Tablas de reenvío de capa 2

Descripción de las tablas de reenvío de capa 2 en conmutadores, enrutadores y dispositivos de la serie NFX

Puede configurar la dirección MAC de capa 2 y las propiedades de aprendizaje y reenvío de VLAN para admitir puentes de capa 2. Las direcciones MAC (Media Access Control) de unidifusión se aprenden para evitar inundar los paquetes a todos los puertos de una VLAN. Se crea una entrada MAC de origen en sus tablas MAC de origen y destino para cada dirección MAC aprendida de los paquetes recibidos en puertos que pertenecen a la VLAN.

Cuando se configura una VLAN, el aprendizaje de direcciones de capa 2 está habilitado de forma predeterminada. La VLAN aprende las direcciones MAC (Media Access Control) de unidifusión para evitar inundar los paquetes a todos los puertos de la VLAN. Cada VLAN crea una entrada MAC de origen en sus tablas MAC de origen y destino para cada dirección MAC de origen aprendida de los paquetes recibidos en los puertos que pertenecen a la VLAN.

Opcionalmente, puede deshabilitar el aprendizaje de MAC para todo el dispositivo o para una VLAN o interfaz lógica específica. También puede configurar las siguientes propiedades de aprendizaje y reenvío de capa 2:

• Intervalo de tiempo de espera para entradas MAC

• Entradas MAC estáticas solo para interfaces lógicas

• Límite al número de direcciones MAC aprendidas de una interfaz lógica específica o de todas las interfaces lógicas de una VLAN

• Tamaño de la tabla de direcciones MAC para la VLAN

• Contabilidad MAC para una VLAN

Descripción de las tablas de reenvío de capa 2 en dispositivos de seguridad

El firewall de la serie SRX mantiene tablas de reenvío que contienen direcciones MAC e interfaces asociadas para cada VLAN de capa 2. Cuando llega un paquete con una nueva dirección MAC de origen en su encabezado de trama, el dispositivo agrega la dirección MAC a su tabla de reenvío y realiza un seguimiento de la interfaz a la que llegó el paquete. La tabla también contiene la interfaz correspondiente a través de la cual el dispositivo puede reenviar tráfico para una dirección MAC determinada.

Si el dispositivo desconoce la dirección MAC de destino de un paquete (es decir, la dirección MAC de destino del paquete no tiene una entrada en la tabla de reenvío), el dispositivo duplica el paquete y lo inunda en todas las interfaces de la VLAN que no sean la interfaz a la que llegó el paquete. Esto se conoce como inundación de paquetes y es el comportamiento predeterminado del dispositivo para determinar la interfaz de salida para una dirección MAC de destino desconocida. La inundación de paquetes se realiza en dos niveles: los paquetes se inundan a diferentes zonas según lo permitan las políticas de seguridad de capa 2 configuradas, y los paquetes también se inundan a diferentes interfaces con el mismo identificador de VLAN dentro de la misma zona. El dispositivo aprende la interfaz de reenvío para la dirección MAC cuando una respuesta con esa dirección MAC llega a una de sus interfaces.

Puede especificar que el firewall de la serie SRX utilice consultas ARP y solicitudes traceroute (que son solicitudes de eco ICMP con los valores de tiempo de vida establecidos en 1) en lugar de inundación de paquetes para localizar una dirección MAC de destino desconocida. Este método se considera más seguro que la inundación de paquetes, ya que el dispositivo inunda las consultas ARP y los paquetes traceroute, no el paquete inicial, en todas las interfaces. Cuando se utiliza ARP o inundación de traceroute, se descarta el paquete original. El dispositivo difunde una consulta ARP o ICMP a todos los demás dispositivos de la misma subred, solicitando al dispositivo en la dirección IP de destino especificada que envíe una respuesta. Solo responde el dispositivo con la dirección IP especificada, lo que proporciona al solicitante la dirección MAC del respondedor.

ARP permite que el dispositivo detecte la dirección MAC de destino de un paquete de unidifusión si la dirección IP de destino se encuentra en la misma subred que la dirección IP de entrada. (La dirección IP de entrada hace referencia a la dirección IP del último dispositivo que envió el paquete al dispositivo. El dispositivo puede ser el origen que envió el paquete o un enrutador que reenvía el paquete). Traceroute permite que el dispositivo descubra la dirección MAC de destino incluso si la dirección IP de destino pertenece a un dispositivo en una subred más allá de la dirección IP de entrada.

Cuando se habilitan las consultas ARP para localizar una dirección MAC de destino desconocida, también se habilitan las solicitudes traceroute. También puede especificar opcionalmente que no se utilicen solicitudes traceroute; sin embargo, el dispositivo puede detectar direcciones MAC de destino para paquetes de unidifusión solo si la dirección IP de destino se encuentra en la misma subred que la dirección IP de entrada.

Ya sea que habilite consultas ARP y solicitudes traceroute o consultas solo ARP para localizar direcciones MAC de destino desconocidas, el firewall de la serie SRX realiza la siguiente serie de acciones:

1. El dispositivo anota la dirección MAC de destino en el paquete inicial. El dispositivo agrega la dirección MAC de origen y su interfaz correspondiente a su tabla de reenvío, si aún no están allí.

2. El dispositivo descarta el paquete inicial.

3. El dispositivo genera un paquete de consulta ARP y, opcionalmente, un paquete traceroute e inunda esos paquetes en todas las interfaces excepto en la interfaz a la que llegó el paquete inicial.

   Los paquetes ARP se envían con los siguientes valores de campo:

   • Dirección IP de origen establecida en la dirección IP del IRB

   • Dirección IP de destino establecida en la dirección IP de destino del paquete original

   • Dirección MAC de origen establecida en la dirección MAC del IRB

   • Dirección MAC de destino establecida en la dirección MAC de difusión (all 0xf)

   Los paquetes Traceroute (solicitud de eco ICMP o ping) se envían con los siguientes valores de campo:

   • Dirección IP de origen establecida en la dirección IP del paquete original

   • Dirección IP de destino establecida en la dirección IP de destino del paquete original

   • Dirección MAC de origen establecida en la dirección MAC de origen del paquete original

   • Dirección MAC de destino establecida en la dirección MAC de destino del paquete original

   • Tiempo de vida (TTL) establecido en 1

4. Al combinar la dirección MAC de destino del paquete inicial con la interfaz que conduce a esa dirección MAC, el dispositivo agrega una nueva entrada a su tabla de reenvío.

5. El dispositivo reenvía todos los paquetes posteriores que recibe para la dirección MAC de destino desde la interfaz correcta hasta el destino.

Ventajas de las tablas de reenvío unificadas

Tradicionalmente, las tablas de reenvío se han definido estáticamente y solo han admitido un número fijo de entradas para cada tipo de dirección. La tabla de reenvío unificado (UFT) ofrece las siguientes ventajas:

• Permite asignar recursos de tabla de reenvío para optimizar la memoria disponible para distintos tipos de direcciones en función de las necesidades de su red.

• Permite asignar un mayor porcentaje de memoria para un tipo de dirección u otro.

Uso de la tabla de reenvío unificado para optimizar el almacenamiento de direcciones

En los conmutadores EX4400, EX4600, EX4650, QFX5100, QFX5110, QFX5120 y QFX5200, puede controlar la asignación de la memoria de tabla de reenvío disponible para almacenar lo siguiente:

• Direcciones MAC: en un entorno de capa 2, el conmutador aprende nuevas direcciones MAC y las almacena en una tabla de direcciones MAC.

• Entradas de host de capa 3: en un entorno de capa 2 y capa 3, el conmutador aprende qué direcciones IP están asignadas a qué direcciones MAC; estos pares clave-valor se almacenan en la tabla host de capa 3.

• Entradas de tabla de coincidencia de prefijo más largas (LPM): en un entorno de capa 3, el conmutador tiene una tabla de enrutamiento y la ruta más específica tiene una entrada en la tabla de reenvío para asociar un prefijo o máscara de red a un salto siguiente. Tenga en cuenta, sin embargo, que todos los prefijos IPv4 /32 e IPv6 /128 se almacenan en la tabla de host de capa 3.

UFT combina esencialmente las tres tablas de reenvío distintas para crear una tabla con asignación de recursos flexible. Puede seleccionar uno de los cinco perfiles de tabla de reenvío que mejor se adapte a sus necesidades de red. Cada perfil está configurado con diferentes valores máximos para cada tipo de dirección. Por ejemplo, para un conmutador que maneja una gran cantidad de tráfico de capa 2, como una red virtualizada con muchos servidores y máquinas virtualizadas, es probable que elija un perfil que asigne un mayor porcentaje de memoria a las direcciones MAC. Para un conmutador que funciona en el núcleo de una red que participa en una estructura IP, es probable que desee maximizar el número de entradas de tabla de enrutamiento que puede almacenar. En este caso, elegiría un perfil que asigne un mayor porcentaje de memoria a los prefijos de coincidencia más largos. El conmutador QFX5200 admite un perfil personalizado que le permite particionar los cuatro bancos de memoria compartida disponibles con un total de 128.000 entradas entre direcciones MAC, direcciones de host de capa 3 y prefijos LPM.

Descripción de la asignación de direcciones MAC y direcciones de host

Los cinco perfiles son compatibles, cada uno de los cuales asigna diferentes cantidades de memoria para las entradas de capa 2 o capa 3, lo que le permite elegir el que mejor se adapte a las necesidades de su red. Sin embargo, los conmutadores QFX5200 y QFX5210 admiten valores máximos diferentes para cada perfil de los otros conmutadores. Para obtener más información acerca del perfil personalizado, consulte Configuración de la tabla de reenvío unificado en conmutadores.

Tabla 1 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla de hosts en los conmutadores EX4400.

Tabla 2 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla de hosts en conmutadores EX4600 y QFX5100.

Tabla 3 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla host en QFX5110 conmutadores.

Tabla 4 enumera las variaciones de tamaño de tabla LPM para el conmutador QFX5110 en función de las entradas de prefijo.

Tabla 5 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla host en los conmutadores QFX5200-32C.

Tabla 6 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla host en conmutadores QFX5200-48Y.

Tabla 7 enumera las variaciones de tamaño de la tabla LPM para el conmutador QFX5200-48Y en función de las entradas del prefijo.

Tabla 8 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y de la tabla host en los conmutadores QFX5210-64C.

Tabla 9 enumera los perfiles que puede elegir y los valores máximos asociados para las entradas de la dirección MAC y la tabla de hosts en conmutadores EX4650 y QFX5120.

Tabla 10 enumera las variaciones de tamaño de la tabla LPM para el conmutador QFX5210-64C en función de las entradas del prefijo.

Tabla 11 enumera las variaciones de tamaño de tabla Defip de capa 3 para los conmutadores EX4650 y QFX5120 en función de las entradas de prefijo IPv6/128 cambiantes.

Perfiles de tabla de reenvío unificada en conmutadores QFX5130 y QFX5700 para las versiones de Junos OS Evolved

Puede configurar un perfil de reenvío para la tabla de reenvío unificado en conmutadores QFX5130 y QFX5700 mediante la instrucción configuration forwarding-profile en el nivel de jerarquía [edit system packet-forwarding-options] para Junos OS Evolved.

Puede ver la escala por perfil mediante el show pfe uft-profile-info comando.

Descripción de la memoria direccionable de contenido ternario (TCAM) y las entradas de coincidencia de prefijo más largas

Puede personalizar aún más los perfiles que no son LPM configurando el espacio disponible para la memoria direccionable de contenido ternario (TCAM) a fin de asignar más memoria para las entradas de coincidencia de prefijo más largas. Puede cambiar el número de entradas asignadas a estas direcciones IPv6, asignando esencialmente más o menos espacio para entradas LPM IPv4 con cualquier longitud de prefijo o entradas IPv6 con longitudes de prefijo de 64 o más cortas. Para obtener más información acerca de cómo cambiar los parámetros predeterminados del espacio de memoria TCAM para entradas LPM, consulte Configuración de la tabla de reenvío unificado en conmutadores.

Ejemplo de tabla de host para perfil con tráfico pesado de capa 2

Tabla 13 enumera varias combinaciones válidas que la tabla host puede almacenar si utiliza el l2-profile-one perfil en conmutadores EX4600 y QFX5100. Este perfil asigna el porcentaje de memoria a las direcciones de capa 2. Tenga en cuenta que los valores predeterminados pueden ser diferentes en otros conmutadores. Cada fila de la tabla representa un caso en el que la tabla host está llena y no puede dar cabida a más entradas.