Ejemplo: segmentación micro y macro mediante políticas basadas en grupos en una VXLAN

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from interface ge-0/0/1
set firewall family any filter test term t1 from interface ge-0/0/2

set firewall family any filter test term t1 from interface ge-0/0/0
set firewall family any filter test term t1 from vlan-id 2000

set firewall family any filter test term t1 from vlan-id 2000-2100
set firewall family any filter test term t1 from vlan-id [3000 3010 3020]

set firewall family any filter f1 term t1 from gbp-src-tag 100
set firewall family any filter f1 term t1 from gbp-dst-tag 200
set firewall family any filter f1 term t1 then accept
set firewall family any filter f1 term t2 then discard

Asignación de SGT para asignación de etiqueta de 802,1X GBP

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en los conmutadores de acceso habilitados para GBP para recibir los SGT cuando un punto de conexión coincidente se conecta al conmutador. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Nota:

• Si configura la autenticación 802.1X con modo suplicante único seguro o múltiple, el etiquetado GBP se basa en MAC. Si configura la autenticación 802.1X con modo suplicante único, el etiquetado GBP se basa en puertos.

• Las coincidencias de dirección IP, ID VLAN e ID de VLAN-ID+ interfaz no son compatibles con 802.1X.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión integrada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos OS versión 23.4R1, además del existente Juniper-Switching-Filter, se admite una nueva llamada VSA en Juniper-Group-Based-Policy-Id los conmutadores EX4400, EX4100, EX4650 y QFX5120.

Nota:

No debe usar el VSA Juniper-Group-Based-Policy-Id y el VSA Juniper-Switching-Filter juntos para el mismo cliente.

El cliente no se autenticará si ambos VSA existen y contienen valores de etiqueta GBP diferentes.

Puede asignar etiquetas GBP dinámicamente desde RADIUS a través de cualquiera de estos VSA:

• Juniper-Switching-Filter lleva el filtro GBP y otras condiciones de coincidencia y acción del filtro.

• El Juniper-Group-Based-Policy-Id solo lleva la etiqueta GBP.

El Juniper-Group-Based-Policy-Id filtro de etiquetas de VSA para MAC y GBP basado en puertos tiene este aspecto:

A partir de Junos OS versión 23.4R1 y posteriores, la compatibilidad con funciones GBP también se agrega a las siguientes instrucciones de configuración en los conmutadores EX4400, EX4100, EX4650 y QFX5120:

Tabla 9: Instrucciones de configuración con etiqueta GBP

CLI	Descripción
set protocols dot1x authenticator interface [interface-names] server-fail gbp-tag gbp-tag	Especifique la etiqueta GBP que se aplicará en la interfaz cuando no se pueda acceder al servidor. Si configura el gbp-tag gbp-tag y el cliente se autentica en vlan-name server-fail o server-fail permit, el filtro configurado gbp-tag gbp-tag también se instala para el cliente. Solo puede configurar esta opción cuando la server-fail vlan-name opción o server-fail permit está configurada.
set protocols dot1x authenticator interface [interface-names] server-reject-vlan gbp-tag gbp-tag	Especifique la etiqueta GBP que se aplicará cuando RADIUS rechace la autenticación de cliente. Si configura el gbp-tag gbp-tag y el cliente se autentica en server-reject vlan, el filtro configurado gbp-tag también se instala para el cliente. Solo puede configurarlo server-reject gbp-tag gbp-tag cuando se configura la server-reject-vlan vlan-id opción.
set protocols dot1x authenticator interface [interface-names] guest-gbp-tag gbp-tag	Especifique la etiqueta GBP que se aplicará cuando una interfaz se mueva a una VLAN invitada. Si el guest-gbp-tag está configurado y el cliente se autentica en VLAN invitada, el filtro configurado guest-gbp-tag también se instala para el cliente. Solo puede configurarlo guest-gbp-tag cuando se configura la guest-vlan vlan-id opción. Para obtener más información acerca de las VLAN invitadas, consulte Autenticación 802.1X.

Puede usar el show dot1x interface detail comando o para show ethernet-switching table comprobar qué etiqueta GBP se recibe de RADIUS.

Aquí hay un ejemplo de salida del show ethernet-switching table comando:

Los filtros basados en GBP se utilizan como clasificadores para el etiquetado de GBP. Estos filtros clasifican las transmisiones entrantes y asignan una etiqueta GBP.

Puede ver cómo funciona esto en los siguientes ejemplos de código. Las políticas de firewall en GBP se enmarcan en función de las etiquetas GBP de origen y destino.

Una etiqueta de origen es el campo de 16 bits del encabezado VXLAN del paquete entrante y se deriva de la búsqueda de la dirección de origen (IP/MAC/puerto, etc.), mientras que la etiqueta de destino se deriva en el túnel de salida o en el extremo de entrada desde el destino (IP/MAC/puerto, etc.), según la asignación de etiqueta configurada.

La etiqueta GBP configurada es un valor positivo distinto de cero en el intervalo (1-65535) para las etiquetas GBT especificadas en un VSA (atributo específico del proveedor) de un servidor RADIUS.

Supongamos que tenemos esta configuración (que se muestra a continuación) en los extremos de entrada y salida. Le recomendamos que tenga la misma configuración de asignación de etiquetas en GBP en todo el sistema. A los paquetes de la dirección 00:01:02:03:04:10:10 MAC de origen se les asigna la etiqueta 100, y a los paquetes de la dirección 00:01:02:03:04:20:20 MAC de origen se les asigna 200.

Para los paquetes con una etiqueta GBP de 100 y una dirección MAC de destino de , la etiqueta (gbp-dst-tag) de grupo de 00:01:02:03:04:10:10destino será 100 y coincidirá a término t10-100. Del mismo modo, para los paquetes con etiqueta GBP 100 y una dirección MAC de destino de , la etiqueta de grupo de 00:01:02:03:04:20:20destino será 200 y coincidirá con el término t10-200.

La misma asignación de etiqueta utilizada para asignar la dirección MAC de origen a la etiqueta de origen también se utiliza para asignar la dirección MAC de destino a la etiqueta de destino. Esto también es cierto para las asignaciones basadas en puertos.

En Junos OS versión 23.2R1 y posteriores, los conmutadores EX4100, EX4400, EX4650, QFX5120-32C y QFX5120-48Y admiten coincidencias L4 adicionales para filtros de políticas GBP para filtros GBP para MAC y filtros GBP basados en IP. Véase el cuadro 7. La configuración de los filtros L4 puede reducir la escala de GBP admitida. Estas coincidencias se admiten de forma predeterminada; sin embargo, en los conmutadores serie EX4650, QFX5120-32C y QFX5120-48Y, puede usar el set forwarding-options evpn-vxlan gbp tag-only-policy para permitir solo etiquetas de origen y destino en gbp como coincidencias en la política de gbp.

Veamos otro ejemplo, esta vez usando una etiqueta de origen GBP de 300, y con paquetes desde la dirección 172.16.1.0/24IPv4:

A partir de Junos OS versión 23.4R1, los conmutadores EX4400, EX4650 y QFX5120 admiten múltiples entradas en filtros GBP de tipo VLAN, puerto y puerto+VLAN del mismo tipo en un término mediante las opciones de lista y rango, mientras que los conmutadores EX4100 solo admiten varias entradas en filtros GBP de tipo de puerto.

Vea los ejemplos a continuación:

En este ejemplo, para paquetes con etiqueta GBP 300, coincide con el término t1 en direcciones ID VLAN que van de 10 a 30.

En este ejemplo, para paquetes con etiqueta GBP 300, coincide con el término t1 para una lista de interfaces 101 a 104, donde 101 a 104 son el índice de interfaz interna contigua asignado para las interfaces respectivas.

Nota:

La prioridad del etiquetado GBP es la siguiente, siendo ip-version la prioridad más alta:

• ip-version ipv4 <ip address> | <prefix-list>

• ip-version ipv6<ip address> | <prefix-list>

• mac-address<mac address>

• interface<interface_name> ID de VLAN <vlan id>

• vlan-id<vlan id>

• interface<interface_name>

Tenga en cuenta que, de forma predeterminada, la aplicación de directivas se realiza en el extremo de salida. Si desea aplicar políticas en la hoja de entrada, consulte la sección siguiente.

Puede habilitar VXLAN-GBP seleccionando uno de los tres perfiles que mejor se adapte a sus necesidades de red. Cada perfil UFT está configurado con diferentes valores máximos para cada tipo de dirección. Consulte Descripción de los perfiles de GBP para obtener más información sobre cuándo usar estos perfiles. Consulte vxlan-gbp-profile, vxlan-gbp-l2-profile y vxlan-gbp-l3-profile para ver las escalas admitidas por estos perfiles.

Aplicación de políticas en la entrada y propagación de etiquetas

A partir de Junos versión 22.4R1, puede realizar la aplicación de políticas más cerca de la entrada. El cumplimiento de entrada ahorra ancho de banda de red al descartar paquetes etiquetados en la entrada que de otro modo se descartarían en la salida. Para apoyar la aplicación de políticas en o cerca de la entrada, propagamos las etiquetas basadas en MAC e IP-MAC por toda la red mediante comunidades BGP extendidas dentro de las rutas EVPN Tipo 2 y Tipo 5. Consulte Rutas EVPN tipo 2 y tipo 5 para obtener información sobre estos tipos de rutas.

El anuncio de ruta EVPN se activa por la instalación (o un cambio) de una ruta EVPN, como a través del aprendizaje MAC-IP al recibir un paquete de un nuevo host. En este caso, la ruta IP de origen se instala en la base de datos evpn.0 y se envía un anuncio EVPN de tipo 2 (que incluye la etiqueta GBP si está asignada) a todos los pares de eBGP.

Después de que estos anuncios se propagan a través de la red a los puntos de conexión remotos, los puntos de conexión remotos tienen suficiente información para tomar decisiones de filtro de firewall GBP sobre los paquetes recibidos en la entrada remota. Cuando se reciben paquetes en su entrada, los extremos remotos pueden buscar la ruta de destino y obtener la etiqueta GBP de destino recibida previamente a través del anuncio de EVPN tipo 2. Armados con la etiqueta GBP de destino, los puntos de conexión remotos pueden posteriormente tomar decisiones de aplicación de políticas GBP en sus paquetes de entrada.

Dado que las etiquetas GBP se propagan mediante anuncios de ruta EVPN tipo 2, la propagación de etiquetas se realiza necesariamente por dirección MAC o IP. Sin embargo, esto no tiene relación con la asignación de etiquetas, que pueden seguir siendo cualquiera de los métodos compatibles, como VLAN o Puerto, entre otros.

Por ejemplo, si configura la asignación de etiquetas en función de Puerto y se recibe un paquete de un nuevo host en ese puerto, la etiqueta asignada para ese puerto se propaga en un anuncio de ruta de tipo 2 junto con la dirección MAC de origen e IP del paquete entrante. Si posteriormente se recibe un paquete de un host diferente en ese mismo puerto, la misma etiqueta se propaga en otro anuncio de ruta de tipo 2 junto con la dirección MAC e IP de origen de este host diferente.

Nota:

Si un conmutador leaf de borde recibe un anuncio de EVPN de tipo 2 con una etiqueta GBP, el conmutador instala la ruta de tipo 2 y genera un anuncio de EVPN de tipo 5 con esa etiqueta de GBP para sus pares eBGP, como los conmutadores leaf de borde de otros centros de datos (para tráfico entre DC). Esta ruta de tipo 5 contiene una dirección IP /32 y una etiqueta GBP.

Se admite esta propagación de etiquetas de tipo 2 a tipo 5 GBP, pero no se admite la propagación de etiquetas de tipo 5 a tipo 2 GBP.

Para topologías multihoming, mantenga la configuración idéntica en todos los miembros multihoming.

Debe habilitar la instrucción siguiente para realizar la aplicación de directivas en el nodo de entrada. Cuando la aplicación de entrada está habilitada o deshabilitada, el motor de reenvío de paquetes (PFE) se reinicia.

A partir de Junos OS versión 24.2R1, admitimos la propagación de etiquetas GBP para rutas de prefijos IP mediante anuncios de EVPN tipo 5. Antes de esta versión, la propagación de etiquetas GBP solo se desencadenaba mediante el aprendizaje de MAC-IP en el plano de datos, lo que significaba que la propagación de etiquetas solo se producía para rutas IP /32.

Gracias a la compatibilidad con rutas de prefijo IP, ahora puede producirse la propagación de etiquetas, por ejemplo, al crear una interfaz y habilitar la publicidad de rutas EVPN directas (set routing-instances <instance> protocols evpn ip-prefix-routes advertise direct-nexthop). Si también asigna una etiqueta GBP a ese prefijo IP, el anuncio posterior de EVPN tipo 5 incluye la etiqueta GBP, propagando así la etiqueta incluso antes de que tenga lugar el aprendizaje de MAC-IP.

En general, la propagación de etiquetas GBP en los anuncios de tipo 5 de EVPN se produce siempre que se crea un filtro GBP que asigna una etiqueta a un prefijo IP y esa ruta de prefijo IP está instalada en la base de datos de enrutamiento evpn.0. (Puede crear el filtro GBP antes o después de instalar la ruta).

Aunque el conmutador genere un anuncio de tipo 5, si el conmutador se entera de un nuevo host (por ejemplo, mediante el aprendizaje de MAC-IP en el plano de datos), el conmutador también generará un anuncio de tipo 2. En muchos casos, puede ser conveniente suprimir estos anuncios /32 redundantes para reducir el tráfico EVPN. Para ello, cree una política BGP para rechazar rutas /32.

Por ejemplo, lo siguiente crea una política denominada T5_EXPORT con un término llamado fm_v4_host que rechaza las rutas /32 de los hosts IPv4:

Nota:

Si un conmutador recibe un anuncio de EVPN para una ruta de prefijo IP y una etiqueta GBP asociada, y si ha configurado un filtro GBP que asigna una etiqueta diferente a esa misma ruta de prefijo IP, prevalecerá la etiqueta GBP del filtro GBP configurado localmente. El conmutador reemplaza la etiqueta GBP en el anuncio de EVPN recibido por la etiqueta GBP asignada localmente antes de volver a anunciar la ruta EVPN.

La propagación de etiquetas de prefijo IP se habilita automáticamente cuando se crea un filtro GBP para un prefijo IP y se asocia el filtro GBP a una instancia de enrutamiento. Por ejemplo:

donde <routing-instance> es el nombre de la instancia de enrutamiento a la que desea que se aplique el filtro.

Una vez que una ruta de prefijo IP se asocia a una etiqueta GBP, la etiqueta GBP se muestra en la salida de los show route comandos para esa ruta de prefijo IP. Por ejemplo:

Para ver el enlace entre una instancia de enrutamiento y un filtro GBP, utilice el show evpn gbp-src-tag filter-bind routing-instance comando.

Para ver la ruta del prefijo IP a la asignación de etiquetas GBP, use el show evpn gbp-src-tag ip-prefix inet comando.

Entre las limitaciones de esta característica se incluyen las siguientes:

• Solo puede asociar un filtro GBP a una instancia de enrutamiento. No puede asociar el mismo filtro GBP a varias instancias de enrutamiento.

• No puede asociar dos filtros GBP diferentes con la misma condición de coincidencia de prefijo IP a la misma instancia de enrutamiento.

• Solo puede asociar un filtro GBP basado en IP a una instancia de enrutamiento. La asociación de otros tipos de filtros GBP no tiene ningún efecto.

• Esta función solo se admite con los conmutadores de las series EX4400, EX4650 y QFX-5120 enumerados en la Tabla 1.

Paquetes originados por el host

Cuando los paquetes salen de una interfaz de enrutamiento y puente integrados (IRB) a través de un punto de conexión de túnel virtual (VTEP), el kernel inserta una etiqueta GBP de origen en el encabezado VXLAN y envía el paquete. El valor de la etiqueta GBP de origen se configura mediante la siguiente instrucción:

Interetiquetado MAC/IP en GBP

De forma predeterminada, un filtro GBP basado en MAC solo se aplica al tráfico conmutado y un filtro GBP basado en IP solo se aplica al tráfico enrutado.

A partir de Junos OS versión 24.2R1, los filtros GBP basados en MAC también se pueden aplicar al tráfico enrutado, y los filtros GBP basados en IP también se pueden aplicar al tráfico conmutado.

Esto se denomina interetiquetado MAC/IP y se admite en los conmutadores específicos de las series EX4100, EX4400, EX4650 y QFX5120 que se muestran en la Tabla 1.

Para habilitar el interetiquetado MAC/IP:

A continuación, puede ver que aparece la misma etiqueta GBP 100 en las tablas MAC e IP cuando habilita el interetiquetado MAC/IP.

Planificación de sus asignaciones de SGT

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. La siguiente tabla se puede utilizar para simplificar aún más la lógica y aclarar sus reglas.

Tabla 10: Criterios de valoración y sus valores SGT

Extremo	Valor de SGT asignado
Empleado Permanente (PE)	100
Contratista (CON)	200
Personal de seguridad (SS)	300
Cámara de seguridad (CAM)	400
Servidor de ingeniería (ES)	500

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Tabla 11: Matriz de acceso

	ES (SGT 500)	CAM (SGT 400)	PE (SGT 100)	CON (SGT 200)	SS (SGT 300)
PE (SGT 100)	Y	N	Y	Y	N
CON (SGT 200)	N	N	Y	N	N
SS (SGT 300)	N	Y	N	N	Y

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 22.4.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

• Requisitos
• Configuración
• Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP
• Limitaciones para conmutadores EX y QFX:

Asignación de SGT con un servidor RADIUS

En este ejemplo, configuramos SGT en un servidor RADIUS y luego usamos el control de acceso 802.1X en el EX4400 para recibirlos. Los servidores RADIUS se utilizan habitualmente en entornos de campus para el control de acceso y, por ejemplo, para controlar la asignación de VLAN.

Para acomodar el uso de SGT en el servidor RADIUS, necesitamos aprovechar el atributo específico del proveedor (VSA), tal como lo admite el marco de servicio AAA (estos VSA se llevan como parte del mensaje de respuesta de solicitud RADIUS estándar y proporcionar una extensión incorporada para manejar información específica de la implementación, como nuestros SGT). La sintaxis exacta del servidor RADIUS varía según si el esquema de autenticación está basado en MAC o EAP. Para los clientes basados en MAC, la configuración tiene el siguiente aspecto:

Para los clientes basados en EAP, el SGT se inserta desde el servidor RADIUS en el momento de la autenticación. La configuración tiene el siguiente aspecto:

A partir de Junos versión 21.1R1, los conmutadores EX4400 introducen una nueva condición de coincidencia para su uso con VXLAN-GBP que permite que el firewall reconozca las etiquetas SGT que pasa el servidor RADIUS e inserta en el encabezado VXLAN.

Puede ver cómo funciona esto en los siguientes ejemplos de código. Las políticas de firewall en GBP se enmarcan en función de las etiquetas GBP de origen y destino. Una etiqueta de origen es el campo de 16 bits del encabezado VXLAN del paquete entrante, mientras que la etiqueta de destino se deriva en el extremo del túnel de salida, según la asignación de etiqueta configurada.

Supongamos que tenemos un punto final de salida con la configuración que se muestra a continuación. A los paquetes de la dirección 00:01:02:03:04:10:10 MAC de origen se les asigna la etiqueta 100, y a los paquetes de la dirección 00:01:02:03:04:20:20 MAC de origen se les asigna 200.

Para los paquetes con una etiqueta GBP de 100 y una dirección MAC de destino de , la etiqueta (gbp-dst-tag) de grupo de 00:01:02:03:04:10:10destino será 100 y coincidirá a término t10-100. Del mismo modo, para los paquetes con etiqueta GBP 100 y una dirección MAC de destino de , la etiqueta de grupo de 00:01:02:03:04:20:20destino será 200 y coincidirá con el término t10-200.

La misma asignación de etiqueta utilizada para asignar la dirección MAC de origen a la etiqueta de origen también se utiliza para asignar la dirección MAC de destino a la etiqueta de destino. Esto también es cierto para las asignaciones basadas en puertos.

Veamos otro ejemplo de código, esta vez con una etiqueta de origen GBP de 300 y con interfaz ge-0/0/30.0de entrada de paquetes. Como puede ver a continuación, la etiqueta de origen GBP 300 está asignada y en dirección de salida, y 300 también es la etiqueta de grupo de destino GBP.

Tenga en cuenta que debe configurar el filtro de firewall GBP en el conmutador de salida, ya que no hay forma de que el conmutador de entrada sepa qué etiquetas de grupo se utilizan en el conmutador de salida. Además, debe habilitar VXLAN-GBP globalmente en el nodo de entrada, para que pueda realizar la búsqueda en las coincidencias y agregar SGT en el encabezado VXLAN, así como en el nodo de salida. Haga esto con el comando de configuración que se muestra aquí:

Antes de crear cualquier regla, puede ser útil organizar el esquema creando una tabla para todos los puntos de conexión (usuarios y dispositivos) y el valor SGT asignado. Aquí, mostramos una de esas tablas, cuyos valores se aplicarán más tarde en una matriz, que se puede usar para simplificar aún más la lógica y aclarar sus reglas.

Tabla 12: Puntos finales y sus valores SGT

Extremo	Valor de SGT asignado
Empleado Permanente (PE)	100
Contratista (CON)	200
Personal de seguridad (SS)	300
Cámara de seguridad (CAM)	400
Servidor de ingeniería (ES)	500

La relación entre el servidor RADIUS y los SGT, los encabezados de paquete EX4400 y VXLAN, y un filtro de firewall central para administrar la política de acceso, es tal que una matriz se convierte en una forma práctica de organizar los valores. En la tabla siguiente, enumeramos los roles de usuario en la primera columna y los tipos de dispositivos en la primera fila para crear una matriz de acceso. A cada rol de usuario y tipo de dispositivo se le asigna un SGT y la configuración de RADIUS se ha actualizado con la información.

En este ejemplo se usan tres tipos de empleados: empleado permanente (PE), contratista (CON) y personal de seguridad (SS). También utiliza dos tipos de recursos, Eng Server (ES) y cámara de seguridad (CAM). Usamos Y para indicar que se permite el acceso y N para mostrarlo cuando se bloquea el acceso. La tabla sirve como un recurso útil al crear las distintas reglas de firewall en la política y hace que la asignación de acceso sea simple y clara.

Tabla 13: Matriz de acceso

	ES (SGT 500)	CAM (SGT 400)	PE (SGT 100)	CON (SGT 200)	SS (SGT 300)
PE (SGT 100)	Y	N	Y	Y	N
CON (SGT 200)	N	N	Y	N	N
SS (SGT 300)	N	Y	N	N	Y

Topología

En aras de la simplicidad, toda la configuración de este ejemplo se realiza en un único conmutador de la serie EX4400 de Juniper que ejecuta Junos OS versión 21.1R1. El conmutador está conectado a un servidor RADIUS para AAA. Este modificador funciona como salida en este ejemplo. Recuerde que para los SGT debe definir el firewall en el conmutador de salida, mientras que normalmente lo haría en la puerta de enlace VXLAN de entrada para la capa de acceso.

• Requisitos
• Configuración
• Configuración de un conmutador independiente Juniper EX4400 para VXLAN-GBP

A partir de la versión 21.4R1 de Junos, VXLAN-GBP también es compatible con los siguientes conmutadores: QFX5120-32C, QFX5120-48T, QFX5120-48Y, QFX5120-48YM, EX4650 y EX4650-48Y-VC.