Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
項目一覧
 

専用インスタンスの管理インターフェイス

概要 専用の管理インスタンスを使用して、管理トラフィックをネットワークの他の部分から分離します。

デフォルト以外の VRF インスタンスを使用する理由

デフォルトでは、管理イーサネット インターフェイス(Junos OS では通常 fxp0 または em0、Junos OS Evolved で re0:mgmt-* または re1:mgmt-* という名前)が、デバイスのアウトオブバンド管理ネットワークを提供します。アウトオブバンド管理トラフィックは、インバンドプロトコル制御トラフィックから明確に分離されていません。代わりに、すべてのトラフィックがデフォルトのルーティング インスタンスを通過し、デフォルトの inet.0 ルーティングテーブルを共有します。このようなトラフィック処理システムにより、セキュリティ、パフォーマンス、およびトラブルシューティングに関する懸念が生じます。ネットワーク管理者は、管理インターフェイスを専用非デフォルト VRF(仮想ルーティングおよび転送)インスタンスに限定することで、これらの問題を解決できます。

専用管理インスタンスのメリット

  • セキュリティの改善

  • 管理トラフィックが、他の制御トラフィックやプロトコルトラフィックとルーティングテーブルを共有する必要がなくなりました

  • 管理インターフェイスを使用してトラブルシューティングが容易

手記：

  • Junos OS の場合、デフォルト以外の管理 VRF インスタンスは、em0 および fxp0 インターフェイスのみをサポートします。デフォルト以外の管理 VRF インスタンスは、em1 などの他の管理インターフェイスをサポートしていません。

  • デフォルト以外の管理 VRF インスタンスは、EXシリーズ デバイス上の仮想管理イーサネット(VME)インターフェイスをサポートします。VME インターフェイスは、バーチャルシャーシの管理に使用されます。詳細については、「バーチャルシャーシのグローバル管理について」を参照してください

管理インスタンスの概要

専用の管理 VRF インスタンスの名前は予約されており、 mgmt_junos としてハードコードされています。 mgmt_junos という名前で他のルーティング インスタンスを設定することはできません。アプリケーションによっては、管理インターフェイスがデフォルトの inet.0 ルーティングテーブルに常に存在することを前提としているため、専用の管理 VRF インスタンスはデフォルトでインスタンス化されません。有効にするには、設定する必要があります。

mgmt_junos VRF インスタンスを展開すると、管理トラフィックはシステム内の他の制御トラフィックやプロトコル トラフィックとルーティングテーブル(つまりデフォルト ルーティングテーブル)を共有しなくなります。mgmt_junos VRF インスタンスのトラフィックは、プライベート IPv4 および IPv6 ルーティング テーブルを使用します。mgmt_junosを設定した後は、管理インターフェイスで動的プロトコルを設定することはできません。

管理インスタンスを設定する

管理インターフェイス上にネクスト ホップがあるスタティック ルートは、 mgmt_junos VRF インスタンスに追加する必要があります。必要に応じて、 mgmt_junosを使用する適切なプロセスまたはアプリケーションも構成する必要があります。これらの変更はすべて、1 回のコミットで行う必要があります。そうしないと、既存のセッションが失われ、再ネゴシエートが必要になる可能性があります。

開始する前に:スタティック ルートを決定する

一部のスタティック ルートには、管理インターフェイスを経由するネクスト ホップがあります。 mgmt_junos VRF インスタンスの設定の一環として、これらのスタティック ルートをすべて mgmt_junos に追加して、管理インターフェイスに到達できるようにする必要があります。それぞれのセットアップは異なります。まず、管理インターフェイスを経由するネクスト ホップを持つスタティック ルートを特定する必要があります。

  1. show interfaces interface-name terse コマンドを使用して、デフォルトの管理インターフェイスの IP アドレスを検索します。デフォルトの管理インターフェイスは、Junos OSの場合はfxp0またはem0、Junos OS Evolvedの場合はre0:mgmt-0またはre1:mgmt-0です。

  2. show route forwarding-table コマンドを使用して、スタティック ルートのネクストホップ情報の 転送テーブル を確認します。スタティックルートは、タイプuserとして表示されます。影響を受ける静的ルートのネクスト ホップには、管理インターフェイスに設定された IP アドレスのサブネットに該当する IP アドレスがあります。

  3. 管理ネットワークに関連付けられた静的ルートを見つける別の方法は、 show route protocol static next-hop <management-network-gateway-address> コマンドを使用することです。

    または、デバイスの設定の静的ルート部分を表示するだけです。CLImatch機能を使用して、管理ネットワークのデフォルトゲートウェイを指すすべての静的ルートをすばやく見つけることができます。

管理インスタンスの有効化

手記：

これらの操作には、デバイスのコンソール ポートの使用を推奨します。

管理インスタンスを変更すると、管理ポートの基盤となる VRF インスタンスが変更されます。SSH、Telnet、または NETCONF を使用している場合、設定をコミットするとデバイスへの接続が切断され、再確立する必要があります。

SSH、Telnet、または NETCONF を使用する場合は、 commit confirm を使用してください。

専用の管理 VRF インスタンスを有効にするには、次の手順を実行します。

  1. mgmt_junosを設定するVRF インスタンス。
  2. management-instance ステートメントを設定します。
  3. 適切なスタティックルートをmgmt_junosに追加しますVRF インスタンス。

    変更するスタティック ルートを決定する方法については、「 開始する前に:スタティック ルートを決定する」を参照してください。

    設定グループを使用している場合は、これらの変更をグループの一部として設定できます。

  4. 設定をコミットします。
    SSH、Telnet、または NETCONF を使用している場合は、 commit confirm を使用します。SSH、Telnet、または NETCONF セッションを失うことが予想され、その後、再確立する必要があります。

管理インスタンスを使用するためのプロセスの構成

多くのプロセスは、管理インターフェイスを介して通信します。mgmt_junosを使用するには、プロセスが管理 VRF インスタンスをサポートする必要があります。 管理インスタンスが有効になっていない限り、これらのプロセスのすべてがデフォルトでmgmt_junosを使用するわけではありません。mgmt_junosを使用するには、これらのプロセスを設定する必要があります。

次のプロセスでは、この追加構成が必要です。

表 1:管理 VRF インスタンスを使用するために設定できるプロセス

過程

管理 VRF をサポートする最初のリリース

詳しくの参照先

自動化スクリプト

Junos OS リリース 18.1R1

スクリプトの代替ソースの場所の使用

スクリプトのマスターソースの場所の設定と使用

BGP モニタリング・プロトコル(BMP)

Junos OS リリース 18.3R1

異なるルーティング インスタンス上で実行するための BGP 監視プロトコルの設定

NTP

Junos OS リリース 18.1R1

NTP

アウトバウンド SSH

Junos OS リリース 19.3R1

 アウトバウンド SSH サービスを設定する

半径

Junos OS リリース 18.1R1

RADIUS サーバ認証の設定

RADIUSシステムアカウンティングの設定

REST API

Junos OS リリース 20.3R1

休む

システムロギング(syslog)

Junos OS リリース 18.1R1(デフォルト)

Junos OS リリース 24.2R1(設定されている場合)

システム ロギングおよびルーティング インスタンス

TACACS+

Junos OS リリース 17.4R1

TACACS+ 認証の設定

Junos OS リリース 18.2R1

TACACS+ システム アカウンティングの設定

mgmt_junos VRF インスタンスを使用するためのこれらのプロセスの設定はオプションです。このステップをスキップすると、これらのプロセスはデフォルトのルーティング インスタンスのみを使用してパケットを送信し続けます。

  1. mgmt_junosを使用してソースから自動化スクリプトを更新するには、次のように設定します。
    1. Commit、op、または SNMP スクリプト:
    2. イベントスクリプト:
    3. Juniper Juniper Extension Toolkit(JET)スクリプト:
  2. BMP:
    1. パッシブ接続モードの BMP:
    2. アクティブ接続モードの BMP:
  3. NTPサービス:

    また、デフォルトのルーティング インスタンス内の物理インターフェイスまたは論理インターフェイスに、少なくとも 1 つの IP アドレスを設定する必要があります。NTP サービスが mgmt_junos VRF インスタンスと連携できるように、このインターフェイスが稼働していることを確認します。

  4. 半径：
  5. TACACS+:
  6. REST API:
  7. システムロギング:
  8. アウトバウンド SSH:

管理インスタンスを無効にする方法

mgmt_junos VRF インスタンスを無効にする場合は、行った他の設定変更も削除する必要があります。

  1. management-instance ステートメントを削除して、専用の管理 VRF インスタンスを無効にします。
  2. (オプション)mgmt_junosからスタティックルートを削除しますVRF インスタンス。
  3. (オプション)mgmt_junosを使用するプロセスの設定を削除します。これらのプロセスは、デフォルトのルーティング インスタンスを使用したパケットの送信に戻ります。例えば、TACACS+ の mgmt_junos 設定を削除するには:

変更履歴

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer を使用します。

解放
形容
24.2R1
Junos OS リリース 24.2R1以降、 management-instance ステートメントが設定されている場合、システムログ情報はデフォルトで専用管理インスタンスを使用しません。有効にするには、システム ロギング用に mgmt_junos VRF インスタンスを設定する必要があります。
18.1R1
Junos OS リリース 18.1R1以降、 management-instance ステートメントが設定されている場合、システムロギングはデフォルトでIPv6アドレスリモートホストとアーカイブサイト専用の管理インスタンスを使用します。
17.3R1
Junos OS リリース 17.3R1 以降では、em0 および fxp0 管理インターフェイスを mgmt_junos VRF インスタンスに制限できます。
17.3R1
Junos OS リリース 17.3R1以降、 management-instance ステートメントが設定されている場合、システムロギングはデフォルトでIPv4アドレスリモートホスト専用の管理ルーティング インスタンスを使用します。