Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
このページで
 

論理インターフェイスでのポートミラーリングの設定

レイヤー2ポートミラーリングファイアウォールフィルター

このトピックでは、次の情報について説明します。

レイヤー 2 ポート ミラーリング ファイアウォール フィルターの概要

MX シリーズルーターと EX シリーズスイッチでは、ファイアウォールフィルター の条件を設定して、ファイアウォールフィルターが適用されるインターフェイス内のすべてのパケットにレイヤー2ポートミラーリングを適用することを指定できます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターは、入力または出力論理インターフェイス(集合型イーサネット論理インターフェイスを含む)、VLAN に転送またはフラッディングされたトラフィック、VPLS ルーティング インスタンスにフラッディングされたトラフィックに適用できます。

MX シリーズ ルーターと EX シリーズ スイッチは、レイヤー 2 環境の family ccc を使用して、VPLS(family ethernet-switching または family vpls)トラフィックとレイヤー 2 VPN トラフィックのレイヤー 2 ポート ミラーリングをサポートします

ファイアウォール フィルター term内では、次のいずれかの方法で then ステートメントでレイヤー 2 ポートミラーリング プロパティを指定できます。

  • ポート上の効果でレイヤー 2 ポート ミラーリング プロパティを暗示的に参照します。

  • レイヤー2ポートミラーリングの特定の名前付きインスタンスを明示的に参照します。

注:

レイヤー2ポートミラーリングファイアウォールフィルターを設定する場合、ルート送信元アドレスに基づいて一致条件を指定するオプションの from ステートメントを含めないでください。このステートメントを省略すると、すべてのパケットが一致したと見なされ、then ステートメントで指定されたすべてのactionsとaction-modifiersが取得されます。

すべての着信パケットをミラーリングする場合は、from ステートメントを使用しないでください。/*コメント：1 つは、パケットのサブセットのみをミラーリングすることに関心がある場合は、From でフィルター条件を構成します。

注:

IRB(統合型ルーティングおよびブリッジング)を VLAN(またはVPLSルーティングインスタンス)に関連付け、VLAN(またはVPLSルーティングインスタンス)内で port-mirror または port-mirror-instance アクションで転送テーブルフィルターを設定した場合、IRBパケットはレイヤー2パケットとしてミラーリングされます。VLAN(またはVPLSルーティングインスタンス)で no-irb-layer-2-copy ステートメントを設定することで、この動作を無効にすることができます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターの構成方法の詳細については、 レイヤー 2 ポートミラーリング ファイアウォール フィルターの定義を参照してください。

プロバイダー エッジ(PE)ルーターまたは PE スイッチとして構成された MX ルーターおよび EX シリーズ スイッチでレイヤー 2 ポートミラーリング ファイアウォール フィルターを使用する方法の詳細については、 PE ルーター論理インターフェイスのレイヤー 2 ポート ミラーリングについてを参照してください。ファイアウォールフィルターの一般的な設定(レイヤー3環境を含む)の詳細については、ルーティングポリシー、ファイアウォールフィルタ、およびトラフィックポリサーユーザーガイド」を参照してください。

論理インターフェイスで受信または送信したパケットのミラーリング

論理インターフェイスで受信または送受信されるレイヤー2トラフィックをミラーリングするには、ポートミラーリングファイアウォールフィルターをインターフェイスの入力または出力に適用します。

ポートミラーリングファイアウォールフィルターは、集合型イーサネット論理インターフェイスにも適用できます。詳細については、 PEルーター集合型イーサネットインターフェイスのレイヤー2ポートミラーリングについてを参照してください。

注:

ポートミラーリング ファイアウォール フィルターが論理インターフェイスの入力と出力の両方に適用される場合、各パケットの 2 つのコピーがミラーリングされます。ルーターまたはスイッチが同じ宛先に重複したパケットを転送するのを防ぐには、レイヤー2パケットアドレスファミリーのグローバルインスタンスで、レイヤー2ポートミラーリングの「ミラーワンス」オプションを有効にします。

VLANに転送またはフラッディングされたパケットのミラーリング

VLANに転送またはVLANにフラッディングされたレイヤー2トラフィックをミラーリングするには、ポートミラーリングファイアウォールフィルターを転送テーブルまたはフラッディングテーブルへの入力に適用します。VLAN 転送テーブルまたはフラッディング テーブルで受信され、フィルタ条件に一致するパケットはすべてミラーリングされます。

VLAN の詳細については、 レイヤー 2 ブリッジ ドメインについて を参照してください。VLAN のフラッディング動作については、 ブリッジ ドメインのレイヤー 2 ラーニングと転送 についてを参照してください。

注:

1 つの VLAN の下の任意のインターフェイスにポート ミラーリングを設定すると、ミラーリングされたパケットを異なる VLAN にある外部アナライザに移動できます。

VPLSルーティングインスタンスに転送またはフラッディングされたパケットのミラーリング

VPLS ルーティング インスタンスに転送またはフラッディングされたレイヤー 2 トラフィックをミラーリングするには、ポートミラーリング ファイアウォール フィルターを転送テーブルまたはフラッディング テーブルへの入力に適用します。VPLS ルーティング インスタンス転送テーブルまたはフラッディング テーブルで受信され、フィルタ条件に一致するパケットはすべてミラーリングされます。

VPLSルーティングインスタンスの詳細については、 VPLSルーティングインスタンスの設定および ブリッジ ドメイン とVPLSルーティングインスタンスのVLAN識別子の設定を参照してください。VPLS のフラッディング動作については、 ルーティングデバイス用 Junos OS VPN ライブラリを参照してください。

レイヤー 2 ポートミラーリング ファイアウォール フィルターの定義

VPLS(仮想プライベートLANサービス)トラフィック(family ethernet-switching または family vpls)およびファミリー付きレイヤー2 VPNの場合 cccMXシリーズルーターおよびEXシリーズスイッチのみ)、パケットがファイアウォールフィルター条件で指定された条件に一致した場合に実行するアクションとしてレイヤー2ポートミラーリングを指定するファイアウォールフィルターを定義できます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターは、次の方法で使用できます。

  • 論理インターフェイスで受信または送信されたパケットをミラーリングします。

  • VLAN に転送またはフラッディングされたパケットをミラーリングします。

  • VPLS ルーティングインスタンスに転送またはフラッディングされたパケットをミラーリングします。

  • トンネル インターフェイスの入力パケットのみを複数の宛先にミラーリングします。

MXシリーズルーターとEXシリーズスイッチで設定できる3種類のレイヤー2ポートミラーリングの概要については、 レイヤー2ポートミラーリングタイプの適用を参照してください。

レイヤー 2 ポートミラーリングアクションでファイアウォールフィルターを定義するには:

  1. VLAN、レイヤー2スイッチングクロスコネクト、または仮想プライベートLANサービス(VPLS)の一部であるレイヤー2パケットのファイアウォールフィルターの設定を有効にします。

    family オプションの値は、ethernet-switching 、ccc、または vpls にすることができます。

  2. ファイアウォールフィルターの設定を有効にする pm-filter-name:
  3. ファイアウォールフィルター条件 pm-filter-term-nameの設定を有効にします。
  4. (オプション)サンプル化されたパケットのサブセットをミラーリングする場合 のみ 、ルート送信元アドレスに基づいてファイアウォールフィルターの一致条件を指定します。
    注:

    サンプリングされたすべてのパケットが一致したと見なす(そして、 then ステートメントで指定されたアクションに従う)場合は、 from ステートメントを完全に省略します。

  5. 一致するパケットに適用する action と action-modifier の設定を有効にします。
  6. 一致するパケットに対して実行するアクションを指定します。

    actionの推奨値は accept です。アクションを指定しない場合、または then ステートメントを完全に省略した場合、 from ステートメントの条件に一致するすべてのパケットが受け入れられます。

  7. レイヤー 2 ポート ミラーリングまたはネクストホップ グループを action-modifierとして指定します。

    • 基礎となる物理インターフェイスに関連付けられているパケット転送エンジンまたはPICに対して現在有効なレイヤー2ポートミラーリングプロパティを参照するには、 port-mirror ステートメントを使用します。

    • 特定の名前付きインスタンスで設定されたレイヤー2ポートミラーリングプロパティを参照するには、port-mirror-instance pm-instance-name アクション修飾子を使用します。

      基になる物理インターフェイスがレイヤー 2 ポート ミラーリングの名前付きインスタンスにバインドされておらず、レイヤー 2 ポート ミラーリングのグローバル インスタンスに暗黙的にバインドされている場合、論理インターフェイスのトラフィックは、 port-mirror-instance アクション修飾子によって参照される名前付きインスタンスで指定されたプロパティに従ってミラーリングされます。

    • (パケットの追加コピーをアナライザーに送信するため)ネクストホップ アドレスを指定するネクストホップ グループを参照するには、 next-hop-group pm-next-hop-group-name アクション修飾子を使用します。

      ネクストホップグループの設定情報については、 レイヤー2ポートミラーリングのネクストホップグループの定義を参照してください。レイヤー2ポートミラーリングにネクストホップグループを指定した場合、ファイアウォールフィルターの条件はトンネルインターフェイスの入力にのみ適用されます。

  8. レイヤー 2 ポートミラーリング ファイアウォール フィルターの最小構成を確認します。

    ファイアウォールフィルターの条件 then ステートメントでは、 action-modifier を port-mirror、 port-mirror-instance 、または next-hop-group pm-next-hop-group-nameにすることができます。

ポートミラーリングのためのプロトコル非依存ファイアウォールフィルターの設定

MPCを搭載したMXシリーズルーターでは、ファイアウォールフィルターを設定して、グローバルレベルとインスタンスレベルでレイヤー2およびレイヤー3のパケットをミラーリングできます。ポートミラーがイングレスまたはエグレスで設定されている場合、インターフェイスに出入りするパケットがコピーされ、そのコピーがローカル監視のためにローカルインターフェイスに送信されます。

注:

Junos OS リリース 13.3R6 以降、ポート ミラーリングを行う family any をサポートしているのは MPC インターフェイスのみです。DPC インターフェイスは family any をサポートしていません。

通常、ファイアウォールフィルターは、インターフェイスで設定されたファミリーに基づいて、レイヤー2またはレイヤー3パケットのいずれかをミラーリングするように設定されます。ただし、IRB(統合型ルーティングおよびブリッジング)インターフェイスの場合、IRB インターフェイスはレイヤー 3 パケットのみをミラーリングするように設定されているため、レイヤー 2 パケットは完全にはミラーリングされません。このようなインターフェイスでは、ファミリー any のファイアウォールフィルターとポートミラーリングパラメーターを設定して、パケットがレイヤー2パケットかレイヤー3パケットかに関係なく、パケットが完全にミラーリングされるようにすることができます。

注:

  • インスタンスでのポートミラーリングの場合、同じインスタンスに対して同時に inet、 inet6、 ccc、 vpls などの1つ以上のファミリーを設定できます。

  • レイヤー2ポートミラーリングの場合、VLANタグ、MPLSヘッダーは保持され、エグレスでミラーリングされたコピーで確認できます。

  • VLAN正規化では、受信時にミラーリングされたパケットに対して正規化前の情報が表示されます。同様に、エグレスでは、ミラーリングされたパケットについて正規化後の情報が表示されます。

ポート ミラーリングの設定を始める前に、有効な物理インターフェイスを設定する必要があります。

ポートミラーリング用のプロトコル非依存ファイアウォールフィルターを設定するには:

  1. エグレスまたはイングレストラフィックをミラーリングするためのグローバルファイアウォールフィルターを設定します。
  2. インスタンスのトラフィックをミラーリングするようにファイアウォールフィルターを設定します。
  3. エグレスとイングレストラフィックのミラーリングパラメータを設定します。
  4. インスタンスのミラーリングパラメータを設定します。この設定では、レイヤー2パケットの出力または宛先を、有効なネクストホップグループまたはレイヤー2インターフェイスのいずれかに指定できます。
  5. パケットが送信されるイングレスまたはエグレスインターフェイスでファイアウォールフィルターを設定します。

例：ファイアウォールフィルターによる従業員のWebトラフィックのミラーリング

要件

この例では、以下のハードウェアとソフトウェアのコンポーネントを使用しています。

  • 1 つのスイッチ

  • Junos 14.1X53-D20

概要

この例では、 xe-0/0/0 と xe-0/0/6 が従業員のコンピューターの接続として機能します。インターフェイス xe-0/0/47 は、アナライザ アプリケーションを実行しているデバイスに接続されています。

すべてのトラフィックをミラーリングするのではなく、通常は特定のトラフィックのみをミラーリングすることが望ましいです。これは、帯域幅とハードウェアのより効率的な使用であり、これらの資産に対する制約のために必要になる場合があります。この例では、従業員のコンピューターから Web に送信されたトラフィックのみをミラーリングしています。

トポロジー

図 1は、この例のネットワーク トポロジーを示しています。

図 1: ローカルポートミラーリングのネットワークトポロジー例ローカルポートミラーリングのネットワークトポロジー例

設定

ミラーリングされるトラフィックが従業員から Web に送信されるトラフィックのみであることを指定するには、このセクションで説明するタスクを実行します。このトラフィックをミラーリング用に選択するには、ファイアウォールフィルターを使用してこのトラフィックを指定し、ポートミラーリングインスタンスに誘導します。

手順

CLIクイック構成

従業員のコンピューターから Web を宛先とするトラフィックのローカルポートミラーリングを迅速に設定するには、次のコマンドをコピーしてスイッチ端末ウィンドウに貼り付けます。

ステップバイステップでの手順

従業員のコンピューターに接続された 2 つのポートから、従業員から Web へのトラフィックのローカル ポート ミラーリングを構成するには:

  1. 出力インターフェイスと、ネクストホップとしてアナライザアプリケーションを実行しているデバイスのIPアドレスを含むポートミラーリングインスタンスを設定します。(出力のみを設定し、入力はフィルターから取得します)。また、ミラーが IPv4 トラフィック(family inet)用であることも指定する必要があります。

  2. Web に送信されたトラフィックを照合する条件を含む watch-employee と呼ばれる IPv4(family inet)ファイアウォール フィルターを設定し、それをポートミラーリング インスタンスに送信します。企業サブネットとの間で送受信されるトラフィック(宛先または送信元アドレスが 192.0.nn.nn/24)はコピーする必要がないため、まず別の用語を作成して、そのトラフィックを受け入れてから、Web トラフィックをインスタンスに送信します。

  3. 従業員のコンピューターとアナライザーデバイスに接続されたIPv4インターフェイスのアドレスを設定します。

  4. ファイアウォールフィルターを、イングレスフィルターとして適切なインターフェイスに適用します:

結果

構成の結果を確認します。

検証

アナライザが正しく作成済みであることの確認

目的

アナライザが、適切な入力インターフェイスと適切な出力インターフェイスを持つスイッチ上で作成されていることを確認します。

アクション

ポートミラーアナライザが show forwarding-options port-mirroring コマンドを使用して想定どおりに設定されていることを確認できます。

意味

この出力は、ポートミラーリング インスタンスの比率が 1(すべてのパケットをミラーリング、デフォルト設定)で、ミラーリングされた元のパケットの最大サイズ(0 はパケット全体を示す)であることを示しています。出力インターフェイスの状態が down の場合、または出力インターフェイスが設定されていない場合、状態の値は down となり、インスタンスはミラーリング用にプログラムされません。

PE ルーターまたは PE スイッチ論理インターフェイスのレイヤー 2 ポート ミラーリング

サービスプロバイダーネットワークの顧客向けエッジでプロバイダーエッジ(PE)デバイスとして設定されたルーターまたはスイッチの場合、次のイングレスポイントとエグレスポイントでレイヤー2ポートミラーリング ファイアウォールフィルター を適用して、ルーターまたはスイッチとカスタマーエッジ(CE)デバイス(通常はルーターおよびイーサネットスイッチ)間のトラフィックをミラーリングできます。

表 1 では、PE デバイスとして設定されたルーターまたはスイッチに、レイヤー 2 ポートミラーリング ファイアウォール フィルターを適用する方法について説明します。

表 1: PE デバイスにおけるレイヤー 2 ポート ミラーリング ファイアウォール フィルターの適用

適用ポイント

ミラーリングの範囲

注記

構成の詳細

Ingress顧客向け論理インターフェイス

サービス プロバイダの顧客のネットワーク内から発信され、最初に CE デバイスに送信され、PE デバイスの隣で送信されるパケット。

VPLSルーティングインスタンス用に、CEデバイスとPEデバイス間に集合型イーサネットインターフェイスを設定することもできます。トラフィックは、集約されたインターフェイス内のすべてのリンクでロードバランシングされます。

集合型イーサネットインターフェイスで受信したトラフィックは、宛先MAC(DMAC)アドレスのルックアップに基づいて、異なるインターフェイスを介して転送されます。

  • ローカル サイト宛てのパケットは、負荷分散された子インターフェイスから送信されます。

  • リモートサイト宛てのパケットはカプセル化され、ラベルスイッチパス(LSP)を介して転送されます。

レイヤー 2 ポート ミラーリングの論理インターフェイスへの適用をご覧ください。

VPLSルーティングインスタンスの詳細については、 VPLSルーティングインスタンスの設定および ブリッジ ドメイン とVPLSルーティングインスタンスのVLAN識別子の設定を参照してください。

エグレス顧客向け論理インターフェイス

PE デバイスから別の PE デバイスに転送されているユニキャスト パケット。

NOTE:ポートミラーリング フィルターを 論理インターフェイスの出力に適用すると、ユニキャスト パケットのみがミラーリングされます。マルチキャスト、不明なユニキャスト、ブロードキャストパケットをミラーリングするには、VLANまたはVPLSルーティングインスタンスのフラッドテーブルへの入力にフィルターを適用します。

レイヤー 2 ポート ミラーリングの論理インターフェイスへの適用をご覧ください。

VLAN 転送テーブルまたはフラッディング テーブルへの入力

CEデバイスからVLANに送信されたトラフィックの転送またはフラッディングトラフィック。

転送およびフラッディング トラフィックは、通常、ブロードキャスト パケット、マルチキャスト パケット、宛先 MAC アドレスが不明なユニキャスト パケット、または DMAC ルーティング テーブル内の MAC エントリーがあるパケットで構成されます。

レイヤー2ポートミラーリングをトラフィック転送またはブリッジドメインへのフラッディングに適用するをご覧ください。VPLS のフラッディング動作については、 ルーティングデバイス用 Junos OS VPN ライブラリを参照してください。

VPLS ルーティング インスタンス転送テーブルまたはフラッディング テーブルへの入力

CEデバイスからVPLSルーティングインスタンスに送信されたトラフィックの転送またはフラッディングトラフィック。

レイヤー 2 ポート ミラーリングのトラフィック転送または VPLS ルーティング インスタンスへのフラッディングの適用をご覧ください。VPLS のフラッディング動作については、 ルーティングデバイス用 Junos OS VPN ライブラリを参照してください。

PEルーターまたはPEスイッチ集合型イーサネットインターフェイスのレイヤー2ポートミラーリング

集合型イーサネットインターフェイスは、同じ速度で全二重リンク接続モードで動作する一連の物理インターフェイスで構成される仮想集約リンクです。VPLSルーティングインスタンス用に、CEデバイスとPEデバイス間に集合型イーサネットインターフェイスを設定できます。トラフィックは、集約されたインターフェイス内のすべてのリンクでロードバランシングされます。集約されたインターフェイス内の 1 つ以上のリンクに障害が発生した場合、トラフィックは残りのリンクに切り替わります。

レイヤー2ポートミラーリング ファイアウォールフィルター を集合型イーサネットインターフェイスに適用して、親インターフェイスで ポートミラーリング を設定できます。ただし、子インターフェイスが異なるレイヤー2ポートミラーリングインスタンスにバインドされている場合、子インターフェイスで受信したパケットは、それぞれのポートミラーリングインスタンスで指定された宛先にミラーリングされます。したがって、複数の子インターフェイスは、複数の宛先にパケットをミラーリングできます。

例えば、親集合型イーサネットインターフェイスインスタンス ae0 に2つの子インターフェイスがあるとします。

  • xe-2/0/0

  • xe-3/1/2

ae0上のこれらの子インターフェイスが、2つの異なるレイヤー2ポートミラーリングインスタンスにバインドされているとします。

  • pm_instance_A- 子インターフェイス xe-2/0/0にバインドされた、レイヤー 2 ポートミラーリングの名前付きインスタンス。

  • pm_instance_B- 子インターフェイス xe-3/1/2にバインドされた、レイヤー 2 ポートミラーリングの名前付きインスタンス。

ここで、ae0.0(集合型イーサネットインターフェイスインスタンス0上の論理ユニット0)で送信されるレイヤー2トラフィックに、レイヤー2ポートミラーリングファイアウォールフィルターを適用するとします。これにより、ae0.0 でポートミラーリングが有効になり、レイヤー 2 ポートミラーリングプロパティが指定されている子インターフェイスで受信したトラフィックの処理に次のような影響があります。

  • xe-2/0/0で受信したパケットは、ポートミラーリングインスタンスpm_instance_Aで設定された出力インターフェイスにミラーリングされます。

  • xe-3/1/2.0で受信したパケットは、ポートミラーリングインスタンスpm_instance_Bで設定された出力インターフェイスにミラーリングされます。

pm_instance_A と pm_instance_B では、異なるパケット選択プロパティやミラーリング宛先プロパティを指定できるため、xe-2/0/0 と xe-3/1/2.0 で受信したパケットは、異なるパケットを異なる宛先にミラーリングできます。

レイヤー 2 ポート ミラーリングの論理インターフェイスへの適用

レイヤー2ポートミラーリングファイアウォールフィルターは、集合型イーサネット論理インターフェイスを含む論理インターフェイスの入力または出力に適用できます。フィルター操作で指定されたアドレス タイプ ファミリーのパケットのみがミラーリングされます。

開始する前に、以下のタスクを実行します。

  • 論理インターフェイスへの入力または論理インターフェイスへの出力に適用するレイヤー 2 ポートミラーリング ファイアウォール フィルターを定義します。詳細については、 レイヤー2ポートミラーリングファイアウォールフィルターの定義を参照してください。

    注:

    この構成タスクでは、2 つのレイヤー 2 ポートミラーリング ファイアウォール フィルターを示します。論理インターフェイスのイングレストラフィックに適用されるフィルターと、論理インターフェイスのエグレストラフィックに適用されるフィルターがあります。

レイヤー 2 ポートミラーリング ファイアウォール フィルターを入力または出力論理インターフェイスに適用するには:

  1. 論理インターフェイスの基礎となる物理インターフェイスを設定します。

    1. 基盤となる物理インターフェイスの設定を有効にします。

      注:

      ポートミラーリングファイアウォールフィルターは、集合型イーサネット論理インターフェイスにも適用できます。


    2. VPLSに設定されたギガビットイーサネットインターフェイスおよび集合型イーサネットインターフェイスでは、インターフェイス上で802.1Q VLANタグ付きフレームの受信と送信を有効にします。


    3. IEEE 802.1Q VLANのタグ付けとブリッジングが有効になっており、TPID 0x8100またはユーザー定義のTPIDを伝送するパケットを受け入れる必要があるイーサネットインターフェイスの場合は、論理リンク層カプセル化タイプを設定します。

  2. レイヤー 2 ポートミラーリング ファイアウォール フィルターを適用する論理インターフェイスを構成します。

    1. 論理ユニット番号を指定します。


    2. ギガビットイーサネットまたは集合型イーサネットインターフェイスの場合は、802.1Q VLANタグIDを論理インターフェイスにバインドします。

  3. ブリッジング ドメイン、レイヤー 2 スイッチング クロスコネクト、または仮想プライベート LAN サービス(VPLS)の一部であるレイヤー 2 パケットに適用する入力または出力フィルターを指定できるようにします。

    • インターフェイスでパケットを受信したときにフィルターを評価する場合:

    • インターフェイスでパケットが送信されるときにフィルターを評価する場合:

    family オプションの値は、ethernet-switching、ccc、または vpls にすることができます。

    注:

    ポートミラーリング ファイアウォール フィルターが論理インターフェイスの入力と出力の両方に適用される場合、各パケットの 2 つのコピーがミラーリングされます。ルーターまたはスイッチが同じ宛先に重複したパケットを転送するのを防ぐには、オプションの mirror-once ステートメントを [edit forwarding-options] 階層レベルに含めます。

  4. 名前付きレイヤー 2 ポート ミラーリング ファイアウォール フィルターを論理インターフェイスに適用するための最小設定を確認します。

アグリゲートイーサネット上のデモックス論理インターフェイスを使用したファミリーCCCトラフィックへのレイヤー2ポートミラーリングの適用

In port-mirroring configurations for Layer 2 families, you can use demultiplexing (demux) logical interfaces over aggregated Ethernet interfaces to substantially reduce the number of logical interfaces that are consumed by member physical interfaces under the AE bundle.

このトピックでは、AEバンドル内のメンバー物理インターフェイスの使用を節約するために、demux論理インターフェイスを設定するのに役立つガイドラインと手順について説明します。

ガイドライン

集合型イーサネットインターフェイス上でのデモックス論理インターフェイスの設定という、この用途に固有の構成要素について説明します。

  • ファミリを の ccc として設定します。

    • ポートミラーリング設定 edit forwarding-options port mirroring family

    • のファイアウォールフィルター設定 edit firewall family

    • での demux インターフェイス設定 edit interfaces demux0 unit 0 family

  • ファイアウォールフィルターとポートミラーリングのファミリーの設定が、(1)同じか、(2)同じ階層にあることを確認します。

  • グローバルポートミラーリングとポートミラーリングインスタンスの ae インターフェイスを介してデモックスインターフェイスを設定できます。

  • ファイアウォールフィルターの場合、ファミリーとして ccc を使用することに加えて:

    • フィルターのアクションとして port-mirror を使用します。

    • demuxインターフェイスにフィルターを適用します。

  • 次のように、underlying-interface ステートメントを使用して、ae インターフェイスを demux 論理インターフェイスの基盤となるインターフェイスとして設定します。

設定サンプル

以下はスパースな構成です。ここでは、前のガイドラインがサンプル構成でどのように機能するかを示します。

レイヤー2ポートミラーリングをトラフィック転送またはブリッジドメインへのフラッディングに適用する

レイヤー 2 ポートミラーリング ファイアウォール フィルターは、ブリッジ ドメインに転送またはフラッディングされるトラフィックに適用できます。指定されたファミリー タイプのパケットで、そのブリッジ ドメインに転送またはフラッディングされたパケットのみがミラーリングされます。

開始する前に、以下のタスクを実行します。

  • レイヤー 2 ポートミラーリング ファイアウォール フィルターを定義して、ブリッジ ドメインに転送されるトラフィックまたはブリッジ ドメインにフラッディングされるトラフィックに適用します。詳細については、 レイヤー2ポートミラーリングファイアウォールフィルターの定義を参照してください。

    注:

    この構成タスクでは、2 つの Layer_2 ポートミラーリング ファイアウォール フィルターを示します。1 つのフィルターはブリッジドメイン転送テーブルのイングレストラフィックに適用され、もう 1 つのフィルターはブリッジドメインフラッディングテーブルのイングレストラフィックに適用されます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターをブリッジ ドメインの転送テーブルまたはフラッディング テーブルに適用するには:

  1. 転送またはフラッディングされたトラフィックに対してレイヤー 2 ポートミラーリング ファイアウォール フィルターを適用するブリッジ ドメイン bridge-domain-name の設定を有効にします。
  2. ブリッジドメインを設定します。

    詳細な設定情報については、 ブリッジドメインの設定 および ブリッジドメイン とVPLSルーティングインスタンスのVLAN識別子の設定を参照してください。

  3. ブリッジドメインでトラフィック転送の設定を有効にします。
  4. レイヤー 2 ポートミラーリング ファイアウォール フィルターをブリッジ ドメイン転送テーブルまたはフラッディング テーブルに適用します。

    • ブリッジ ドメインに転送されるパケットをミラーリングするには:

    • フラッディングされるパケットをブリッジドメインにミラーリングするには:

  5. レイヤー 2 ポートミラーリング ファイアウォール フィルターをブリッジ ドメインの転送テーブルまたはフラッディング テーブルに適用するための最小設定を確認します。

    1. ブリッジ ドメインが設定されている階層レベルに移動します。

      • [edit]

      • [edit routing-instances routing-instance-name]


    2. ブリッジ ドメイン設定の表示:

レイヤー 2 ポート ミラーリングをトラフィック転送または VPLS ルーティング インスタンスへのフラッディングに適用する

レイヤー 2 ポートミラーリング ファイアウォール フィルターは、VPLS ルーティング インスタンスに転送またはフラッディングされるトラフィックに適用できます。指定されたファミリー タイプのパケットで、その VPLS ルーティング インスタンスに転送またはフラッディングされたパケットのみがミラーリングされます。

開始する前に、以下のタスクを実行します。

  • VPLSルーティングインスタンスに転送されるトラフィックまたはVLANにフラッディングされるトラフィックに適用するレイヤー2ポートミラーリングファイアウォールフィルターを定義します。詳細については、 レイヤー2ポートミラーリングファイアウォールフィルターの定義を参照してください。

    注:

    この構成タスクでは、2 つの Layer_2 ポートミラーリング ファイアウォール フィルターを示します。1 つのフィルターは VPLS ルーティング インスタンス転送テーブル イングレス トラフィックに適用され、もう 1 つのフィルターは VPLS ルーティング インスタンス フラッディング テーブルのイングレス トラフィックに適用されます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターを VPLS ルーティング インスタンスの転送テーブルまたはフラッディング テーブルに適用するには:

  1. 転送またはフラッディングされたトラフィックに対してレイヤー 2 ポートミラーリング ファイアウォール フィルターを適用する VPLS ルーティング インスタンスの設定を有効にします。

    詳細な設定情報については、 VPLSルーティングインスタンスの設定を参照してください。

  2. VPLSルーティングインスタンスでトラフィック転送の設定を有効にします。
  3. レイヤー 2 ポートミラーリング ファイアウォール フィルターを VPLS ルーティング インスタンス転送テーブルまたはフラッディング テーブルに適用します。

    • VPLS ルーティング インスタンスに転送されるパケットをミラーリングするには:

    • VPLSルーティングインスタンスにフラッディングされるパケットをミラーリングするには:

  4. レイヤー 2 ポートミラーリング ファイアウォール フィルターを VPLS ルーティング インスタンスの転送テーブルまたはフラッディング テーブルに適用するための最小設定を検証します。

レイヤー2ポートミラーリングのトラフィック転送またはVLANへのフラッディングへの適用

レイヤー 2 ポートミラーリング ファイアウォール フィルターは、VLAN に転送またはフラッディングされるトラフィックに適用できます。指定されたファミリー タイプのパケットで、その VLAN に転送またはフラッディングされたパケットのみがミラーリングされます。

開始する前に、以下のタスクを実行します。

  • VLAN に転送されるトラフィックまたは VLAN にフラッディングされるトラフィックに適用するレイヤー 2 ポートミラーリング ファイアウォール フィルターを定義します。詳細については、 レイヤー2ポートミラーリングファイアウォールフィルターの定義を参照してください。

    注:

    この構成タスクでは、2 つの Layer_2 ポートミラーリング ファイアウォール フィルターを示します。1 つのフィルターは VLAN 転送テーブルのイングレス トラフィックに適用され、もう 1 つのフィルターは VLAN フラッディング テーブルのイングレス トラフィックに適用されます。

レイヤー 2 ポートミラーリング ファイアウォール フィルターを VLAN の転送テーブルまたはフラッディング テーブルに適用するには:

  1. 転送またはフラッディングされたトラフィックに対してレイヤー2ポートミラーリングファイアウォールフィルターを適用するVLAN bridge-domain-name の設定を有効にします。
  2. VLAN を設定します。

    詳細な設定情報については、 ブリッジドメインの設定 および ブリッジドメインとVPLSルーティングインスタンスのVLAN識別子の設定を参照してください。

  3. VLAN でのトラフィック転送の設定を有効にします。
  4. レイヤー 2 ポートミラーリング ファイアウォール フィルターを VLAN 転送テーブルまたはフラッディング テーブルに適用します。

    • VLAN に転送されるパケットをミラーリングするには:

    • VLANにフラッディングされるパケットをミラーリングするには:

  5. レイヤー 2 ポートミラーリング ファイアウォール フィルターを VLAN の転送テーブルまたはフラッディング テーブルに適用するための最小設定を確認します。

    1. VLANが設定されている階層レベルに移動します。

      • [edit]

      • [edit routing-instances routing-instance-name]


    2. VLAN設定の表示:

例：論理インターフェイスでのレイヤー2ポートミラーリング

次の手順では、グローバルポートミラーリングインスタンスとポートミラーリングファイアウォールフィルターを使用して、論理インターフェイスへの入力用のレイヤー2ポートミラーリングを設定する例を説明します。

  1. 外部パケットアナライザを含むVLAN example-bd-with-analyzerと、ミラーリングされるレイヤー2トラフィックの送信元と宛先を含むVLAN example-bd-with-trafficを設定します。

    論理インターフェイス ge-2/0/0.0 が、ポートミラーリングされたパケットを受信する外部トラフィックアナライザに関連付けられていると仮定します。論理インターフェイス ge-2/0/6.0 と ge-3/0/1.2 が、それぞれトラフィックの入力ポートと出力ポートになると仮定します。

  2. グローバル インスタンスのレイヤー 2 ポートミラーリングを設定し、ポートミラーリングの宛先を外部アナライザに関連付けられた VLAN インターフェイス(VLAN example-bd-with-analyzer 上の論理インターフェイス ge-2/0/0.0)にします。このポートミラーリング宛先にフィルターを適用できる オプションを必ず有効にしてください。

    [edit forwarding-options port-mirroring]階層レベルの input ステートメントは、10 パケットごとにサンプリングを開始し、選択された最初の 5 つのパケットのそれぞれをミラーリングすることを指定します。

    [edit forwarding-options port-mirroring family ethernet-switching]階層レベルの output ステートメントは、ブリッジング環境におけるレイヤー 2 パケットの出力ミラー インターフェイスを指定します。

    • 外部パケットアナライザに関連付けられた論理インターフェイス ge-2/0/0.0が、ポートミラーリングの宛先として設定されます。

    • オプションの no-filter-check ステートメントを使用すると、この宛先インターフェイスでフィルターを設定できます。

  3. レイヤー 2 ポートミラーリング ファイアウォール フィルターを example-bridge-pm-filter 構成します。

    このファイアウォールフィルターがブリッジング環境のトラフィック用論理インターフェイスの入力または出力に適用されると、レイヤー2ポートミラーリンググローバルインスタンスに設定された入力パケットサンプリングプロパティとミラー宛先プロパティに従って、レイヤー2ポートミラーリングが実行されます。このファイアウォールフィルターは、単一のデフォルトのフィルターアクション acceptで構成されているため、 input プロパティ(rate = 10 および run-length = 5)によって選択されたすべてのパケットがこのフィルターに一致します。

  4. 論理インターフェイスを設定します。

    VLAN example-bd-with-traffic上の論理インターフェイス ge-2/0/6.0で受信したパケットは、ポートミラーリング ファイアウォール フィルターexample-bridge-pm-filterによって評価されます。ファイアウォールフィルターは、ファイアウォールフィルター自体で設定されたフィルターアクションに加えて、グローバルポートミラーリングインスタンスで設定された入力パケットサンプリングプロパティとミラー宛先プロパティに従って、入力トラフィックに作用します。

    • ge-2/0/6.0で受信したすべてのパケットは、論理インターフェイス ge-3/0/1.2の(想定される)通常の宛先に転送されます。

    • 10個の入力パケットごとに、その選択の最初の5個のパケットのコピーが、他のVLAN(example-bd-with-analyzer)の論理インターフェイスge-0/0/0.0にある外部アナライザに転送されます。

    ポートミラーリング ファイアウォール フィルター example-bridge-pm-filter が accept アクションではなく discard アクションを実行するように設定した場合、元のパケットはすべて破棄され、グローバル ポートミラーリング input プロパティを使用して選択されたパケットのコピーが外部アナライザに送信されます。

例：レイヤー2 VPNのレイヤー2ポートミラーリング

次の例は完全な設定ではありませんが、 family cccを使用してL2VPNのポートミラーリングを設定するために必要なすべての手順を示しています。

  1. 外部パケットアナライザを含むVLAN port-mirror-bdを設定します。

  2. 論理インターフェイス ge-2/0/1.0 と論理インターフェイス ge-2/0/1.1を接続するためのレイヤー2 VPN CCCを設定します。

  3. グローバル インスタンスのレイヤー 2 ポート ミラーリングを設定します。ポートミラーリングの宛先は、外部アナライザに関連付けられた VLAN インターフェイス(VLAN example-bd-with-analyzerge-2/2/9.0論理インターフェイス)とします。

  4. family ccc用のレイヤー 2 ポートミラーリング ファイアウォール フィルターpm_filter_cccを定義します。

  5. ポートミラーインスタンスをシャーシに適用します。

  6. VLAN のインターフェイスge-2/2/9を設定し、pm_filter_ccc ファイアウォール フィルターを使用してポート ミラーリングのインターフェイス ge-2/0/1を設定します。

変更履歴

サポートされる機能は、使用しているプラットフォームとリリースによって決まります。 特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer をご利用ください。

リリース
説明
13.3R6
Junos OS リリース 13.3R6 以降、ポート ミラーリングを行う family any をサポートしているのは MPC インターフェイスのみです。