Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Ejemplo: segmentación micro y macro mediante políticas basadas en grupos en una VXLAN

RESUMEN VXLAN-GBP

Visión general

Puede lograr una segmentación micro y macro, por ejemplo, para proteger datos y activos, en una arquitectura VXLAN mediante la directiva basada en grupos (GBP). GBP aprovecha la tecnología VXLAN subyacente para proporcionar un control de acceso de puntos de conexión independiente de la ubicación. GBP le permite implementar políticas de seguridad coherentes en todos los dominios de la red empresarial. Puede simplificar la configuración de red mediante GBP, evitando la necesidad de configurar un gran número de filtros de firewall en todos los conmutadores. GBP bloquea las amenazas laterales garantizando la aplicación coherente de las políticas de grupo de seguridad en toda la red, independientemente de la ubicación de los puntos de conexión o usuarios. VXLAN-GBP funciona aprovechando los campos reservados en el encabezado VXLAN para usarlos como una etiqueta de grupo escalable (SGT). Puede utilizar los SGT como condiciones de coincidencia en las reglas de filtro de firewall. Usar un SGT es más robusto que usar direcciones MAC o de puerto para lograr resultados similares. Los SGT se pueden asignar estáticamente (configurando el conmutador por puerto o por MAC), o pueden configurarse en el servidor RADIUS e insertarse en el conmutador a través de 802.1X cuando el usuario está autenticado.

La segmentación habilitada por VXLAN-GBP es especialmente útil en entornos VXLAN de campus, ya que le ofrece una forma práctica de crear políticas de acceso a la red que son independientes de la topología de red subyacente. Simplifica las fases de diseño e implementación del desarrollo de políticas de seguridad de aplicaciones de red y de dispositivos de punto final.

Puede encontrar información más detallada sobre el estándar VXLAN-GBP en IEEE RFC, I-D.draft-smith-vxlan-group-policy. Para los fines de este ejemplo, basta con decir que VXLAN-GBP aprovecha los campos reservados en el encabezado VXLAN como etiqueta de grupo escalable, como se muestra en la ilustración.

Figura 1: Campos VXLAN Header Fields de encabezado de VXLAN

La Tabla 1 muestra la compatibilidad de VXLAN-GBP con los distintos conmutadores y versiones de Junos OS.

Tabla 1: Conmutadores compatibles con VXLAN-GBP
Conmutadores compatibles con VXLAN-GBP de la versión de Junos

A partir de Junos OS versión 21.1R1

EX4400-24P, EX4400-24T, EX4400-48F, EX4400-48P y EX4400-48T

A partir de Junos OS versión 21.2R1

EX4400-24MP y EX4400-48MP

A partir de Junos OS versión 21.4R1

  • QFX5120-32C y QFX5120-48Y

  • EX4650

A partir de Junos OS versión 22.4R1
  • Serie EX4100

A partir de Junos OS versión 23.2R1
  • Serie EX9204 (con EX9200-15C)

  • Serie EX9208 (con EX9200-15C)

  • Serie EX9214 (con EX9200-15C)

En las tablas 2 a 4 se resumen las diferencias de implementación de VXLAN y GBP entre las versiones de Junos OS.

Tabla 2: Diferencias entre las versiones de Junos OS - Etiquetado en GBP
GBP en Junos OS versión 21.1R1 y posteriores GBP en Junos OS versión 22.4R1 y posteriores
set firewall family ethernet-switching filter filter_name term term_name from match_conditions
set firewall family ethernet-switching filter filter_name term term_name then gbp-src-tag/gbp-dst-tag tag
set firewall family any filter filter_name micro-segmentation
set firewall family any filter filter_name term term_name from match_conditions
set firewall family any filter filter_name term term_name then gbp-tag tag
Nota:
  • El apellido «any» sustituyó al apellido «ethernet-switching».

  • El término "microsegmentación" se agregó para indicar un filtro de etiquetado GBP.

  • El término 'gbp-tag' sustituyó a los términos 'gbp-src-tag' y 'gbp-dst-tag' .

Tabla 3: Diferencias entre las versiones de Junos OS - Condiciones de coincidencia en GBP
GBP en Junos OS versión 21.1R1 y posteriores GBP en Junos OS versión 22.4R1 y posteriores

interface <interface_name>

source-mac-address <mac_address>

  • ip-version ipv4 address <ip address> | prefix-list <prefix-list>

  • ip-version ipv6 address <ip address> | prefix-list <prefix-list>

  • mac-address <mac address>

  • vlan-id <vlan id> interface <interface_name>

  • vlan-id <vlan id>

  • interface <interface_name>

Tabla 4: Diferencias entre las versiones de Junos OS: aplicación de políticas
GBP en Junos OS versión 21.1R1 y posteriores GBP en Junos OS versión 22.4R1 y posteriores
set firewall family ethernet-switching filter filter_name term term_name from gbp-dst-tag gbp_tag 

set firewall family ethernet-switching filter filter_name term term_name from gbp-src-tag gbp_tag 

set firewall family ethernet-switching filter  filter_name term term_name then discard
Nota:

La aplicación de directivas solo se admite en el extremo de salida. Declaración de CLI para habilitar GBP:

set chassis forwarding-options vxlan-gbp-profile
set firewall family any filter filter_name term term_name from gbp-dst-tag gbp_tag 

set firewall family any filter filter_name term term_name from gbp-src-tag gbp_tag 

set firewall family any filter filter_name term term_name then discard
Nota:

El apellido «any» sustituyó al apellido «ethernet-switching».

Nota:

La aplicación de políticas siempre se habilita en la salida si GBP está habilitada, pero es opcional en la entrada.

  • Declaración de CLI para habilitar GBP:

    set chassis forwarding-options vxlan-gbp-profile
  • Declaración de CLI para realizar el cumplimiento de políticas en el extremo de entrada:

    set fowarding-options evpn-vxlan gbp ingress-enforcement 
 

Junos OS versión 23.2R1 y posteriores:

  • Se admiten coincidencias L4 IPv4 e IPv6 adicionales para la aplicación de directivas.

  • Soporte para vxlan-gbp-l2-profile y vxlan-gbp-l3-profile

 

Junos OS versión 24.2R1 y posteriores:

  • Capacidad para agregar una acción de descarte explícita para paquetes que no coinciden con ninguna condición.

  • Capacidad para aplicar filtros GBP basados en MAC para el tráfico enrutado y filtros GBP basados en IP para el tráfico conmutado.

  • Compatibilidad con la propagación de etiquetas GBP para rutas de prefijo IP en anuncios de EVPN tipo 5

GBP en Junos OS versión 22.4R1 y posteriores

En la tabla 5 se muestran las condiciones de coincidencia en GBP admitidas a partir de Junos OS versión 22.4R1:

Tabla 5: Condiciones de coincidencia (Junos OS versión 22.4R1 y posteriores)
Descripción de las condiciones del partido

ip-version ipv4 address <ip address> | prefix-list <prefix-list>

ip-version ipv6 address <ip address> | prefix-list <prefix-list>

Haga coincidir las direcciones/listas de prefijos de origen o destino IPv4/IPv6.

mac-address <mac address>

Haga coincidir la dirección MAC de origen o destino.

interface <interface_name>

Hacer coincidir el nombre de la interfaz.
Nota:

Junos OS versión 23.4R1 y posteriores admiten varias interface <interface_name> condiciones de coincidencia dentro de un único término de filtro de firewall. Por ejemplo:

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from interface ge-0/0/1
set firewall family any filter test term t1 from interface ge-0/0/2
Nota:

Junos OS versión 23.4R1 y posteriores también le permiten configurar esta condición de coincidencia junto con la condición de vlan-id coincidencia (donde se admite la condición de vlan-id coincidencia) en un único término de filtro de firewall. Por ejemplo:

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from vlan-id 2000

vlan-id <vlan id> | [<vlan_list>] | <vlan_range>

Haga coincidir los ID de VLAN.
Nota:

No compatible con los conmutadores EX4100

Nota:

Junos OS versión 23.4R1 y posteriores admiten las <vlan_list> opciones y <vlan_range> . Por ejemplo:

set firewall family any filter test term t1 from vlan-id 2000-2100
set firewall family any filter test term t1 from vlan-id [3000 3010 3020]
Nota:

Junos OS versión 23.4R1 y posteriores también le permiten configurar esta condición de coincidencia junto con la condición de interface coincidencia en un único término de filtro de firewall.

Junos OS versión 23.2R1 y posteriores admiten vxlan-gbp-l2-profile y vxlan-gbp-l3-profile. Véase el cuadro 6.

Tabla 6: Perfiles UFT VXLAN-GBP admitidos
Perfiles Conmutadores compatibles
vxlan-gbp-profile
  • Serie EX4100

  • Serie EX4400

  • Serie EX4650

  • Conmutadores QFX5120-32C y QFX5120-48Y

vxlan-gbp-l2-profile y vxlan-gbp-l3-profile
  • Serie EX4400

  • Serie EX4650

  • Conmutadores QFX5120-32C y QFX5120-48Y

Los filtros de políticas de GBP utilizan etiquetas de origen o de destino en GBP como coincidencias para permitir o descartar tráfico. A partir de Junos OS versión 23.2R1, los conmutadores EX4100, EX4400, EX4650, QFX5120-32C y QFX5120-48Y admiten nuevas coincidencias L4 del filtro de políticas GBP (IPv4 e IPv6). Estas coincidencias le ayudan a mantener reglas específicas que ayudan a bloquear solo el tráfico de aplicaciones, consulte la tabla 7.

Tabla 7: Compatibilidad con coincidencias de políticas L4 adicionales (Junos OS versión 23.2R1 y posteriores)
Coincidencias de cumplimiento de políticas para MAC e IP Descripción de paquetes etiquetados con GBP
ip-version ipv4 destination-port dst_port

Haga coincidir el puerto de destino TCP/UDP.

ip-version ipv4 source-port src_port

Haga coincidir el puerto de origen TCP/UDP.

ip-version ipv4 ip-protocol ip-protocol

Hacer coincidir el tipo de protocolo IP.

ip-version ipv4 is-fragment

Coincidir si el paquete es un fragmento.

ip-version ipv4 fragment-flags flags

Hacer coincidir los indicadores de fragmentos (en formatos simbólicos o hexadecimales).

ip-version ipv4 ttl value

Hacer coincidir el valor TTL de MPLS/IP.

ip-version ipv4 tcp-flags flags

Hacer coincidir los indicadores TCP (en formatos simbólicos o hexadecimales) - (solo entrada).

ip-version ipv4 tcp-initial

Coincidir con el paquete inicial de una conexión TCP - (sólo entrada).

ip-version ipv4 tcp-established

Hacer coincidir el paquete de una conexión TCP establecida.

ip-version ipv6 destination-port dst_port

Haga coincidir el puerto de destino TCP/UDP.

ip-version ipv6 source-port src_port Haga coincidir el puerto de origen TCP/UDP.
ip-version ipv6 next-header protocol Haga coincidir el siguiente tipo de protocolo de encabezado.
ip-version ipv6 tcp-flags flags Hacer coincidir los indicadores TCP (en formatos simbólicos o hexadecimales)Solo entrada.
ip-version ipv6 tcp-initial Hacer coincidir el paquete inicial de una conexión TCP.
ip-version ipv6 tcp-established Hacer coincidir el paquete de una conexión TCP establecida.
Nota:

Estas coincidencias L4 no se admiten en los conmutadores EX9204, EX9208 y EX9214.

Cuando no se cumplen condiciones, la acción predeterminada es aceptar el paquete. A partir de Junos OS versión 24.2R1, puede especificar una acción de descarte predeterminada explícita para los paquetes que no coincidan con ninguna condición. Véase el cuadro 8.

Esta función se admite en los conmutadores específicos de las series EX4100, EX4400, EX4650 y QFX5120 que se muestran en la Tabla 1.

Tabla 8: Acción de descarte predeterminada explícita (versión 24.2R1 y posteriores de Junos OS)

Descartar predeterminado explícito

Descripción

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then accept
set firewall family any filter f1 term t2 then discard

Puede crear un término de filtro (por ejemplo, t2) que contenga una acción de descarte pero no condiciones de coincidencia. Esto es útil como un cajón de sastre para paquetes que no coinciden con ninguna de las condiciones de los términos anteriores de la secuencia.

Esta acción de descarte predeterminada explícita no se aplica a los paquetes de difusión, multidifusión, originados por host o unidifusión desconocidos. Estos tipos de tráfico son siempre aceptados.

Si no configura la acción de descarte explícita, la acción predeterminada es aceptar el paquete como ocurre en versiones anteriores.

Asignación de SGT para asignación de etiqueta de 802,1X GBP

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en los conmutadores de acceso habilitados para GBP para recibir los SGT cuando un punto de conexión coincidente se conecta al conmutador. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Nota:
  • Si configura la autenticación 802.1X con modo suplicante único seguro o múltiple, el etiquetado GBP se basa en MAC. Si configura la autenticación 802.1X con modo suplicante único, el etiquetado GBP se basa en puertos.

  • Las coincidencias de dirección IP, ID VLAN e ID de VLAN-ID+ interfaz no son compatibles con 802.1X.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión integrada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos OS versión 23.4R1, además del existente Juniper-Switching-Filter, se admite una nueva llamada VSA en Juniper-Group-Based-Policy-Id los conmutadores EX4400, EX4100, EX4650 y QFX5120.

Nota:

No debe usar el VSA Juniper-Group-Based-Policy-Id y el VSA Juniper-Switching-Filter juntos para el mismo cliente.

El cliente no se autenticará si ambos VSA existen y contienen valores de etiqueta GBP diferentes.

Puede asignar etiquetas GBP dinámicamente desde RADIUS a través de cualquiera de estos VSA:

  • Juniper-Switching-Filter lleva el filtro GBP y otras condiciones de coincidencia y acción del filtro.

  • El Juniper-Group-Based-Policy-Id solo lleva la etiqueta GBP.

El Juniper-Group-Based-Policy-Id filtro de etiquetas de VSA para MAC y GBP basado en puertos tiene este aspecto:

A partir de Junos OS versión 23.4R1 y posteriores, la compatibilidad con funciones GBP también se agrega a las siguientes instrucciones de configuración en los conmutadores EX4400, EX4100, EX4650 y QFX5120:

Tabla 9: Instrucciones de configuración con etiqueta GBP

CLI

Descripción

set protocols dot1x authenticator interface [interface-names] server-fail gbp-tag gbp-tag

Especifique la etiqueta GBP que se aplicará en la interfaz cuando no se pueda acceder al servidor. Si configura el gbp-tag gbp-tag y el cliente se autentica en vlan-name server-fail o server-fail permit, el filtro configurado gbp-tag gbp-tag también se instala para el cliente.

Solo puede configurar esta opción cuando la server-fail vlan-name opción o server-fail permit está configurada.

set protocols dot1x authenticator interface [interface-names] server-reject-vlan gbp-tag gbp-tag

Especifique la etiqueta GBP que se aplicará cuando RADIUS rechace la autenticación de cliente. Si configura el gbp-tag gbp-tag y el cliente se autentica en server-reject vlan, el filtro configurado gbp-tag también se instala para el cliente.

Solo puede configurarlo server-reject gbp-tag gbp-tag cuando se configura la server-reject-vlan vlan-id opción.

set protocols dot1x authenticator interface [interface-names] guest-gbp-tag gbp-tag

Especifique la etiqueta GBP que se aplicará cuando una interfaz se mueva a una VLAN invitada. Si el guest-gbp-tag está configurado y el cliente se autentica en VLAN invitada, el filtro configurado guest-gbp-tag también se instala para el cliente.

Solo puede configurarlo guest-gbp-tag cuando se configura la guest-vlan vlan-id opción.

Para obtener más información acerca de las VLAN invitadas, consulte Autenticación 802.1X.

Puede usar el show dot1x interface detail comando o para show ethernet-switching table comprobar qué etiqueta GBP se recibe de RADIUS.

Aquí hay un ejemplo de salida del show ethernet-switching table comando:

Los filtros basados en GBP se utilizan como clasificadores para el etiquetado de GBP. Estos filtros clasifican las transmisiones entrantes y asignan una etiqueta GBP.

Puede ver cómo funciona esto en los siguientes ejemplos de código. Las políticas de firewall en GBP se enmarcan en función de las etiquetas GBP de origen y destino.

Una etiqueta de origen es el campo de 16 bits del encabezado VXLAN del paquete entrante y se deriva de la búsqueda de la dirección de origen (IP/MAC/puerto, etc.), mientras que la etiqueta de destino se deriva en el túnel de salida o en el extremo de entrada desde el destino (IP/MAC/puerto, etc.), según la asignación de etiqueta configurada.

La etiqueta GBP configurada es un valor positivo distinto de cero en el intervalo (1-65535) para las etiquetas GBT especificadas en un VSA (atributo específico del proveedor) de un servidor RADIUS.

Supongamos que tenemos esta configuración (que se muestra a continuación) en los extremos de entrada y salida. Le recomendamos que tenga la misma configuración de asignación de etiquetas en GBP en todo el sistema. A los paquetes de la dirección 00:01:02:03:04:10:10 MAC de origen se les asigna la etiqueta 100, y a los paquetes de la dirección 00:01:02:03:04:20:20 MAC de origen se les asigna 200.

Para los paquetes con una etiqueta GBP de 100 y una dirección MAC de destino de , la etiqueta (gbp-dst-tag) de grupo de 00:01:02:03:04:10:10destino será 100 y coincidirá a término t10-100. Del mismo modo, para los paquetes con etiqueta GBP 100 y una dirección MAC de destino de , la etiqueta de grupo de 00:01:02:03:04:20:20destino será 200 y coincidirá con el término t10-200.

La misma asignación de etiqueta utilizada para asignar la dirección MAC de origen a la etiqueta de origen también se utiliza para asignar la dirección MAC de destino a la etiqueta de destino. Esto también es cierto para las asignaciones basadas en puertos.

En Junos OS versión 23.2R1 y posteriores, los conmutadores EX4100, EX4400, EX4650, QFX5120-32C y QFX5120-48Y admiten coincidencias L4 adicionales para filtros de políticas GBP para filtros GBP para MAC y filtros GBP basados en IP. Véase el cuadro 7. La configuración de los filtros L4 puede reducir la escala de GBP admitida. Estas coincidencias se admiten de forma predeterminada; sin embargo, en los conmutadores serie EX4650, QFX5120-32C y QFX5120-48Y, puede usar el set forwarding-options evpn-vxlan gbp tag-only-policy para permitir solo etiquetas de origen y destino en gbp como coincidencias en la política de gbp.

Veamos otro ejemplo, esta vez usando una etiqueta de origen GBP de 300, y con paquetes desde la dirección 172.16.1.0/24IPv4:

A partir de Junos OS versión 23.4R1, los conmutadores EX4400, EX4650 y QFX5120 admiten múltiples entradas en filtros GBP de tipo VLAN, puerto y puerto+VLAN del mismo tipo en un término mediante las opciones de lista y rango, mientras que los conmutadores EX4100 solo admiten varias entradas en filtros GBP de tipo de puerto.

Vea los ejemplos a continuación:

En este ejemplo, para paquetes con etiqueta GBP 300, coincide con el término t1 en direcciones ID VLAN que van de 10 a 30.

En este ejemplo, para paquetes con etiqueta GBP 300, coincide con el término t1 para una lista de interfaces 101 a 104, donde 101 a 104 son el índice de interfaz interna contigua asignado para las interfaces respectivas.

Nota:

La prioridad del etiquetado GBP es la siguiente, siendo ip-version la prioridad más alta:

  • ip-version ipv4 <ip address> | <prefix-list>

  • ip-version ipv6<ip address> | <prefix-list>

  • mac-address<mac address>

  • interface<interface_name> ID de VLAN <vlan id>

  • vlan-id<vlan id>

  • interface<interface_name>

Tenga en cuenta que, de forma predeterminada, la aplicación de directivas se realiza en el extremo de salida. Si desea aplicar políticas en la hoja de entrada, consulte la sección siguiente.

Puede habilitar VXLAN-GBP seleccionando uno de los tres perfiles que mejor se adapte a sus necesidades de red. Cada perfil UFT está configurado con diferentes valores máximos para cada tipo de dirección. Consulte Descripción de los perfiles de GBP para obtener más información sobre cuándo usar estos perfiles. Consulte vxlan-gbp-profile, vxlan-gbp-l2-profile y vxlan-gbp-l3-profile para ver las escalas admitidas por estos perfiles.

Aplicación de políticas en la entrada y propagación de etiquetas

A partir de Junos versión 22.4R1, puede realizar la aplicación de políticas más cerca de la entrada. El cumplimiento de entrada ahorra ancho de banda de red al descartar paquetes etiquetados en la entrada que de otro modo se descartarían en la salida. Para apoyar la aplicación de políticas en o cerca de la entrada, propagamos las etiquetas basadas en MAC e IP-MAC por toda la red mediante comunidades BGP extendidas dentro de las rutas EVPN Tipo 2 y Tipo 5. Consulte Rutas EVPN tipo 2 y tipo 5 para obtener información sobre estos tipos de rutas.

El anuncio de ruta EVPN se activa por la instalación (o un cambio) de una ruta EVPN, como a través del aprendizaje MAC-IP al recibir un paquete de un nuevo host. En este caso, la ruta IP de origen se instala en la base de datos evpn.0 y se envía un anuncio EVPN de tipo 2 (que incluye la etiqueta GBP si está asignada) a todos los pares de eBGP.

Después de que estos anuncios se propagan a través de la red a los puntos de conexión remotos, los puntos de conexión remotos tienen suficiente información para tomar decisiones de filtro de firewall GBP sobre los paquetes recibidos en la entrada remota. Cuando se reciben paquetes en su entrada, los extremos remotos pueden buscar la ruta de destino y obtener la etiqueta GBP de destino recibida previamente a través del anuncio de EVPN tipo 2. Armados con la etiqueta GBP de destino, los puntos de conexión remotos pueden posteriormente tomar decisiones de aplicación de políticas GBP en sus paquetes de entrada.

Dado que las etiquetas GBP se propagan mediante anuncios de ruta EVPN tipo 2, la propagación de etiquetas se realiza necesariamente por dirección MAC o IP. Sin embargo, esto no tiene relación con la asignación de etiquetas, que pueden seguir siendo cualquiera de los métodos compatibles, como VLAN o Puerto, entre otros.

Por ejemplo, si configura la asignación de etiquetas en función de Puerto y se recibe un paquete de un nuevo host en ese puerto, la etiqueta asignada para ese puerto se propaga en un anuncio de ruta de tipo 2 junto con la dirección MAC de origen e IP del paquete entrante. Si posteriormente se recibe un paquete de un host diferente en ese mismo puerto, la misma etiqueta se propaga en otro anuncio de ruta de tipo 2 junto con la dirección MAC e IP de origen de este host diferente.

Nota:

Si un conmutador leaf de borde recibe un anuncio de EVPN de tipo 2 con una etiqueta GBP, el conmutador instala la ruta de tipo 2 y genera un anuncio de EVPN de tipo 5 con esa etiqueta de GBP para sus pares eBGP, como los conmutadores leaf de borde de otros centros de datos (para tráfico entre DC). Esta ruta de tipo 5 contiene una dirección IP /32 y una etiqueta GBP.

Se admite esta propagación de etiquetas de tipo 2 a tipo 5 GBP, pero no se admite la propagación de etiquetas de tipo 5 a tipo 2 GBP.

Para topologías multihoming, mantenga la configuración idéntica en todos los miembros multihoming.

Debe habilitar la instrucción siguiente para realizar la aplicación de directivas en el nodo de entrada. Cuando la aplicación de entrada está habilitada o deshabilitada, el motor de reenvío de paquetes (PFE) se reinicia.

Propagación de etiquetas para rutas de prefijos IP mediante anuncios de tipo 5 de EVPN

A partir de Junos OS versión 24.2R1, admitimos la propagación de etiquetas GBP para rutas de prefijos IP mediante anuncios de EVPN tipo 5. Antes de esta versión, la propagación de etiquetas GBP solo se desencadenaba mediante el aprendizaje de MAC-IP en el plano de datos, lo que significaba que la propagación de etiquetas solo se producía para rutas IP /32.

Gracias a la compatibilidad con rutas de prefijo IP, ahora puede producirse la propagación de etiquetas, por ejemplo, al crear una interfaz y habilitar la publicidad de rutas EVPN directas (set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop). Si también asigna una etiqueta GBP a ese prefijo IP, el anuncio posterior de EVPN tipo 5 incluye la etiqueta GBP, propagando así la etiqueta incluso antes de que tenga lugar el aprendizaje de MAC-IP.

En general, la propagación de etiquetas GBP en los anuncios de tipo 5 de EVPN se produce siempre que se crea un filtro GBP que asigna una etiqueta a un prefijo IP y esa ruta de prefijo IP está instalada en la base de datos de enrutamiento evpn.0. (Puede crear el filtro GBP antes o después de instalar la ruta).

Aunque el conmutador genere un anuncio de tipo 5, si el conmutador se entera de un nuevo host (por ejemplo, mediante el aprendizaje de MAC-IP en el plano de datos), el conmutador también generará un anuncio de tipo 2. En muchos casos, puede ser conveniente suprimir estos anuncios /32 redundantes para reducir el tráfico EVPN. Para ello, cree una política BGP para rechazar rutas /32.

Por ejemplo, lo siguiente crea una política denominada T5_EXPORT con un término llamado fm_v4_host que rechaza las rutas /32 de los hosts IPv4:

Nota:

Si un conmutador recibe un anuncio de EVPN para una ruta de prefijo IP y una etiqueta GBP asociada, y si ha configurado un filtro GBP que asigna una etiqueta diferente a esa misma ruta de prefijo IP, prevalecerá la etiqueta GBP del filtro GBP configurado localmente. El conmutador reemplaza la etiqueta GBP en el anuncio de EVPN recibido por la etiqueta GBP asignada localmente antes de volver a anunciar la ruta EVPN.

La propagación de etiquetas de prefijo IP se habilita automáticamente cuando se crea un filtro GBP para un prefijo IP y se asocia el filtro GBP a una instancia de enrutamiento. Por ejemplo:

donde <routing-instance> es el nombre de la instancia de enrutamiento a la que desea que se aplique el filtro.

Una vez que una ruta de prefijo IP se asocia a una etiqueta GBP, la etiqueta GBP se muestra en la salida de los show route comandos para esa ruta de prefijo IP. Por ejemplo:

Para ver el enlace entre una instancia de enrutamiento y un filtro GBP, utilice el show evpn gbp-src-tag filter-bind routing-instance comando.

Para ver la ruta del prefijo IP a la asignación de etiquetas GBP, use el show evpn gbp-src-tag ip-prefix inet comando.

Entre las limitaciones de esta característica se incluyen las siguientes:

  • Solo puede asociar un filtro GBP a una instancia de enrutamiento. No puede asociar el mismo filtro GBP a varias instancias de enrutamiento.

  • No puede asociar dos filtros GBP diferentes con la misma condición de coincidencia de prefijo IP a la misma instancia de enrutamiento.

  • Solo puede asociar un filtro GBP basado en IP a una instancia de enrutamiento. La asociación de otros tipos de filtros GBP no tiene ningún efecto.

  • Esta función solo se admite con los conmutadores de las series EX4400, EX4650 y QFX-5120 enumerados en la Tabla 1.

Paquetes originados por el host

Cuando los paquetes salen de una interfaz de enrutamiento y puente integrados (IRB) a través de un punto de conexión de túnel virtual (VTEP), el kernel inserta una etiqueta GBP de origen en el encabezado VXLAN y envía el paquete. El valor de la etiqueta GBP de origen se configura mediante la siguiente instrucción:

Interetiquetado MAC/IP en GBP

De forma predeterminada, un filtro GBP basado en MAC solo se aplica al tráfico conmutado y un filtro GBP basado en IP solo se aplica al tráfico enrutado.

A partir de Junos OS versión 24.2R1, los filtros GBP basados en MAC también se pueden aplicar al tráfico enrutado, y los filtros GBP basados en IP también se pueden aplicar al tráfico conmutado.

Esto se denomina interetiquetado MAC/IP y se admite en los conmutadores específicos de las series EX4100, EX4400, EX4650 y QFX5120 que se muestran en la Tabla 1.

Para habilitar el interetiquetado MAC/IP:

A continuación, puede ver que aparece la misma etiqueta GBP 100 en las tablas MAC e IP cuando habilita el interetiquetado MAC/IP.

Planificación de sus asignaciones de SGT

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. La siguiente tabla se puede utilizar para simplificar aún más la lógica y aclarar sus reglas.

Tabla 10: Criterios de valoración y sus valores SGT

Extremo

Valor de SGT asignado

Empleado Permanente (PE)

100

Contratista (CON)

200

Personal de seguridad (SS)

300

Cámara de seguridad (CAM)

400

Servidor de ingeniería (ES)

500

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Tabla 11: Matriz de acceso
  ES (SGT 500) CAM (SGT 400) PE (SGT 100) CON (SGT 200) SS (SGT 300)
PE (SGT 100) Y N Y Y N
CON (SGT 200) N N Y N N
SS (SGT 300) N Y N N Y

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 22.4.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

Figura 2: GBP de VXLAN en un conmutador VXLAN GBP on an EX4400 Switch EX4400

Requisitos

Junos OS 22.4R1 admite GBP mejorada en los siguientes conmutadores: EX4100, EX4400, EX4650, QFX5120-32C y QFX5120-48Y.

Configuración

Segmentación basada en VXLAN-GBP:

  • Los usuarios inician sesión en la red y son autenticados por el servidor RADIUS (en el que se configuran los SGT para todos los extremos).
  • Mediante filtros de firewall, el EX4400 selecciona el tráfico en función de la autenticación 802.1X o la dirección MAC y, a continuación, asigna una etiqueta de grupo a las tramas coincidentes. (Para clientes autenticados dot1x, no es necesaria la configuración de firewall estático). La mecánica de esto se realiza utilizando firewall como se muestra aquí: y
  • El tráfico etiquetado que pasa a través del EX4400 se evalúa sobre la base de valores SGT, nuevamente, utilizando la mecánica del filtro de firewall.
    • Primero habilite chassis forwarding-options vxlan-gbp-profile en el dispositivo.

    • Utilice las gbp-dst-tag condiciones y/o gbp-src-tag coincidencia para escribir las reglas de firewall e inclúyalas en la política de enrutamiento del conmutador de salida que utiliza para la microsegmentación en GBP. A partir de Junos OS versión 23.2R1, además de las etiquetas de origen y destino, se admiten las nuevas coincidencias L4 de filtro de políticas de GBP IPv4 e IPv6, como protocolo, puertos de origen, puertos de destino, indicadores tcp y otras coincidencias. Véase el cuadro 7.
    • Si desea que la aplicación de políticas tenga lugar en el extremo de entrada, debe habilitar la set fowarding-options evpn gbp ingress-enforcement opción.

Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP

Utilice los siguientes comandos para configurar la segmentación VXLAN-GBP en un entorno de espacio aislado. Normalmente, crearía las reglas de filtro de firewall en el conmutador que sirve como puerta de enlace VXLAN (de salida) para la capa de acceso, pero en aras de la simplicidad, estamos usando el mismo EX4400 independiente tanto para las reglas de filtro de firewall como para el servidor RADIUS (EAP, aquí). Los valores que utilizamos en este ejemplo están tomados de las tablas anteriores.

Los comandos siguientes incluyen variables como nombres de perfil y direcciones IP, que deben adaptarse para que tengan sentido para su entorno de prueba.

  1. Configure el servidor RADIUS:
  2. Configure los puertos físicos para admitir la autenticación RADIUS:
  3. Configure las etiquetas SGT en el servidor RADIUS mediante el filtro de conmutación de Juniper o el ID de política basado en grupos de Juniper: o
  4. Habilite VXLAN-GBP en el conmutador:
  5. Cree reglas de filtro de firewall que aprovechen los SGT (utilizando valores organizados en la matriz):
  6. Ejecute una comprobación de confirmación en Junos para comprobar que los comandos y las variables utilizadas son válidos. Cuando esté satisfecho con su configuración, confirme la configuración candidata para activarla en el dispositivo. Estos comandos se muestran a continuación. También puede revisar la configuración escribiendo run show configuration.

Limitaciones para conmutadores EX y QFX:

  • Conmutadores EX9204, EX9208 y EX9214:

    • Para el tráfico de tránsito que llega a través del túnel EVPN-VXLAN tipo 2, la aplicación de políticas basada en etiquetas GBP en el PE de salida solo funciona correctamente si la etiqueta GBP de origen estampada en el PE de entrada en el encabezado VxLAN se transporta en la red subyacente sin ningún compromiso.

    • No se admiten los SGT configurados mediante RADIUS/802.1X.

    • La compatibilidad con la propagación de etiquetas de rutas /32 y la aplicación de políticas en el extremo de entrada se inicia en Junos OS versión 24.2R1.

    • No se admite la propagación de etiquetas de rutas de prefijo IP mediante anuncios de tipo 5 de EVPN.

    • No se admiten perfiles UFT GBP.

  • El número de etiquetas únicas para las plataformas EX4400 y QFX5120 está restringido a 1K.

  • Las interface coincidencias y VLAN GBP no se admiten en los conmutadores EX4100.

  • No se admite el etiquetado GBP basado en IP de multidifusión.

  • La GBP basada en IP no se aplica a los flujos de conmutación de capa 2 y la GBP basada en MAC no se aplica a los flujos de enrutamiento de capa 3 de acceso a acceso.

  • IPACL no se admite cuando se configura () GBP basada eninterface puertos.

  • La acción de revisión policial y recuento solo se admite para las entradas de política GBP basadas en MAC e IP.

  • La GBP basada en VLAN no es compatible con las interfaces lógicas de estilo de proveedor de servicios.

  • Los filtros de asignación de etiquetas GBP no admiten la opción de contador.

  • Los diferentes criterios de coincidencia de los filtros GBP (MAC, PORT & PORT + VLAN) no forman parte del mismo filtro.

GBP Junos OS versión 21.1R1 y posteriores

Asignación de SGT con un servidor RADIUS

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en el EX4400 para recibirlos. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión incorporada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos versión 21.1R1, los conmutadores EX4400 introducen una nueva condición de coincidencia para su uso con VXLAN-GBP que permite que el firewall reconozca las etiquetas SGT que pasa el servidor RADIUS e inserta en el encabezado VXLAN.

Puede ver cómo funciona esto en los siguientes ejemplos de código. Las políticas de firewall en GBP se enmarcan en función de las etiquetas GBP de origen y destino. Una etiqueta de origen es el campo de 16 bits del encabezado VXLAN del paquete entrante, mientras que la etiqueta de destino se deriva en el extremo del túnel de salida, según la asignación de etiqueta configurada.

Supongamos que tenemos un punto final de salida con la configuración que se muestra a continuación. A los paquetes de la dirección 00:01:02:03:04:10:10 MAC de origen se les asigna la etiqueta 100, y a los paquetes de la dirección 00:01:02:03:04:20:20 MAC de origen se les asigna 200.

Para los paquetes con una etiqueta GBP de 100 y una dirección MAC de destino de , la etiqueta (gbp-dst-tag) de grupo de 00:01:02:03:04:10:10destino será 100 y coincidirá a término t10-100. Del mismo modo, para los paquetes con etiqueta GBP 100 y una dirección MAC de destino de , la etiqueta de grupo de 00:01:02:03:04:20:20destino será 200 y coincidirá con el término t10-200.

La misma asignación de etiqueta utilizada para asignar la dirección MAC de origen a la etiqueta de origen también se utiliza para asignar la dirección MAC de destino a la etiqueta de destino. Esto también es cierto para las asignaciones basadas en puertos.

Veamos otro ejemplo de código, esta vez con una etiqueta de origen GBP de 300 y con interfaz ge-0/0/30.0de entrada de paquetes. Como puede ver a continuación, la etiqueta de origen GBP 300 está asignada y en dirección de salida, y 300 también es la etiqueta de grupo de destino GBP.

Tenga en cuenta que debe configurar el filtro de firewall GBP en el conmutador de salida, ya que no hay forma de que el conmutador de entrada sepa qué etiquetas de grupo se utilizan en el conmutador de salida. Además, debe habilitar VXLAN-GBP globalmente en el nodo de entrada, para que pueda realizar la búsqueda en las coincidencias y agregar SGT en el encabezado VXLAN, así como en el nodo de salida. Haga esto con el comando de configuración que se muestra aquí:

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. Aquí, mostramos una de esas tablas, cuyos valores se aplicarán más tarde en una matriz, que se puede usar para simplificar aún más la lógica y aclarar sus reglas.

Tabla 12: Puntos finales y sus valores SGT

Extremo

Valor de SGT asignado

Empleado Permanente (PE)

100

Contratista (CON)

200

Personal de seguridad (SS)

300

Cámara de seguridad (CAM)

400

Servidor de ingeniería (ES)

500

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Tabla 13: Matriz de acceso
  ES (SGT 500) CAM (SGT 400) PE (SGT 100) CON (SGT 200) SS (SGT 300)
PE (SGT 100) Y N Y Y N
CON (SGT 200) N N Y N N
SS (SGT 300) N Y N N Y

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 21.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

Figura 3: GBP de VXLAN en un conmutador VXLAN GBP on an EX4400 Switch EX4400

Requisitos

VXLAN-GBP es compatible con Junos OS versión 21.1R1 en los siguientes conmutadores: EX4400-24P, EX4400-24T, EX4400-48F, EX4400-48P y EX4400-48T. Consideremos un conmutador EX4400 en este ejemplo.

A partir de la versión 21.4R1 de Junos, VXLAN-GBP también es compatible con los siguientes conmutadores: QFX5120-32C, QFX5120-48T, QFX5120-48Y, QFX5120-48YM, EX4650 y EX4650-48Y-VC.

Configuración

Podemos resumir la secuencia de eventos subyacentes a la segmentación basada en VXLAN-GBP, presentada en los párrafos anteriores, de la siguiente manera:

  • Los usuarios inician sesión en la red y son autenticados por el servidor RADIUS (en el que se configuran los SGT para todos los extremos).
  • Mediante filtros de firewall, el EX4400 selecciona el tráfico en función de la autenticación 802.1X o la dirección MAC y, a continuación, asigna una etiqueta de grupo a las tramas coincidentes. (Para clientes autenticados DOT1X, no es necesaria la configuración de firewall estático). La mecánica de esto se realiza utilizando firewall, como se muestra aquí: y
  • El tráfico etiquetado que pasa a través del EX4400 se evalúa sobre la base de valores SGT, nuevamente, utilizando la mecánica del filtro de firewall. Para que esto suceda, primero debe habilitar chassis forwarding-options vxlan-gbp-profile en el conmutador, luego usar las gbp-dst-tag condiciones y/o gbp-src-tag hacer coincidir para escribir sus reglas de firewall e incluirlas en la política de enrutamiento en el conmutador de salida que usa para la microsegmentación GBP.

Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP

Utilice los siguientes comandos para configurar la segmentación VXLAN-GBP en un entorno de espacio aislado. Normalmente, crearía las reglas de filtro de firewall en el conmutador que sirve como puerta de enlace VXLAN (de salida) para la capa de acceso, pero en aras de la simplicidad, estamos usando el mismo EX4400 independiente tanto para las reglas de filtro de firewall como para el servidor RADIUS (EAP, aquí). Los valores que usamos en este ejemplo son de las tablas anteriores.

Los comandos siguientes incluyen variables como nombres de perfil y direcciones IP, que deben adaptarse para que tengan sentido para su entorno de prueba.

  1. Configure el servidor RADIUS:
  2. Configure los puertos físicos para admitir la autenticación RADIUS:
  3. Configure las etiquetas SGT en el servidor RADIUS:
  4. Habilite VXLAN-GBP en el conmutador:
  5. Cree reglas de filtro de firewall que aprovechen los SGT (utilizando valores organizados en la matriz):
  6. Ejecute una comprobación de confirmación en Junos para comprobar que los comandos y las variables utilizadas son válidos. Cuando esté satisfecho con su configuración, confirme la configuración candidata para activarla en el dispositivo. Estos comandos se muestran a continuación. También puede revisar la configuración escribiendo run show configuration.