Configuración de la creación de reflejo de puertos en interfaces lógicas

En este tema se describe la siguiente información:

• Descripción general de los filtros de firewall de duplicación de puertos de capa 2
• Creación de reflejo de paquetes recibidos o enviados en una interfaz lógica
• Duplicación de paquetes reenviados o inundados a una VLAN
• Creación de reflejo de paquetes reenviados o inundados a una instancia de enrutamiento VPLS

Para un enrutador o conmutador configurado como dispositivo perimetral de proveedor (PE) en el borde orientado al cliente de una red de proveedor de servicios, puede aplicar un filtro de firewall de duplicación de puerto de capa 2 en los siguientes puntos de entrada y salida para reflejar el tráfico entre el enrutador o conmutador y los dispositivos perimetrales del cliente (CE), que normalmente también son enrutadores y conmutadores Ethernet.

Tabla 1 describe las formas en que puede aplicar filtros de firewall de duplicación de puertos de capa 2 a un enrutador o conmutador configurado como dispositivo PE.

Una interfaz Ethernet agregada es un vínculo agregado virtual que consta de un conjunto de interfaces físicas de la misma velocidad y que funcionan en modo de conexión de vínculo dúplex completo. Puede configurar interfaces Ethernet agregadas entre dispositivos CE y dispositivos PE para instancias de enrutamiento VPLS. El tráfico tiene un equilibrio de carga en todos los vínculos de la interfaz agregada. Si se produce un error en uno o más vínculos de la interfaz agregada, el tráfico se cambia a los vínculos restantes.

Puede aplicar un filtro de firewall de duplicación de puertos de capa 2 a una interfaz Ethernet agregada para configurar la duplicación de puertos en la interfaz principal. Sin embargo, si alguna interfaz secundaria está enlazada a diferentes instancias de duplicación de puertos de capa 2, los paquetes recibidos en las interfaces secundarias se reflejarán en los destinos especificados por sus respectivas instancias de duplicación de puertos. Por lo tanto, varias interfaces secundarias pueden reflejar paquetes a múltiples destinos.

Por ejemplo, supongamos que la instancia ae0 de interfaz Ethernet agregada principal tiene dos interfaces secundarias:

• xe-2/0/0

• xe-3/1/2

Supongamos que estas interfaces secundarias en ae0 están enlazadas a dos instancias diferentes de duplicación de puertos de capa 2:

• pm_instance_A: una instancia con nombre de duplicación de puertos de capa 2, enlazada a la interfaz xe-2/0/0secundaria.

• pm_instance_B: una instancia con nombre de duplicación de puertos de capa 2, enlazada a la interfaz xe-3/1/2secundaria.

Ahora supongamos que aplica un filtro de firewall de duplicación de puertos de capa 2 al tráfico de capa 2 enviado ( ae0.0 unidad 0 lógica en la instancia 0de interfaz Ethernet agregada). Esto habilita la creación de reflejo de puertos en ae0.0, lo que tiene el siguiente efecto en el procesamiento del tráfico recibido en las interfaces secundarias para las que se especifican propiedades de duplicación de puertos de capa 2:

• Los paquetes recibidos se reflejan en xe-2/0/0 las interfaces de salida configuradas en la instancia pm_instance_Ade duplicación de puertos.

• Los paquetes recibidos se reflejan en xe-3/1/2.0 las interfaces de salida configuradas en la instancia pm_instance_Bde duplicación de puertos.

Dado que pm_instance_A y pm_instance_B puede especificar diferentes propiedades de selección de paquetes o propiedades de destino reflejado, los paquetes recibidos en xe-2/0/0 y xe-3/1/2.0 pueden reflejar diferentes paquetes a diferentes destinos.

Los pasos siguientes describen un ejemplo en el que se utilizan la instancia global de duplicación de puertos y un filtro de firewall de duplicación de puertos para configurar la creación de reflejo de puertos de capa 2 para la entrada a una interfaz lógica.

1. Configure la VLAN example-bd-with-analyzer, que contiene el analizador de paquetes externo, y la VLAN example-bd-with-traffic, que contiene el origen y el destino del tráfico de capa 2 que se está reflejando:

   content_copy zoom_out_map

   [edit]
   bridge-domains {
       example-bd-with-analyzer { # Contains an external traffic analyzer
           vlan-id 1000;
           interface ge-2/0/0.0; # External analyzer
       }
       example-bd-with-traffic { # Contains traffic input and output interfaces
           vlan-id 1000;
           interface ge-2/0/6.0; # Traffic input port 
           interface ge-3/0/1.2; # Traffic output port
       }
   }
   

   Suponga que la interfaz ge-2/0/0.0 lógica está asociada con un analizador de tráfico externo que va a recibir paquetes duplicados de puerto. Supongamos que las interfaces ge-2/0/6.0 lógicas y ge-3/0/1.2 serán puertos de entrada y salida de tráfico, respectivamente.

2. Configure la duplicación de puertos de capa 2 para la instancia global, siendo el destino de la duplicación de puertos la interfaz VLAN asociada con el analizador externo (interfaz ge-2/0/0.0 lógica en VLAN example-bd-with-analyzer). Asegúrese de habilitar la opción que permite aplicar filtros a este destino de duplicación de puertos:

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 10;	
               run-length 5; 
           }
           family ethernet-switching {
               output {
                   interface ge-2/0/0.0; # Mirror packets to the external analyzer
                   no-filter-check; # Allow filters on the mirror destination interface 
               }
           }
       }
   }
   

   La input instrucción en el nivel de jerarquía especifica que el [edit forwarding-options port-mirroring] muestreo comienza cada décimo paquete y que cada uno de los primeros cinco paquetes seleccionados debe reflejarse.

   La output instrucción en el nivel de [edit forwarding-options port-mirroring family ethernet-switching] jerarquía especifica la interfaz de reflejo de salida para los paquetes de capa 2 en un entorno de puente:

   • La interfaz ge-2/0/0.0lógica , que está asociada con el analizador de paquetes externo, se configura como el destino de duplicación de puertos.

   • La instrucción opcional no-filter-check permite configurar filtros en esta interfaz de destino.

3. Configure el filtro example-bridge-pm-filterde firewall de duplicación de puerto de capa 2:

   content_copy zoom_out_map

   [edit]
   firewall {
       family ethernet-switching {
           filter example-bridge-pm-filter {
               term example-filter-terms {
                   then {
                       accept; 
                       port-mirror;
                   }
               }
           }
       }
   }
   

   Cuando este filtro de firewall se aplica a la entrada o salida de una interfaz lógica para el tráfico en un entorno de puente, la creación de reflejo del puerto de capa 2 se realiza de acuerdo con las propiedades de muestreo de paquetes de entrada y las propiedades de destino de reflejo configuradas para la instancia global de creación de reflejo de puerto de capa 2. Dado que este filtro de firewall está configurado con la única acción acceptde filtro predeterminada, todos los paquetes seleccionados por las input propiedades (rate = 10 y run-length = 5) coinciden con este filtro.

4. Configure las interfaces lógicas:

   content_copy zoom_out_map

   [edit]
   interfaces {
       ge-2/0/0 { # Define the interface to the external analyzer 
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
       ge-2/0/6 { # Define the traffic input port
           flexible-vlan-tagging;
           encapsulation extended-vlan-bridge; 
           unit 0 {
               vlan-id 100;
               family ethernet-switching {
                   filter {
                       input example-bridge-pm-filter; # Apply the port-mirroring firewall filter
                   }
               }
           }
       }
       ge-3/0/1 { # Define the traffic output port 
           flexible-vlan-tagging;
           encapsulation extended-vlan-bridge;
           unit 2 {
               vlan-tags outer 10 inner 20;
               family ethernet-switching;
           }
       }
   }
   

   Los paquetes recibidos en la interfaz ge-2/0/6.0 lógica en VLAN example-bd-with-traffic se evalúan mediante el filtro example-bridge-pm-filterde firewall de duplicación de puertos. El filtro de firewall actúa sobre el tráfico de entrada de acuerdo con las acciones de filtro configuradas en el propio filtro de firewall, más las propiedades de muestreo de paquetes de entrada y las propiedades de destino de reflejo configuradas en la instancia global de creación de reflejo de puertos:

   • Todos los paquetes recibidos en ge-2/0/6.0 se reenvían a su (supuesto) destino normal en la interfaz ge-3/0/1.2lógica.

   • Por cada diez paquetes de entrada, se reenvían copias de los primeros cinco paquetes de esa selección al analizador externo en la interfaz ge-0/0/0.0 lógica de la otra VLAN, example-bd-with-analyzer.

   Si configura el filtro example-bridge-pm-filter de firewall de duplicación de puertos para que realice la discard acción en lugar de la accept acción, todos los paquetes originales se descartan, mientras que las copias de los paquetes seleccionados mediante las propiedades globales de duplicación input de puertos se envían al analizador externo.

El siguiente ejemplo no es una configuración completa, pero muestra todos los pasos necesarios para configurar la duplicación de puertos en una L2VPN mediante family ccc.

1. Configure la VLAN port-mirror-bd, que contiene el analizador de paquetes externo:

   content_copy zoom_out_map

   [edit]
   vlans {
       port-mirror-vlan { # Contains an external traffic analyzer
           interface ge-2/2/9.0; # External analyzer
       }
   }
   

2. Configure la CCC VPN de capa 2 para conectar la interfaz ge-2/0/1.0 lógica y la interfaz ge-2/0/1.1lógica:

   content_copy zoom_out_map

   [edit]
   protocols {
       mpls {
           interface all;
       }
       connections {
           interface-switch if_switch {
               interface ge-2/0/1.0;
               interface ge-2/0/1.1;
           }
       }
   }
   

3. Configure la duplicación de puertos de capa 2 para la instancia global, siendo el destino de la duplicación de puertos la interfaz VLAN asociada con el analizador externo (interfaz ge-2/2/9.0 lógica en VLAN example-bd-with-analyzer):

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 1;	
               maximum-packet-length 200; 
           }
           family ccc {
               output {
                   interface ge-2/2/9.0; # Mirror packets to the external analyzer
               }
           }
           instance {
               inst1 {
                   input {
                       rate 1;	
                       maximum-packet-length 300; 
                   }
                   family ccc {
                       output {
                           interface ge-2/2/9.0;
                       }
                   {
               }
           }
       }
   }
   

4. Defina el filtro pm_filter_ccc de firewall de duplicación de puertos de capa 2 para family ccc:

   content_copy zoom_out_map

   [edit]
   firewall {
       family ccc {
           filter pm_filter_ccc {
               term pm {
                   then port-mirror;
               }
           }
       }
   }
   

5. Aplique la instancia de réplica de puerto al chasis:

   content_copy zoom_out_map

   [edit]
   chassis {
       fpc 2 {
           port-mirror-instance inst1;
       }
   }
   

6. Configure la interfaz ge-2/2/9 para las VLAN y configure la interfaz ge-2/0/1 para la creación de reflejo de puertos con el filtro de pm_filter_ccc firewall:

   content_copy zoom_out_map

   [edit]
   interfaces {
       ge-2/2/9 {
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
       ge-2/0/1 {
           vlan-tagging;
           encapsulation extended-vlan-ccc;
           unit 0 {
               vlan-id 10;
               family ccc {
                   filter {
                       input pm_filter_ccc;
                   }
               }
           }
           unit 1 {
               vlan-id 20;
               family ccc {
                   filter {
                       output pm_filter_ccc;
                   }
               }
           }
       }
   }
   

El siguiente ejemplo no es una configuración completa, pero muestra todos los pasos necesarios para configurar la duplicación de puertos en una L2VPN mediante family ccc vínculos Ethernet agregados.

1. Configure la VLAN port_mirror_bd, que contiene el analizador de paquetes externo:

   content_copy zoom_out_map

   [edit]
   vlans {
       port_mirror_vlan { # Contains an external traffic analyzer
           interface ge-2/2/8.0; # External analyzer
       }
   }
   

2. Configure la CCC VPN de capa 2 para conectar la interfaz ae0.0 y la interfaz ae0.1:

   content_copy zoom_out_map

   [edit]
   protocols {
       mpls {
           interface all;
       }
       connections {
           interface-switch if_switch {
               interface ae0.0;
               interface ae0.1;
           }
       }
   }
   

3. Configure la duplicación de puertos de capa 2 para la instancia global, siendo el destino de la duplicación de puertos la interfaz VLAN asociada con el analizador externo (interfaz ge-2/2/9.0 lógica en VLAN example_bd_with_analyzer):

   content_copy zoom_out_map

   [edit]
   forwarding-options {
       port-mirroring {
           input {
               rate 1;	
               maximum-packet-length 200; 
           }
           family ccc {
               output {
                   interface ge-2/2/8.0; # Mirror packets to the external analyzer
               }
           }
           instance {
               pm_instance_1 {
                   input {
                       rate 1;	
                       maximum-packet-length 300; 
                   }
                   family ccc {
                       output {
                           interface ge-2/2/8.0;
                       }
                   {
               }
           }
       }
   }
   

4. Configure el filtro pm_ccc de firewall para family ccc:

   content_copy zoom_out_map

   [edit]
   firewall {
       family ccc {
           filter pm_ccc {
               term pm {
                   then port-mirror;
               }
           }
       }
   }
   

5. Aplique las interfaces Ethernet agregadas y la instancia de espejo de puerto al chasis:

   content_copy zoom_out_map

   [edit]
   chassis {
       aggregated-devices {
           ethernet {
               device-count 10;
           }
       }
       fpc 2 {
           port-mirror-instance pm_instance_1;
       }
   }
   

6. Configure las interfaces ae0 y ge-2/0/2 (para Ethernet agregada) y ge-2/2/8 (para la duplicación de puertos) con el pm_ccc filtro:

   content_copy zoom_out_map

   [edit]
   interfaces {
       ae0 {
           vlan-tagging;
           encapsulation extended-vlan-ccc;
           unit 0 {
               vlan-id 10;
               family ccc {
                   filter {
                       input pm_ccc;
                   }
               }
           }
           unit 1 {
               vlan-id 20;
               family ccc {
                   filter {
                       output pm_ccc;
                   }
               }
           }
       }
       ge-2/0/2 {
           gigether-options {
               802.3ad ae0;
           }
       }
       ge-2/2/8 {
           encapsulation ethernet-bridge;
           unit 0 {
               family ethernet-switching;
           }
       }
   }