os VSAs existirem e conterem diferentes valores de tag GBP.

Você pode atribuir tags GBP dinamicamente do RADIUS em qualquer um desses VSA:

• Juniper-Switching-Filter transporta o filtro GBP e outras condições de correspondência e ação do filtro.

• Ele Juniper-Group-Based-Policy-Id carrega apenas a tag GBP.

O Juniper-Group-Based-Policy-Id filtro de tags VSA para MAC e GBP baseado em porta é assim:

Começando pelo Junos OS Release 23.4R1 e posterior, o suporte a recursos GBP também é adicionado às seguintes declarações de configuração sobre os switches EX4400, EX4100, EX4650 e QFX5120:

Tabela 9: Declarações de configuração com tag GBP

CLI	Descrição
set protocols dot1x authenticator interface [interface-names] server-fail gbp-tag gbp-tag	Especifique a tag GBP para aplicar na interface quando o servidor estiver inacessível. Se você configurar o gbp-tag gbp-tag e o cliente autenticar ou server-fail permit, então server-fail vlan-name, o filtro configurado gbp-tag gbp-tag também será instalado para o cliente. Você só pode configurar essa opção quando a opção ou server-fail permit a opção server-fail vlan-name estiver configurada.
set protocols dot1x authenticator interface [interface-names] server-reject-vlan gbp-tag gbp-tag	Especifique a tag GBP a ser aplicada quando o RADIUS rejeitar a autenticação do cliente. Se você configurar o gbp-tag gbp-tag e o cliente autenticar server-reject vlan, então o filtro configurado gbp-tag também será instalado para o cliente. Você só pode configurar quando server-reject gbp-tag gbp-tag a opção server-reject-vlan vlan-id estiver configurada.
set protocols dot1x authenticator interface [interface-names] guest-gbp-tag gbp-tag	Especifique a tag GBP para aplicar quando uma interface é movida para uma VLAN convidada. Se estiver guest-gbp-tag configurado e o cliente autenticar na VLAN convidada, o filtro configurado guest-gbp-tag também será instalado para o cliente. Você só pode configurar quando guest-gbp-tag a opção guest-vlan vlan-id estiver configurada. Para obter mais informações sobre VLANs convidados, consulte a Autenticação 802.1X.

Você pode usar o show dot1x interface detail comando ou o show ethernet-switching table comando para verificar qual tag GBP é recebida do RADIUS.

Aqui está a saída de exemplo do show ethernet-switching table comando:

Os filtros baseados em GBP são usados como classificadores para tags GBP. Esses filtros classificam fluxos de entrada e atribuem uma tag GBP.

Você pode ver como isso funciona nas seguintes amostras de código. As políticas de firewall GBP são emolduradas com base em tags GBP de origem e destino.

Uma tag de origem é o campo de 16 bits no cabeçalho VXLAN no pacote de entrada e é derivado do endereço de origem (IP/MAC/porta e assim por diante), enquanto a tag de destino é derivada no túnel de saída ou endpoint de entrada do destino (IP/MAC/porta e assim por diante), de acordo com a atribuição de tag configurada.

A tag GBP configurada é um valor não zero positivo na faixa (1-65535) para tags GBT especificadas em UM VSA (atributo específico do fornecedor) de um servidor RADIUS.

Digamos que temos essa configuração (mostrada abaixo) nos endpoints de entrada e saída. Recomendamos que você tenha a mesma configuração de atribuição de tags GBP em todo o sistema. Os pacotes do endereço 00:01:02:03:04:10:10 MAC de origem são atribuídos à tag 100, e os pacotes do endereço 00:01:02:03:04:20:20 MAC de origem são atribuídos 200.

Para pacotes com a tag GBP 100 e um endereço MAC de destino, a tag (gbp-dst-tag) do grupo de 00:01:02:03:04:10:10destino será de 100 e será compatível a termot10-100. Da mesma forma, para pacotes com a tag GBP 100 e um endereço MAC de destino, a tag do grupo de 00:01:02:03:04:20:20destino será de 200 e será compatível com o termo t10-200.

A mesma atribuição de tag usada para mapear o endereço MAC de origem para a tag de origem também é usada para mapear o endereço MAC de destino para a tag de destino. Isso também vale para atribuições baseadas em portas.

No Junos OS Release 23.2R1 e posterior, os switches EX4100, EX4400, EX4650, QFX5120-32C e QFX5120-48Y oferecem suporte a partidas L4 adicionais para filtros de política GBP para filtros GBP baseados em MAC e IP. Veja a tabela 7. A configuração dos filtros L4 pode reduzir a escala GBP suportada. Essas correspondências são suportadas por padrão, no entanto, na série EX4650, QFX5120-32C e switches QFX5120-48Y, você pode usar para set forwarding-options evpn-vxlan gbp tag-only-policy permitir apenas tags de origem e destino gbp como correspondência na política gbP.

Vamos analisar outro exemplo, desta vez usando uma tag de origem GBP de 300, e com pacotes do endereço 172.16.1.0/24IPv4:

A partir do Junos OS Release 23.4R1, os switches EX4400, EX4650 e QFX5120 oferecem suporte a várias entradas em filtros GBP do tipo VLAN, porta e porta+VLAN do mesmo tipo em um termo usando a lista e opções de intervalo, enquanto os switches EX4100 oferecem suporte a várias entradas apenas em filtros GBP do tipo de porta.

Veja exemplos abaixo:

Neste exemplo, para pacotes com GBP tag 300, ele corresponde ao termo t1 em endereços VLAN ID que variam de 10 a 30.

Neste exemplo, para pacotes com GBP tag 300, ele corresponde ao termo t1 para uma lista de interfaces de 101 a 104, onde 101 a 104 são o índice de interface interna contíguo alocado para respectivas interfaces.

Nota:

A prioridade da tagagem GBP é a seguinte, sendo a versão ip a maior prioridade:

• ip-version ipv4 <ip address> | <prefix-list>

• ip-version ipv6<ip address> | <prefix-list>

• mac-address<mac address>

• interface<interface_name> vlan-id <vlan id>

• vlan-id<vlan id>

• interface<interface_name>

Observe que, por padrão, a aplicação de políticas é feita no endpoint de saída. Se você quiser fazer aplicação de políticas na folha de entrada, veja a seção abaixo.

Você pode habilitar o VXLAN-GBP selecionando um dos três perfis que melhor atendem às suas necessidades de rede. Cada perfil UFT é configurado com valores máximos diferentes para cada tipo de endereço. Veja a compreensão dos perfis GBP para obter mais informações sobre quando usar esses perfis. Veja o perfil vxlan-gbp, o perfil vxlan-gbp-l2 e o perfil vxlan-gbp-l3 para ver as escalas suportadas por esses perfis.

Aplicação de políticas na entrada e propagação de tags

A partir do Junos Release 22.4R1, você pode executar a aplicação de políticas mais perto da entrada. A aplicação da entrada economiza a largura de banda da rede descartando pacotes marcados na entrada que de outra forma seriam descartados na saída. Para oferecer suporte à aplicação de políticas em ou mais perto da entrada, propagamos as tags baseadas em MAC e IP-MAC em toda a rede usando comunidades BGP estendidas dentro das rotas EVPN Tipo 2 e Tipo 5. Consulte as rotas EVPN Tipo 2 e Type 5 para obter informações sobre esses tipos de rotas.

O anúncio de rota EVPN é desencadeado pela instalação (ou uma mudança) de uma rota EVPN, como o aprendizado MAC-IP ao receber um pacote de um novo host. Neste caso, a rota IP de origem é instalada no banco de dados evpn.0 e um anúncio EVPN Tipo 2 (que inclui a tag GBP, se atribuído) é enviado a todos os pares eBGP.

Depois que esses anúncios se propagam pela rede para os endpoints remotos, os endpoints remotos têm informações suficientes para tomar decisões de filtro de firewall GBP em pacotes recebidos na entrada remota. Quando os pacotes são recebidos na entrada, os endpoints remotos podem procurar a rota de destino e obter a tag GBP de destino recebida anteriormente por meio do anúncio EVPN Type 2. Armados com a tag GBP de destino, os endpoints remotos podem, posteriormente, tomar decisões de aplicação de políticas GBP em seus pacotes de entrada.

Como as tags GBP são propagadas usando anúncios de rota EVPN Tipo 2, a propagação de tags é necessariamente realizada por endereço MAC ou IP. No entanto, isso não tem relação com a atribuição de tags, que pode continuar a ser qualquer um dos métodos suportados, como VLAN ou Port, entre outros.

Por exemplo, se você configurar a atribuição de tags com base na porta, e um pacote de um novo host for recebido nessa porta, então a tag atribuída para essa porta é propagada em um anúncio de rota Tipo 2, juntamente com o MAC de origem e o endereço IP do pacote de entrada. Se um pacote de um host diferente for posteriormente recebido nessa mesma porta, então a mesma tag é propagada em outro anúncio de rota tipo 2, juntamente com o MAC de origem e endereço IP deste host diferente.

Nota:

Se um switch leaf de borda receber um anúncio EVPN Tipo 2 com uma tag GBP, o switch instala a rota Tipo 2 e gera um anúncio EVPN Tipo 5 com essa tag GBP para seus pares eBGP, como os switches leaf de borda em outros data centers (para tráfego inter-DC). Esta rota tipo 5 contém um endereço IP de /32 e uma tag GBP.

Essa propagação de tag tipo 2 a Tipo 5 GBP é suportada, mas a propagação da tag Tipo 5 para Tipo 2 GBP não é suportada.

Para topologias multihoming, mantenha a configuração idêntica entre membros multihoming.

Você deve habilitar a declaração a seguir para realizar a aplicação da política no nó de entrada. Quando a aplicação de entrada é habilitada ou desativada, o Mecanismo de encaminhamento de pacotes (PFE) é reiniciado.

A partir do Junos OS Release 24.2R1, oferecemos suporte à propagação de tags GBP para rotas de prefixo IP usando anúncios EVPN Tipo 5. Antes desta versão, a propagação da tag GBP só foi desencadeada pelo aprendizado MAC-IP no dataplane, o que significava que a propagação de tags só ocorreu para rotas IP de /32.

Com suporte para rotas de prefixo IP, a propagação de tags agora pode ocorrer, por exemplo, quando você cria uma interface e permite o anúncio de rotas EVPN diretas (set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop). Se você também atribuir uma tag GBP a esse prefixo IP, então o anúncio EVPN Type 5 subsequente inclui a tag GBP, propagando a tag mesmo antes do aprendizado MAC-IP ocorrer.

Em geral, a propagação de tags GBP dentro de anúncios EVPN Tipo 5 ocorre sempre que você cria um filtro GBP que atribui uma tag a um prefixo IP e essa rota de prefixo IP é instalada no banco de dados de roteamento evpn.0. (Você pode criar o filtro GBP antes ou depois da instalação da rota.)

Embora o switch gere um anúncio tipo 5, se o switch souber de um novo host (por exemplo, através do aprendizado MAC-IP no dataplane), o switch também gerará um anúncio tipo 2. Pode ser desejável, em muitos casos, suprimir esses anúncios redundantes /32 para reduzir o tráfego EVPN. Para isso, crie uma política BGP para rejeitar rotas de /32.

Por exemplo, o seguinte cria uma política chamada T5_EXPORT com o termo chamado fm_v4_host que rejeita /32 rotas de hosts IPv4:

Nota:

Se um switch receber um anúncio EVPN para uma rota de prefixo IP e tag GBP associada, e se você tiver configurado um filtro GBP que atribua uma tag diferente à mesma rota de prefixo IP, prevalecerá a tag GBP no filtro GBP configurado localmente. O switch substitui a tag GBP no anúncio EVPN recebido pela tag GBP atribuída localmente antes de anunciar novamente a rota EVPN.

A propagação da tag de prefixo IP é habilitada automaticamente quando você cria um filtro GBP para um prefixo IP e associa o filtro GBP a uma instância de roteamento. Por exemplo:

onde <routing-instance> está o nome da instância de roteamento a que você deseja que o filtro se aplique.

Uma vez que uma rota de prefixo IP é associada a uma tag GBP, a tag GBP é exibida na saída dos show route comandos para essa rota de prefixo IP. Por exemplo:

Para ver a ligação entre uma instância de roteamento e um filtro GBP, use o show evpn gbp-src-tag filter-bind routing-instance comando.

Para ver a rota de prefixo IP para mapeamento de tags GBP, use o show evpn gbp-src-tag ip-prefix inet comando.

As limitações deste recurso incluem:

• Você só pode associar um filtro GBP a uma instância de roteamento. Você não pode associar o mesmo filtro GBP a várias instâncias de roteamento.

• Você não pode associar dois filtros GBP diferentes com a mesma condição de correspondência de prefixo IP à mesma instância de roteamento.

• Você só pode associar um filtro GBP baseado em IP a uma instância de roteamento. Associar outros tipos de filtros GBP não tem efeito.

• Esse recurso só é compatível com os switches da Série EX4400, EX4650 e QFX-5120 listados na Tabela 1.

Pacotes originados por host

Quando os pacotes são retirados de uma interface integrada de roteamento e ponte (IRB) em um endpoint de túnel virtual (VTEP), o kernel insere uma tag GBP de origem no cabeçalho VXLAN e envia o pacote. O valor da tag GBP de origem está configurado usando a seguinte declaração:

Inter-tags GBP MAC/IP

Por padrão, um filtro GBP baseado em MAC só se aplica ao tráfego comutada, e um filtro GBP baseado em IP só se aplica ao tráfego roteado.

A partir do Junos OS Release 24.2R1, os filtros GBP baseados em MAC também podem ser aplicados ao tráfego roteado, e os filtros GBP baseados em IP também podem ser aplicados ao tráfego comutada.

Isso é chamado de inter-taging MAC/IP e é suportado nos switches específicos da série EX4100, EX4400, EX4650 e QFX5120 mostrados na Tabela 1.

Para habilitar a inter-tags MAC/IP:

Abaixo, você pode ver a mesma tag GBP 100 aparecer nas tabelas MAC e IP quando você habilita a inter tags MAC/IP.

Planejando suas atribuições sgt

Antes de criar qualquer regra, pode ser útil organizar o seu esquema criando uma tabela para todos os seus endpoints (usuários e dispositivos) e o valor SGT atribuído. A tabela abaixo pode ser usada para simplificar ainda mais a lógica e esclarecer suas regras.

Tabela 10: Endpoints e seus valores SGT

Extremidade	Valor de SGT atribuído
Funcionário permanente (PE)	100
Contratante (CON)	200
Equipe de segurança (SS)	300
Câmera de segurança (CAM)	400
Servidor de engenharia (ES)	500

A relação entre o servidor RADIUS e os SGTs, os cabeçalhos de pacotes EX4400 e VXLAN e um filtro de firewall central para gerenciar a política de acesso é tal que uma matriz se torne uma maneira útil de organizar os valores. Na tabela a seguir, listamos as funções de usuário na primeira coluna e tipos de dispositivos em toda a primeira linha para criar uma matriz de acesso. Cada função de usuário e tipo de dispositivo é atribuído a um SGT e a configuração RADIUS foi atualizada com as informações.

Este exemplo usa três tipos de funcionários, Funcionários Permanentes (PE), Contratados (CON) e Equipe de Segurança (SS). Ele também usa dois tipos de recursos, o Eng Server (ES) e a câmera de segurança (CAM). Usamos Y para indicar que o acesso é permitido, e N para mostrar quando o acesso é bloqueado. A tabela serve como um recurso útil ao criar as várias regras de firewall na política e torna o mapeamento de acesso simples e claro.

Tabela 11: Matriz de acesso

	ES (SGT 500)	CAM (SGT 400)	PE (SGT 100)	CON (SGT 200)	SS (SGT 300)
PE (SGT 100)	Y	N	Y	Y	N
CON (SGT 200)	N	N	Y	N	N
SS (SGT 300)	N	Y	N	N	Y

Topologia

Para uma questão de simplicidade, toda a configuração neste exemplo é feita em um único switch da série EX4400 da Juniper que executa o Junos OS Release 22.4.1R1. O switch está conectado a um servidor RADIUS para AAA. Este switch funciona como saída neste exemplo. Lembre-se que para SGTs você deve definir o firewall no switch de saída, enquanto você normalmente faria isso no gateway VXLAN de entrada para a camada de acesso.

• Requisitos
• Configuração
• Configurando um switch Juniper EX4400 autônomo para VXLAN-GBP
• Limitações para switches EX e switches QFX:

Atribuição de SGTs com um servidor RADIUS

Neste exemplo, configuramos SGTs em um servidor RADIUS e depois usamos o controle de acesso 802.1X no EX4400 para recebê-los. Os servidores RADIUS são comumente usados em ambientes de campus para controle de acesso e, por exemplo, para governar a atribuição de VLANs.

Para acomodar o uso de SGTs no servidor RADIUS, precisamos aproveitar atributos específicos (VSA) do fornecedor, conforme suportado pela estrutura de serviço AAA (esses VSA são transportados como parte da mensagem de resposta de solicitação RADIUS padrão e fornecem uma extensão integrada para lidar com informações específicas da implementação, como nossos SGTs). A sintaxe exata no servidor RADIUS varia de acordo com se o esquema de autenticação é baseado em MAC ou EAP. Para clientes baseados em MAC, a configuração é assim:

Para clientes baseados em EAP, o SGT é empurrado do servidor RADIUS no momento da autenticação. A configuração é assim:

A partir do Junos Release 21.1R1, os switches EX4400 introduzem uma nova condição de correspondência para uso com VXLAN-GBP que permite ao firewall reconhecer as tags SGT que são passadas pelo servidor RADIUS e inseridas no cabeçalho VXLAN.

Você pode ver como isso funciona nas seguintes amostras de código. As políticas de firewall GBP são emolduradas com base em tags GBP de origem e destino. Uma tag de origem é o campo de 16 bits no cabeçalho VXLAN no pacote de entrada, enquanto a tag de destino é derivada no endpoint do túnel de saída, de acordo com a atribuição de tag configurada.

Digamos que temos um ponto final de saída com a configuração mostrada abaixo. Os pacotes do endereço 00:01:02:03:04:10:10 MAC de origem são atribuídos à tag 100, e os pacotes do endereço 00:01:02:03:04:20:20 MAC de origem são atribuídos 200.

Para pacotes com a tag GBP 100 e um endereço MAC de destino, a tag (gbp-dst-tag) do grupo de 00:01:02:03:04:10:10destino será de 100 e será compatível a termot10-100. Da mesma forma, para pacotes com a tag GBP 100 e um endereço MAC de destino, a tag do grupo de 00:01:02:03:04:20:20destino será de 200 e será compatível com o termo t10-200.

A mesma atribuição de tag usada para mapear o endereço MAC de origem para a tag de origem também é usada para mapear o endereço MAC de destino para a tag de destino. Isso também vale para atribuições baseadas em portas.

Vamos analisar outra amostra de código, desta vez usando uma tag de origem GBP de 300, e com interface ge-0/0/30.0de entrada de pacotes. Como você pode ver abaixo, a tag de origem GBP 300 é atribuída e na direção de saída, e 300 também é tag de grupo de destino GBP.

Observe que você precisa configurar o filtro de firewall GBP no switch de saída, porque não há como o switch de entrada saber quais etiquetas de grupo são usadas no switch de saída. Além disso, você deve habilitar o VXLAN-GBP globalmente no nó de entrada, para que ele possa realizar a pesquisa nas partidas e adicionar SGT no cabeçalho VXLAN, e também no nó de saída. Faça isso com o comando de configuração mostrado aqui:

Antes de criar qualquer regra, pode ser útil organizar o seu esquema criando uma tabela para todos os seus endpoints (usuários e dispositivos) e o valor SGT atribuído. Aqui, mostramos uma dessas tabelas, dos quais os valores serão posteriormente aplicados em uma matriz, que pode ser usada para simplificar ainda mais a lógica e esclarecer suas regras.

Tabela 12: Endpoints e seus valores SGT

Extremidade	Valor de SGT atribuído
Funcionário permanente (PE)	100
Contratante (CON)	200
Equipe de segurança (SS)	300
Câmera de segurança (CAM)	400
Servidor de engenharia (ES)	500

A relação entre o servidor RADIUS e os SGTs, os cabeçalhos de pacotes EX4400 e VXLAN e um filtro de firewall central para gerenciar a política de acesso é tal que uma matriz se torne uma maneira útil de organizar os valores. Na tabela a seguir, listamos as funções de usuário na primeira coluna e tipos de dispositivos em toda a primeira linha para criar uma matriz de acesso. Cada função de usuário e tipo de dispositivo é atribuído a um SGT e a configuração RADIUS foi atualizada com as informações.

Este exemplo usa três tipos de funcionários, Funcionários Permanentes (PE), Contratados (CON) e Equipe de Segurança (SS). Ele também usa dois tipos de recursos, o Eng Server (ES) e a câmera de segurança (CAM). Usamos Y para indicar que o acesso é permitido, e N para mostrar quando o acesso é bloqueado. A tabela serve como um recurso útil ao criar as várias regras de firewall na política e torna o mapeamento de acesso simples e claro.

Tabela 13: Matriz de acesso

	ES (SGT 500)	CAM (SGT 400)	PE (SGT 100)	CON (SGT 200)	SS (SGT 300)
PE (SGT 100)	Y	N	Y	Y	N
CON (SGT 200)	N	N	Y	N	N
SS (SGT 300)	N	Y	N	N	Y

Topologia

Para uma questão de simplicidade, toda a configuração neste exemplo é feita em um único switch da série EX4400 da Juniper que executa o Junos OS Release 21.1R1. O switch está conectado a um servidor RADIUS para AAA. Este switch funciona como saída neste exemplo. Lembre-se que para SGTs você deve definir o firewall no switch de saída, enquanto você normalmente faria isso no gateway VXLAN de entrada para a camada de acesso.

• Requisitos
• Configuração
• Configurando um switch Juniper EX4400 autônomo para VXLAN-GBP

A partir do Junos Release 21.4R1, o VXLAN-GBP também tem suporte para os seguintes switches: QFX5120-32C, QFX5120-48T, QFX5120-48Y, QFX5120-48YM, EX4650 e EX4650-48Y-VC.