AUF DIESER SEITE
 

Konfiguration der Inline Monitoring Services

Grundlegendes zu Inline-Überwachungsdiensten

Vorteile von Inline-Überwachungsdiensten

Flexibel: Inline-Überwachungsservices ermöglichen die Zuordnung verschiedener Inline-Überwachungsinstanzen zu unterschiedlichen Firewall-Filtertermen, im Gegensatz zu herkömmlichen Sampling-Technologien, bei denen alle Instanzen dem Flexible PIC Concentrator (FPC) zugeordnet werden. Dies bietet Ihnen die Flexibilität, verschiedene Datenverkehrsströme mit unterschiedlichen Raten auf einer einzigen Schnittstelle abzutasten.

Paketformatunabhängig: Herkömmliche Technologien zur Erfassung von Datenströmen basieren auf der Analyse und Aggregation von Paketen durch das Netzwerkelement. Bei Inline-Überwachungsdiensten wird der Paket-Header zur weiteren Verarbeitung an den Collector exportiert, jedoch ohne Aggregation. Dadurch haben Sie den Vorteil, dass Sie beliebige Paketfelder verwenden können, um die überwachten Pakete am Kollektor zu verarbeiten.

Übersicht über die Funktionen von Inline Monitoring Services

Service Provider und Content Provider benötigen in der Regel Einblick in die Datenverkehrsströme, um Peering-Vereinbarungen zu bewerten, Datenverkehrsanomalien und Richtlinienverstöße zu erkennen und die Netzwerkleistung zu überwachen. Um diese Anforderungen zu erfüllen, würden Sie traditionell aggregierte Flussstatistikinformationen mithilfe von Inline-Varianten der aktiven Flussüberwachung oder IPFIX-Varianten exportieren.

Alternativ können Sie den Paketinhalt abtasten, Metadateninformationen hinzufügen und die überwachten Pakete an einen Collector exportieren. Die Inline-Überwachungsservices ermöglichen Ihnen dies auf Routern der MX-Serie und auf PTX-Routern, auf denen Junos OS Evolved ausgeführt wird.

Mit Inline-Überwachungsdiensten können Sie jedes IPv4- und IPv6-Paket sowohl in Eingangs- als auch in Ausgangsrichtung einer Schnittstelle überwachen. Ab Junos OS Version 26.2R1 können Sie für den MX304-Router entweder das IPFIX- oder das sFlow-Exportformat Version 5 (RFC 3176) wählen. IPFIX ist das Standardexportformat. Das IPFIX-Exportformat unterstützt alle Datenverkehrsfamilien. Das sFlow-Exportformat Version 5 unterstützt nur family inet und family inet6.

Eine Inline Monitoring Services-Instanz kann entweder die IPFIX-Exportversion oder die sFlow-Exportversion Version 5 unterstützen. Eine Inline Monitoring Services-Instanz kann nicht beide Versionen unterstützen. Es wird auch nicht empfohlen, auf einer Instanz zwischen den Exportformaten zu wechseln. Sie sollten für jedes Exportformat eine andere Instanz konfigurieren.

Sie konfigurieren Vorlagen nur für das IPFIX-Exportformat. Sie können eine Vorlage nicht konfigurieren, wenn die sflow-v5 Exportformatanweisung für die Inline Monitoring Services-Instanz konfiguriert ist.

Weitere Informationen zum sFlow-Standard finden Sie unter RFC3176. Weitere Informationen zum sFlow-Format Version 5 finden Sie unter sFlow Version 5.

Übersicht über das IPFIX-Exportformat für Inline-Überwachungsdienste

Mit Inline-Überwachungsdiensten können Sie jedes IPv4- und IPv6-Paket sowohl in Eingangs- als auch in Ausgangsrichtung einer Schnittstelle überwachen. Die Software kapselt den überwachten Datenverkehr in ein IPFIX-Format ein und exportiert das tatsächliche Paket bis zur konfigurierten Cliplänge zur weiteren Verarbeitung in einen Collector. Standardmäßig unterstützt Junos OS eine maximale Cliplänge von 126 Byte ab dem Ethernet-Header und Junos OS Evolved eine maximale Cliplänge von 256 Byte ab dem Ethernet-Header.

Abbildung 1 veranschaulicht die IPFIX-Formatspezifikation.

Abbildung 1: IPFIX-Spezifikation Table of IPFIX Information Elements: ID, Length, Description, and Details. Includes ingressInterface, egressInterface, flowDirection, dataLinkFrameSize, and dataLinkFrameSelection. Describes network data structure with protocol layers like Ethernet and IP. für die Inline-Überwachung

Der IPFIX-Header und die IPFIX-Nutzlast werden mithilfe der IP- oder UDP-Transportschicht gekapselt. Das exportierte IPFIX-Format enthält zwei Datensätze und zwei Datenvorlagen, die in jeden Collector exportiert werden:

  • Datensatz: Enthält die eingehende und ausgehende Schnittstelle, die Fließrichtung, den Abschnitt des Datenverknüpfungsrahmens und die Größe des Datenverknüpfungsrahmens. Diese Informationen werden nur dann an den Collector gesendet, wenn Stichprobenpakete exportiert werden.

    Abbildung 2 ist eine Beispielillustration eines IPFIX-Datensatzpakets.

  • Optionsdatensatz – Enthält Informationen auf Systemebene, wie z. B. das Exportieren der Prozess-ID und das Samplingintervall. Diese Informationen werden regelmäßig an den Sammler gesendet, unabhängig davon, ob keine Probenahmepakete exportiert werden.

    Abbildung 3 ist eine Beispielillustration des Datensatzpakets für die IPFIX-Option.

    Tabelle 1: Informationselementfelder im IPFIX-Optionsdatenpaket

    Anzahl

    Informationselement-ID

    Länge des Informationselements

    Einzelheiten

    1

    144

    4B

    Beobachtungsdomänen-ID: Eine eindeutige Kennung des Exportprozesses pro IPFIX-Gerät. Der Zweck dieses Feldes besteht darin, den Umfang anderer Informationselementfelder einzuschränken.

    2

    34

    4B

    Sampling-Intervall, in dem die Pakete abgetastet werden. 1000 gibt an, dass eines von 1000 Paketen abgetastet wird.

  • Datenvorlage: Enthält fünf Informationselemente:

    • Eingangsschnittstelle

    • Ausgangsschnittstelle

    • Fließrichtung

    • Größe des Datenlink-Frames

    • Auswahl des variablen Datalink-Frames

    Abbildung 4 ist eine Beispielillustration eines IPFIX-Datenvorlagenpakets.

  • Optionsdatenvorlage: Enthält Flow-Exporter- und Sampling-Intervallinformationen.

    Abbildung 5 ist eine Beispielillustration des IPFIX-Optionsdatenvorlagenpakets.

Bei einer neuen oder geänderten Konfiguration der Inline-Überwachungsservices wird der regelmäßige Export der Datenvorlage und der Optionsdatenvorlage sofort an die entsprechenden Kollektoren gesendet.

Abbildung 2: IPFIX-Datensatz IPFIX Data Record
Abbildung 3: Datensatz Screenshot of a decoded network packet showing IPFIX version 10, length 28 bytes, timestamp Feb 28, 2019, flow sequence 11, observation domain ID 1342242816, flow set ID 2600, flow set length 12 bytes, template frame 1, flow exporter 1, and sampling interval 1. der IPFIX-Option
Abbildung 4: IPFIX-Datenvorlage Network flow data template showing IPFIX version 10. Timestamp: Feb 28, 2019. FlowSequence: 474. Observation Domain ID: 1342242816. Set ID: 2. Template ID: 2000. Field Count: 5. Fields include INPUT_SNMP, OUTPUT_SNMP, DIRECTION, dataLinkFrameSize, dataLinkFrameSection. Used for network monitoring and traffic analysis.
Abbildung 5: IPFIX-Optionsdatenvorlage IPFIX message with version 10, length 36 bytes, timestamp Feb 28, 2019, 14:21:10 IST, FlowSequence 11, Observation Domain ID 1342242816. Set includes FlowSet ID for Options Template, Template ID 2600 with fields FLOW_EXPORTER and SAMPLING_INTERVAL. Used for network monitoring and analysis.

Inline Monitoring Services sFlow Version 5 Exportformat – Übersicht

Mit Inline-Überwachungsdiensten (IMON) können Sie jedes IPv4- und IPv6-Paket sowohl in Eingangs- als auch in Ausgangsrichtung einer Schnittstelle überwachen. Die Software kapselt den überwachten Datenverkehr in einem sFlow-Version-5-Format ein und exportiert das tatsächliche Paket bis zur konfigurierten Cliplänge zur weiteren Verarbeitung in einen IPv4-adressierbaren Collector. Standardmäßig unterstützt Junos OS eine maximale Cliplänge von 126 Byte, beginnend mit dem Ethernet-Header.

Für dieses Exportformat können Sie bis zu 4 Kollektoren unter jeder IMON-Instanz haben. Da das Exportformat auf Instanzebene und nicht auf Collectorebene konfiguriert wird, gilt das Exportformat für alle Collectors unter dieser Instance. Sie können den Datenverkehr auf nur einer logischen Schnittstelle pro physischer Schnittstelle abtasten. Der gesamte Datenverkehr unter dieser logischen Schnittstelle wird abgetastet. Sie können das sFlow-Datagramm über ein nicht standardmäßiges VRF exportieren.

Der sFlow-Header und die Nutzlast der sFlow-Version 5 werden über die IP- oder UDP-Transportschicht gekapselt. Dieses sFlow-Datagramm Version 5 enthält:

  • IPv4-Datagramm-Header

  • UDP-Datagramm-Header

  • Beispiel für einen Datagramm-Header für Version 5

  • Flow-Beispiel-Header

  • Unformatierter Paket-Header

Der IPv4-Datagramm-Header enthält die folgenden Felder:

Tabelle 2: IPv4-Datagramm-Header
Feld Beschreibung

ipv4.version

4

ipv4.header_length

20

ipv4.tos

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name dscpCLI .

ipv4.total_length

Von der Software berechnet.

ipv4.identification

Zufällig generierter Wert mit LFSR.

ipv4.flags

Immer 0.

ipv4.fragment_offset

Immer 0.

ipv4.ttl

250

ipv4.protocol

UDP

ipv4.header_checksum

Von der Software berechnet.

ipv4.source_address

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name source-address addressCLI .

ipv4.destination_address

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name destination-address addressCLI .

Das UDP-Datagramm enthält die folgenden Felder:

Tabelle 3: UDP-Datagramm-Header
Feld Beschreibung

udp.source_port

50151

udp.destination_port

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name destination-port port-numberCLI .

udp.length

Von der Software berechnet.

udp.checksum

Immer 0.

Sie können die Informationen in diesen Datagrammen am Collector anzeigen, siehe Abbildung 6 für eine Beispielerfassung.

Abbildung 6: Beispiel für ein IP/UDP-Datagramm Sample sFlow version 5 IP/UDP Datagram von sFlow Version 5

Felder in der sample_datagram_v5 Kopfzeile des exportierten Datagramms sind in Tabelle 4 dargestellt. Dieser Header ist in der in Abbildung 9 dargestellten Beispielerfassung gekennzeichnetInMon sFlow.

Tabelle 4: Beispiel-Datagramm-Version 5-Header
Feld Beschreibung

sample_datagram_v5.version

5

sample_datagram_v5.agent_type

1 – zeigt IPv4 an.

sample_datagram_v5.agent_address

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name source-address addressCLI .

sample_datagram_v5.sub_agent_id

Generiert mit dem Inline Monitoring Services-Instanzindex, dem Collector-Index, der FPC-Steckplatznummer und der Packet Forwarding Engine-Instanz, wie in Abbildung 7 dargestellt.

sample_datagram_v5.sequence_number

Eine inkrementelle Sequenznummer, die für jedes Datagramm um 1 erhöht wird. Diese Nummer ist pro SubAgentId eindeutig.

sample_datagram_v5.uptime

Zeit in Millisekunden seit dem letzten Start des Geräts.

sample_datagram_v5.num_samples

 Immer 1. Jedes abgetastete Paket löst ein sFlow-Datagramm an den Collector aus.
Abbildung 7: Sub-Agent-ID-Format Sub-agent ID Format

Die Felder des Flow Sample-Headers des exportierten Datagramms sind in Tabelle 5 dargestellt. Dieser Header ist in der in Abbildung 9 dargestellten Beispielerfassung gekennzeichnetFlow Sample.

Tabelle 5: Flow-Beispiel-Header
Feld Beschreibung

flow_sample.type

Wert 1 gibt flow_sample an.

flow_sample.length

Berechnet nach dem sFlow-Standard.

flow_sample.sequence_number

Inkrementelle Sequenznummer. Erhöht um 1 für jede von dieser Quell-ID generierte Flussstichprobe. Wird auf Kollektorebene verwaltet.

flow_sample.source_id

Generiert mit dem Instanzindex und dem Collectorindex der Inlineüberwachungsdienste, wie in Abbildung 8 dargestellt.

flow_sample.sampling_rate

Konfiguriert mit dem Befehl set services inline-monitoring instance name collector name sampling-rateCLI .

flow_sample.sample_pool
Berechnet für jedes abgetastete Paket, wie in der folgenden Tabelle dargestellt:
Tabelle 5: Stichproben-Pool
Pkt Abtastrate sample_pool Wert

1. Platz

10

10

2. Platz

10

+= 10 = > 20

Platz 3

20

+= 20 = > 40

4. Platz

30

+= 30 = > 70

5. Platz

10

+= 10 = > 80

flow_sample.drops

Immer 0.

flow_sample.input_interface

SNMP-Index der Eingangsschnittstelle. Wenn es sich um eine aggregierte Ethernet-Schnittstelle handelt, wird der SNMP-Index der AE-Schnittstelle gemeldet.

Hinweis:

Der SNMP-Index gilt für die physische Schnittstelle, nicht für die logische Schnittstelle.

flow_sample.output_interface

Bei der Eingangsabtastung ist der Wert immer 0.

Für Egress Sampling der SNMP-Index der Ausgangsschnittstelle. Wenn es sich um eine aggregierte Ethernet-Schnittstelle handelt, wird der SNMP-Index der AE-Schnittstelle gemeldet.

Für ECMP sollte ein genauer physikalischer Schnittstellenindex gemeldet werden.

Hinweis:

Der SNMP-Index gilt für die physische Schnittstelle, nicht für die logische Schnittstelle.

flow_sample.flow_record_count

Immer 1, weil nur sampled_header berichtet wird. Es werden keine anderen Arten von Strukturen gemeldet.
Abbildung 8: Quell-ID-Format Source ID Format

Die Felder der sampled_header Kopfzeile des exportierten Datagramms sind in Tabelle 7 dargestellt. Dieser Header ist in der in Abbildung 9 dargestellten Beispielerfassung gekennzeichnetRaw Packet Header .

Tabelle 7: sampled_header Überschrift
Feld Beschreibung

data length

Berechnet nach dem sFlow-Standard.

sampled_header.protocol

Immer 1 gemäß dem sFlow-Standard. Wert 1 gibt Ethernet-Datenverkehr an.

sampled_header.frame_length

Ursprüngliche Länge des Pakets, beginnend mit dem Ethernet-Header

sampled_header.stripped

 Immer 4, da FCS entfernt und nicht als Teil des Stichprobenrahmens gemeldet wird

sampled_header.sampled_pkt_length

Größe des gemeldeten Stichprobenpakets, einschließlich der Größe des Ethernet-Headers

sampled_header.sampled_pkt

Bis zu 126 Byte des abgetasteten Pakets, beginnend mit dem Ethernet-Header mit mindestens 126 Byte oder der ursprünglichen Länge des Pakets. Das Melden von 126 Byte des abgetasteten Pakets reicht aus, um Informationen bis zu Layer 4 zu übertragen. Beispielsweise sind 110 Byte im Falle eines nicht getaggten VLAN oder eines einzelnen MPLSoUDP-Pakets mit MPLS-Label ausreichend.

Beispiel 1: Ethernet(18)+V4(20)+UDP(8)+MPLS(4)+InnerV4(20)+TCP(20) = 90 Byte

Beispiel 2: Ethernet(18)+V4(20)+UDP(8)+MPLS(4)+InnerV6(40)+TCP(20) = 110 Byte

Sie können die Informationen in diesen Kopfzeilen im Collector anzeigen, siehe Abbildung 9 für ein Beispiel.

Abbildung 9: Beispielerfassung des sFlow-Datagramms Sample Capture of sFlow Datagram

Konfigurationsübersicht für Inline Monitoring Services

Sie können maximal sechzehn (Junos OS) oder sieben (Junos OS Evolved) Inline-Überwachungsinstanzen konfigurieren, die vorlagen- und kollektorspezifische Konfigurationsparameter unterstützen. Jede Inline-Überwachungsinstanz unterstützt bis zu vier Kollektoren (maximal 64 Kollektoren insgesamt), und nur für Junos OS und IPFIX-Exportformate können Sie unter jeder Kollektorkonfiguration unterschiedliche Abtastraten angeben. Aufgrund dieser Flexibilität überwinden die Inline-Überwachungsdienste die Einschränkungen herkömmlicher Sampling-Technologien, wie z. B. aktive Inline-Datenstromüberwachung, sFlow und Portspiegelung.

So konfigurieren Sie die Inlineüberwachung:

  1. Sie müssen die inline-monitoring Anweisung auf Hierarchieebene [edit services] einschließen. Hier geben Sie die Parameter der Vorlagen- und Inline-Überwachungsinstanz an. Sie müssen die Kollektorparameter unter der Inline-Überwachungsinstanz angeben.

  2. Geben Sie beliebige Übereinstimmungsbedingungen mit einem Firewall-Filterbegriff und einer Aktion an, um die konfigurierte Inline-Überwachungsinstanz zu akzeptieren. Dadurch wird die Inline-Überwachungsinstanz dem Firewallbegriff zugeordnet.

  3. Ordnen Sie den Firewallfilter unter der Familie inet oder inet6 Anweisung zu, indem Sie die inline-monitoring-instance Anweisung auf der Hierarchieebene [Firewall-Filter name dann bearbeiten] verwenden. Ab Junos OS Version 21.1R1 und für das IPFIX-Exportformat können Sie den Firewall-Filter auch unter der Familie any, bridge, ccc, mpls, oder vpls den Anweisungen zuordnen. Für Junos OS Evolved werden die und-Familien bridge vplsnicht unterstützt, verwenden Sie stattdessen die ethernet-switch Familie. Junos OS Evolved unterstützt auch die anyFamilien , ccc, inetinet6, und mpls . Alternativ können Sie den Firewallfilter auch auf einen Filter für Weiterleitungstabellen mit einer Eingabe- oder Ausgabeanweisung anwenden, um eingehende bzw. ausgehende Pakete zu filtern.

Denken Sie daran:

  • Das Gerät muss eine maximale Paketlänge (Cliplänge) von 126 Byte (Junos OS) bzw. 256 Byte (Junos OS Evolved) unterstützen, um Inline-Überwachungsdienste zu aktivieren.

  • Sie können nicht mehr als 16 (Junos OS) bzw. 7 (Junos OS Evolved) Inline-Überwachungsinstanzen konfigurieren, da im Paket im Weiterleitungspfad nur wenige Bits verfügbar sind.

  • Wenden Sie Inlineüberwachungsdienste nur auf eine Kollektorschnittstelle an, d. h. auf die Schnittstelle, über die die Kollektor erreichbar ist. Sie dürfen keine Inlineüberwachung auf IPFIX-Datenverkehr anwenden, da dadurch ein weiteres IPFIX-Paket für die Abtastung erzeugt wird und dadurch eine Schleife entsteht. Dazu gehören die Inline-Überwachung des vom Service generierten Datenverkehrs, wie Vorlagen- und Datensatzpakete, Optionsvorlagen und Optionsdatensatzpakete für das IPFIX-Exportformat und Datagramme für das sFlow-Exportformat Version 5.

  • Wenn Inline-Überwachungsdienste auf aggregierten Ethernet-Schnittstellen (AE) aktiviert sind, lauten die Informationselementwerte für das IPFIX-Exportformat wie folgt:

    Tabelle 8: Informationselementwerte für aggregierte Ethernet-Schnittstellen

    Richtung des Inline-Überwachungsdienstes an der AE-Schnittstelle

    Informationselement-10 (Eingehende Schnittstelle)

    Informationselement-14 (Ausgehende Schnittstelle)

    Eingang

    SNMP-ID von AE

    0

    Ausgang

    SNMP-ID von AE

    SNMP-ID des Mitgliedslinks

  • Wenn Inline-Überwachungsdienste auf IRB-Schnittstellen aktiviert sind, lauten die Informationselementwerte für das IPFIX-Exportformat wie folgt:

    Tabelle 9: Informationselementwerte für IRB-Schnittstellen

    Richtung des Inline-Überwachungsdienstes auf der IRB-Schnittstelle

    Informationselement-10 (Eingehende Schnittstelle)

    Informationselement-14 (Ausgehende Schnittstelle)

    Eingang

    SNMP-ID von IRB

    0

    Ausgang

    SNMP-ID von IRB

    SNMP-ID der VLAN-Bridge-gekapselten Schnittstelle

  • (Nur IPFIX-Exportformat) Bei XL-XM-basierten Geräten (mit Lookup-Chip (XL) und Puffer-ASIC (XM)) kann die Länge des Informationselements "Data Link Frame Section" in einem exportierten Paket kürzer als die Cliplänge sein, selbst wenn die Länge des Ausgangspakets größer als die Cliplänge ist.

    Die Länge des Informationselements "Data Link Frame Section" wird um "N" Bytes reduziert, wobei "N" = (Layer-2-Kapselungslänge des Eingangspakets – Layer-2-Verkapselungslänge des Ausgangspakets).

    Beispielsweise ist die Layer-2-Verkapselungslänge für das Eingangspaket größer als die des Ausgangspakets, wenn das Eingangspaket MPLS-Labels hat und das Ausgangspaket vom IPv4- oder IPv6-Typ ist. Wenn der Datenverkehr vom Provider-Edge-Gerät (PE) zum Kunden-Edge-Gerät (CE) fließt, verfügt das Eingangspaket über VLAN-Tags und das Ausgangspaket ist nicht markiert.

    In solchen Fällen kann die Cliplänge über die letzte Adressposition des Paketkopfes hinausgehen und eine PKT_HEAD_SIZE Systemprotokollmeldung erzeugen. Dies kann zu einer Verschlechterung der Paketweiterleitung für das Gerät führen.

  • In Eingangsrichtung meldet das IPFIX egressInterface (Informationselement-ID 14) bzw. das sFlow-Feld flow_sample.output_interface nicht den SNMP-Index der Ausgabeschnittstelle. Diese Felder melden bei Eingangsrichtung immer den Wert Null. Für das IPFIX-Exportformat sollte der empfangende Kollektorprozess die Gültigkeit dieses Feldes anhand der flowDirection (Informationselement-ID 61) identifizieren.

  • (nur sFlow-Exportformat) In einigen Weiterleitungsszenarien können die eingehenden, logischen oder physischen Schnittstelleninformationen während der Lebensdauer des Pakets überschrieben werden. In diesen Fällen ist die Meldung des tatsächlichen Medien-WAN-Ports (ge-/xe-/et-/ae-) nicht möglich. Zum Beispiel:

    1. Wenn ein MPLS-Tunnel-Tail-End auf einem MPLS-Paket empfangen wird, wird das Ziel-VRF mithilfe des VPN-Labels identifiziert und das Paket wechselt vom Standard-VRF zum Kunden-VRF über die LSI-Schnittstelle, die dem Kunden-VRF zugeordnet ist. Daher überschreibt der LSI-Schnittstellenindex den Eingangsindex der logischen oder physischen Schnittstelle im Datenpfad. Inline-Überwachungsdienste melden immer die neuesten Schnittstelleninformationen, in diesem Fall die LSI-Schnittstelle.

    2. Pakete, die dynamische Tunnel durchlaufen, melden die FTI-Schnittstelle anstelle der Eingangsschnittstelle.

  • (nur sFlow-Exportformat) Wenn ein Paket in Ausgangsrichtung abgefangen oder verworfen wird, bevor das Paket den Nexthop der Ethernet-Kapselung passiert, meldet das sampled_header.sampled_pkt Datagrammfeld ohne Ethernet-Header und das sampled_header.protocol Datagrammfeld den Wert 1 (Ethernet).

  • (nur sFlow-Exportformat) Sie können das sFlow-Datagramm nicht über die Verwaltungsschnittstelle exportieren. Der Kollektor muss über einen WAN-Port erreichbar sein.

Unterstützte und nicht unterstützte Funktionen bei Inline Monitoring Services

Inline-Überwachungsservices unterstützen:

  • Graceful Routing-Engine Switchover

  • In-Service Software Upgrade (ISSU), Nonstop Software Upgrade (NSSU) und Nonstop Active Routing (NSR)

  • Ethernet-Schnittstellen und integrierte Routing- und Bridging-Schnittstellen (IRB)

  • Junos Node Slicing

  • Ab Junos OS Evolved Version 22.4R1 können Sie DSCP-, Weiterleitungsklassen- oder Routing-Instanzen für Kollektoren konfigurieren.

  • Ab Junos OS Evolved Version 22.4R1 können Vorlagen-IDs oder Optionsvorlagen-IDs konfiguriert werden.

Inline-Überwachungsservices unterstützen derzeit nicht:

  • Konfiguration von mehr als 16 (Junos OS) bzw. 7 (Junos OS Evolved) Inline-Überwachungsinstanzen.

  • Junos Traffic Vision

  • Vor Junos OS Version 21.1R1 wird der Begriff inline-monitoring-instance nur für Firewall-Filter der inet inet6 Familie unterstützt. Ab Junos OS Version 21.1R1 und nur für das IPFIX-Exportformat wird es für die Firewall-Filter der any, bridge, ccc, mpls, vpls und-Familie unterstützt.

  • IPv6-adressierbare Kollektoren

  • Virtuelle Plattformen

  • Logische Systeme

  • (Nur IPFIX-Exportformat) Konfigurieren Sie sowohl die Beobachtungsdomänen-ID als auch die Beobachtungs-Cloud-ID. Sie müssen nur eine davon auswählen.

  • Eine Inline-Überwachungsinstanzaktion, die für die Ausnahmeberichterstattung verwendet wird, kann nicht für andere Zwecke verwendet werden, wie z. B. eine Firewall-Umleitungsaktion oder eine reguläre Inline-Überwachungsaktion.

  • Eine Inline-Überwachungsinstanz, die für eine Firewall-Umleitungsaktion verwendet wird, kann nicht für andere Zwecke verwendet werden, z. B. für die Ausnahmeberichterstattung oder eine reguläre Inline-Überwachungsaktion.

  • Vor Junos OS Evolved Version 22.4R1 Konfiguration von DSCP-, Weiterleitungsklassen- oder Routing-Instanzen für Kollektoren.

  • Vor Junos OS Evolved Version 22.4R1 können Vorlagen-IDs oder Optionsvorlagen-IDs konfiguriert werden. Das System generiert diese für Sie.

  • (Junos OS weiterentwickelt) Konfiguration von Portspiegelungs- und Inline-Überwachungsdiensten unter demselben Firewall-Filterbegriff .

  • (Junos OS weiterentwickelt) In Ausgangsrichtung sowohl sFlow- als auch Ausnahmeberichte konfigurieren; Sie müssen nur eine davon auswählen.

Inline-Überwachungsdienste mit dem IPFIX-Exportformat konfigurieren

Die Inline-Überwachungsdienste können sowohl IPv4- als auch IPv6-Datenverkehr sowohl in Eingangs- als auch in Ausgangsrichtung überwachen. Sie können die Inline-Überwachung auf Routern der MX-Serie mit MPCs (Junos OS) und auf PTX-Routern mit Junos OS Evolved aktivieren. Sie können die ursprüngliche Paketgröße zusammen mit Informationen zum Ursprung der Schnittstelle in einen Collector exportieren, um eine effektive Fehlerbehebung zu gewährleisten. Für das IPFIX-Exportformat können Sie auch Inlineüberwachungsdienste konfigurieren, um verschiedene Datenströme mit unterschiedlichen Abtastraten auf derselben logischen Einheit der Schnittstelle zu überwachen.

Vor der Konfiguration

Wenn Sie Inlineüberwachungsdienste konfigurieren, können Sie Folgendes tun:

  • Konfigurieren Sie bis zu 16 (Junos OS) bzw. 7 (Junos OS Evolved) Inline-Überwachungsinstanzen. Unter jeder Instanz können Sie bestimmte Collector- und Vorlagenparameter konfigurieren.

  • Konfigurieren Sie bis zu 4 IPv4-adressierbare Kollektoren unter jeder Inline-Überwachungsinstanz. Insgesamt können Sie bis zu 64 Kollektoren konfigurieren. Die Kollektoren können sich an verschiedenen Orten befinden.

    Für jeden Kollektor können Sie spezifische Parameter konfigurieren, z. B. Quell- und Zieladresse usw. Der Standardname der Routing-Instanz im Kollektor lautet default.inet.

  • Für Junos OS können Sie den inet Firewall-Filter der inet6 Or-Familie mit dem Begriff Aktion inline-monitoring-instance inline-monitoring-instance-name konfigurieren. Ab Junos OS Version 21.1R1 können Sie für das IPFIX-Exportformat Firewall-Filter unserer Familie mit dem Begriff Aktion inline-monitoring-instance inline-monitoring-instance-name konfigurierenany, bridge, ccc, mpls,vpls. Für Junos OS Evolved können Sie die Firewall-Filter der any, ccc, ethernet-switch, inet, inet6, mpls oder-Familie mit dem Begriff action inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.

    Jeder Begriff kann eine andere Inlineüberwachungsinstanz unterstützen.

  • Hängen Sie den Inline-Überwachungs-Firewall-Filter unter der Familie der logischen Einheit der Schnittstelle an.

Nachdem Sie die Konfiguration erfolgreich festgelegt haben, können Sie die Implementierung der Inlineüberwachungsdienste überprüfen, indem Sie den Befehl show services inline-monitoring statistics fpc-slot über die CLI ausführen.

Hinweis:

Wenn für ein Paket Inline-Überwachungsdienste zusammen mit einer der herkömmlichen Sampling-Technologien (wie z. B. Inline-Überwachung des aktiven Datenstroms oder sFlow) angewendet werden müssen, führt die Packet Forwarding Engine sowohl Inline-Überwachungsdienste als auch die traditionelle Sampling-Technologie für dieses Paket aus. Die Portspiegelung muss derzeit unter einem anderen Begriff für Junos OS Evolved konfiguriert werden.

Abbildung 10 ist eine beispielhafte Darstellung von Inline-Überwachungsdiensten, bei denen der Datenverkehr mit zwei verschiedenen Abtastraten auf der Geräteschnittstelle überwacht und in einem IPFIX-Verkapselungsformat an vier Remote-Kollektoren exportiert wird. Unter Junos OS konfigurieren Sie die Abtastrate für jeden Kollektor, sodass für jeden Kollektor unterschiedliche Raten zugelassen werden. Für Junos OS Evolved konfigurieren Sie die Abtastrate auf der Inline-Überwachungsinstanz, und sie gilt für alle Kollektoren, die für diese Instanz konfiguriert sind.

Abbildung 10: Inline-Überwachungsdienste Network flow collection using IPFIX format with two collector instances. Instance 1: Sampling rate 1:10,000. Instance 2: Sampling rate 1:1. Source IPs 10.1.1.1, 10.11.1.1. Destination IPs 10.2.2.1, 10.12.2.1.

In diesem Beispiel ist die et-1/0/0-Schnittstelle des Geräts mit Inline-Überwachungsdiensten konfiguriert. Die Konfigurationen im Detail sind wie folgt:

  • Es gibt zwei Inlineüberwachungsinstanzen – Instanz 1 und Instanz 2.

  • Es gibt vier Kollektoren, zwei Kollektoren unter jeder Inlineüberwachungsinstanz.

    • Instanz 1 verfügt über Collector-1 und Collector-2.

    • Instanz 2 verfügt über Collector-101 und Collector-102.

  • Die Kollektoren in Instanz 1 haben eine Abtastrate von 1:10000.

  • Die Kollektoren in Instanz 2 haben eine Abtastrate von 1:1.

  • Die Kollektoren der Instanz 1 haben die Quell- und Zieladresse 10.1.1.1 bzw. 10.2.2.1.

  • Die Kollektoren der Instanz 2 haben die Quell- und Zieladresse 10.11.1.1 bzw. 10.12.2.1.

  • Die Pakete werden in einem IPFIX-gekapselten Format an die Kollektoren exportiert.

So konfigurieren Sie Inline-Überwachungsdienste:

  1. Definieren Sie einen Firewall-Filter für jede Inline-Überwachungsinstanz für die Bedienung der Inlineüberwachungsdienste. Sie können einen Familien-Firewall-Filter mit dem Begriff Aktion inline-monitoring-instancekonfigurieren.

    So definieren Sie einen Firewall-Filter:

    In diesem Beispiel sind die Begriffe t1 und t2 für Instance1 bzw. Instance2 konfiguriert.

  2. Aktivieren Sie Inlineüberwachungsdienste, indem Sie die zugehörigen Vorlagen-, Instanz- und Kollektorparameter konfigurieren.
    1. So konfigurieren Sie die Vorlage für Inline-Überwachungsdienste:

      In diesem Beispiel werden die Vorlagen template-1 und template-2 konfiguriert.

    2. So konfigurieren Sie Inline-Überwachungsinstanz- und Kollektorparameter:

      Für Junos OS:

      In diesem Beispiel für Junos OS verfügt Instance1 über zwei Kollektoren, collector-1 und collector-2, und Instance2 über zwei Kollektoren, collector-101 und collector-102. Für beide Instanzen wurden unterschiedliche Abtastraten konfiguriert.

      Für Junos OS Evolved:

      In diesem Beispiel hat Instance1 für Junos OS Evolved zwei Kollektoren, collector-1 und collector-2, und Instance2 hat zwei Kollektoren, collector-101 und collector-102. Für beide Instanzen wurden unterschiedliche Abtastraten konfiguriert.

  3. Ordnen Sie den Firewall-Filter der Familie der logischen Einheit der Schnittstelle zu, um Inline-Überwachung in Eingangs- oder Ausgangsrichtung anzuwenden.

    Alternativ können Sie die Inlineüberwachung anwenden, indem Sie den Firewallfilter einem Weiterleitungstabellenfilter mit einer Eingabe- oder Ausgabeanweisung zum Filtern von Eingangs- bzw. Ausgangspaketen zuordnen.

    So fügen Sie den Firewall-Filter an:

    In diesem Beispiel wird der Inline-Überwachungsfilter an die Familie inet der Einheit 0 von et-1/0/0 angehängt.

Tabellarischer Änderungsverlauf

Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie den Feature-Explorer , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.

Veröffentlichung
Beschreibung
26.2R1
Inline-Überwachungsdienste zum Exportieren von abgetasteten Paketen im sFlow-Format Version 5 (MX304) – Inline-Überwachungsdienste können jetzt abgetastete Pakete im sFlow-Format Version 5 anstelle des aktuellen IPFIX-Formats exportieren family inet family inet6 . Das IPFIX-Format ist die Standardeinstellung. Konfigurieren Sie die export-format sflow-v5 Anweisung auf Hierarchieebene [edit inline-monitoring instance instance-name] , um das Exportformat zu ändern. Sie müssen sFlow (set protocols sflow CLI-Befehl) nicht konfigurieren, um diese Funktion zu aktivieren.
23.4R1-EVO
Inline-Überwachungsservices (PTX10003-Router mit den Linecards JNP10K-LC1201 oder JNP10K-LC1202) – Ab Junos OS Evolved Version 23.4R1 können Sie Inline-Überwachungsservices auf dem PTX10003-Router konfigurieren, um Ausnahmen zu melden. Sie können die any, ccc, ethernet-switch, inet, inet6, Firewall-Filter unserer mpls Familie auch mit dem Begriff action inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.
22.4R1-EVO
Inline-Überwachungsservices (Router PTX10001-36MR-36MR, PTX10004, PTX10008 und PTX10016 mit den Linecards JNP10K-LC1201 oder JNP10K-LC1202) – Ab Junos OS Evolved Version 22. 4R1 können Sie Inline-Überwachungsdienste auf den Routern PTX10001-36MR, PTX10004, PTX10008 und PTX10016 konfigurieren, um Pakete zu erfassen, Metadaten hinzuzufügen und die Pakete bis zur konfigurierten Cliplänge zur weiteren Verarbeitung in einen IPFIX-Collector zu exportieren. Sie können die any, ccc, ethernet-switch, inet, inet6, Firewall-Filter unserer mpls Familie auch mit dem Begriff action inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.
22.3R1
Inline-Überwachungsdienste (MX304-Router) - Ab Junos OS Version 22.3R1 können Sie Inline-Überwachungsdienste auf dem MX304-Router konfigurieren.
22.2R1-EVO
Inline-Überwachungsservices (Router PTX10001-3601-36MR, PTX10004, PTX10008 und PTX10016 mit den Linecards JNP10K-LC1201 oder JNP10K-LC1202) Ab Junos OS Evolved Version 22.1R1 können Sie Inline-Überwachungsservices auf den Routern PTX10001-3601MR, PTX10004, PTX10008 und PTX10016 konfigurieren, um Ausnahmen zu melden. Sie können die any, ccc, ethernet-switch, inet, inet6, Firewall-Filter unserer mpls Familie auch mit dem Begriff action inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.
21,4R1
Inline-Überwachungsservices (LC9600-Linecard für den MX10008-Router) – Ab Junos OS Version 21.4R1 können Sie Inline-Überwachungsservices auf MX10008-Routern konfigurieren, die die LC9600-Linecard enthalten.
21.2R1
Unterstützung für Layer 2 und beliebige Firewall-Filterfamilien für Inline-Überwachungsservices (MX-Serie mit MPC10E- und MPC11E-Linecards) – Ab Junos OS Version 21.2R1 können Sie die Firewall-Filter der any, bridge, ccc, mpls, vpls Or-Familie mit dem Begriff Aktion inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.
21.2R1
Inline-Überwachungsservices (LC480-Linecard für MX10008- und MX10016-Router) - Ab Junos OS Version 21.2R1 können Sie Inline-Überwachungsservices auf MX10008- und MX10016-Routern konfigurieren, die die LC480-Linecard enthalten.
21.1R1
Unterstützung für Layer 2 und beliebige Firewall-Filterfamilien für Inline-Überwachungsservices (MX-Serie mit MPCs ohne MPC10E- und MPC11E-Linecards) – Ab Junos OS Version 21.1R1 können Sie die Firewall-Filter der Any-, Bridge-, CCC-, MPLS- oder VPLS-Familie mit dem Begriff Action inline-monitoring-instance inline-monitoring-instance-namekonfigurieren.
20.4R1
Inline-Überwachungsservices (MPC10E- und MPC11E-Linecards für Router der MX-Serie: Ab Junos OS Version 20.4R1 können Sie Inline-Überwachungsservices auf Routern der MX-Serie konfigurieren, die die Linecards MPC10E und MPC11E enthalten.
19,4R1
Inline-Überwachungsservices (MX-Serie mit MPCs ohne MPC10E- und MPC11E-Linecards) – Ab Junos OS Version 19.4R1 können Sie eine neue Überwachungstechnologie konfigurieren, die die Flexibilität bietet, verschiedene Datenströme mit unterschiedlichen Abtastraten auf derselben Schnittstelle zu überwachen. Sie können das Paket auch bis zur konfigurierten Cliplänge in einem IP Flow Information Export (IPFIX)-Format an einen Collector exportieren. Das IPFIX-Format enthält wichtige Metadateninformationen über die überwachten Pakete zur weiteren Verarbeitung am Collector.