ユニキャスト RPF(ルータ)について

厳密モードでは、ユニキャスト RPF は、受信パケットにルーティングテーブルのプレフィックスと一致する送信元アドレスがあるかどうか、およびインターフェイスがこの送信元アドレス プレフィックスを持つパケットの受信を期待しているかどうかをチェックします。

アクティブパスモードが設定されている場合、アクティブルートのみの発信インターフェイスリストが作成されます。これらのインターフェイスに着信するパケットは、有効と見なされ、処理されます。

受信パケットがユニキャスト RPF チェックに失敗した場合、そのパケットはインターフェイスで受け入れられません。パケットがインターフェイスで受け入れられない場合、ユニキャスト RPF はパケットをカウントし、オプションの失敗フィルターに送信します。失敗フィルターが設定されていない場合、デフォルトのアクションは、自動的にパケットを破棄することです。

オプションの失敗フィルターを使用すると、ユニキャスト RPF チェックに失敗したパケットにフィルターを適用できます。失敗フィルターを定義して、受け入れ、拒否、ログ記録、サンプリング、ポリシングなど、あらゆるフィルター操作を実行できます。

インターフェイスでユニキャスト RPF が有効になっている場合、ブートストラップ プロトコル(BOOTP)パケットと動的ホスト構成プロトコル(DHCP)パケットはインターフェイスで受け入れられません。インターフェイスが BOOTP パケットと DHCP パケットを受け取れるようにするには、送信元アドレスが 0.0.0.0 で宛先アドレスが 255.255.255.255. のすべてのパケットを受け入れるフェイル フィルターを適用する必要があります 設定例については、 ユニキャスト RPF の設定を参照してください。

失敗フィルターの定義の詳細については 、ルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドを参照してください。

ユニキャストRPFを設定するには、 rpf-check ステートメントを含めます。

rpf-check <fail-filter filter-name>;

以下の階層レベルでこのステートメントを使用することができます。

• [edit interfaces interface-name unit logical-unit-number family (inet | inet6)]

• [edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family (inet | inet6)]

ユニキャスト RPF を使用すると、トラフィック フィルターとともに実装すると、いくつかの結果が生じる可能性があります。

• RPF フェール フィルターは、入力フィルターの後、出力フィルターの前に評価されます。

• 入力フィルターによってドロップされたパケットのフィルター カウンターを設定し、ドロップされたパケットの総数を知りたい場合は、RPF チェックによってドロップされたパケットのフィルター カウンターも設定する必要があります。

• RPF チェックに失敗し、RPF 失敗フィルターで受け入れられたパケットをカウントするには、フィルター カウンターを設定する必要があります。

• 入力フィルターが inet.0 または inet.6.0 ルーティング テーブル以外の場所にパケットを転送する場合、ユニキャスト RPF チェックは実行されません。

• 入力フィルターが、入力インターフェイスが設定されているルーティング インスタンス以外の場所にパケットを転送した場合、ユニキャスト RPF チェックは実行されません。

ユニキャストRPFストリクトモードを設定し、インターフェイスがBOOTPパケットとDHCPパケットを受け入れることを可能にするフェイルフィルターを適用します。このフィルターは、送信元アドレスが 0.0.0.0 で宛先アドレスが 255.255.255.255 であるすべてのパケットを受け入れます。

ユニキャスト RPF を厳格モードで設定するには:

デフォルトでは、ユニキャスト RPF は厳密モードを使用します。ユニキャスト RPF ルーズ モードは、ユニキャスト RPF ストリクト モードと似ており、設定制限も同じです。ルーズモードでの唯一のチェックは、パケットがルーティングテーブルに対応するプレフィックスを持つ送信元アドレスを持っているかどうかです。ルーズモードでは、インターフェイスが特定の送信元アドレスプレフィックスを持つパケットの受信を想定しているかどうかは確認されません。対応するプレフィックスが見つからない場合、ユニキャスト RPF ルーズ モードはパケットを受け入れません。厳密モードと同様に、ルーズモードでは障害パケットがカウントされ、必要に応じて障害フィルターに転送されます。このフィルターは、パケットの受け入れ、拒否、ログ、サンプリング、またはポリシングを行います。

フィージブルパスモードが設定されている場合、アクティブおよび非アクティブなルートの発信インターフェイスリストが作成されます。これらのインターフェイスに着信するパケットは、有効と見なされ、処理されます。

ユニキャスト RPF ルーズ モードを設定するには、 modeを含めます。

ユニキャスト RPF ルーズ モードには、送信元アドレスが破棄インターフェイスを指しているパケットを破棄する機能があります。ユニキャスト RPF ルーズ モードを、リモート トリガー ヌル ルート フィルタリングとともに使用すると、既知の攻撃元からのパケットを効率的に破棄できます。エッジルーターのBGPポリシーは、信頼できない送信元アドレスを持つパケットのネクストホップが破棄ルートに設定されることを保証します。信頼できない送信元アドレスを持つパケットがルーターに到着すると、ユニキャスト RPF は送信元アドレスのルート ルックアップを実行します。送信元アドレスのルートが破棄ネクストホップを指しているため、パケットは破棄され、カウンターがインクリメントされます。この機能は、IPv4(inet)と IPv6(inet6)の両方のアドレスファミリーでサポートされています。

パケットを破棄する機能を持つユニキャストRPFルーズモードを設定するには、[edit forwarding-options]階層レベルでrpf-loose-mode-discard family (inet | inet6)ステートメントを含めます。

rpf-loose-mode-discard {
    family {
        inet;
    }
}

この例では、デバイスの初期化以上の特別な設定は必要ありません。

ユニキャストRPFルーズモードを設定し、インターフェイスがBOOTPパケットとDHCPパケットを受け入れることを可能にするフェイルフィルターを適用します。フィルターは、送信元アドレスが 0.0.0.0 で宛先アドレスが 255.255.255.255 のすべてのパケットを受け入れます。

パケットを破棄する機能を持つユニキャスト RPF ルーズ モードを設定するには:

VPN インターフェイスでユニキャスト RPF を設定するには、インターフェイスでユニキャスト RPF を有効にし、[edit routing-instances routing-instance-name] 階層レベルで interface ステートメントを含めます。

ユニキャスト RPF は、ルーティング インスタンスで指定したインターフェイスでのみ設定できます。これは、次のことを意味します。

• レイヤー 3 VPN では、ユニキャスト RPF は CE ルーター インターフェイスでサポートされます。

• ユニキャスト RPF は、コアに面したインターフェイスではサポートされていません。

• 仮想ルーター ルーティング インスタンスでは、ルーティング インスタンスで指定したすべてのインターフェイスでユニキャスト RPF がサポートされます。

• 入力フィルターが、入力インターフェイスが設定されているルーティング インスタンス以外の場所にパケットを転送した場合、ユニキャスト RPF チェックは実行されません。

レイヤー 3 VPN インターフェイスでユニキャスト RPF を設定します。

[edit interfaces] 
so-0/0/0 {
    unit 0 {
        family inet {
            rpf-check;
        }
    }
}
[edit routing-instance]
VPN-A {
    interface so-0/0/0.0;
}

ユニキャストRPFストリクトモードを設定し、インターフェイスがBOOTPパケットとDHCPパケットを受け入れることを可能にするフェイルフィルターを適用します。このフィルターは、送信元アドレスが 0.0.0.0 で宛先アドレスが 255.255.255.255 であるすべてのパケットを受け入れます。

[edit firewall]
filter rpf-special-case-dhcp-bootp {
    term allow-dhcp-bootp {
        from {
            source-address {
                0.0.0.0/32;
            }
            address {
                255.255.255.255/32;
            }
        }
        then {
            count rpf-dhcp-bootp-traffic;
            accept;
        }
    }
    term default {
        then {
            log;
            reject;
        }
    }
}
[edit] 
interfaces {
    so-0/0/0 {
        unit 0 {
            family inet {
                rpf-check fail-filter rpf-special-case-dhcp-bootp;
            }
        }
    }
}