Перейти к содержанию

Policy-based routing в Juniper SRX

Понадобилось мне тут настроить Policy-based routing на JuniperSRX, о котором я уже рассказывал. Дело-то, в общем-то нехитрое, и найти решение несложно… но пусть будет, для себя. Кстати, в Juniper это называется немного иначе: Filter-based forwarding, он же FBF. Для него предназначен даже специальный тип routing-instance под названием forwarding.

Тем более, что у меня случай чуть сложней: мне нужно организовать PBR внутри VRF.

Заходим на роутер в режиме конфигурации и приступаем:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
#Здесь мы в настройках нашего Virtual Router указываем
#что будем инжектить в RIB-группу
#direct-connected маршруты
set routing-instances BRANCH_VR routing-options interface-routes rib-group inet RIB_BW_TEST_RSRV
#ну а затем в настройках RIB-группы делаем, собственно, импорт
set routing-options rib-groups RIB_BW_TEST_RSRV import-rib BRANCH_VR.inet.0

#Настраиваем инстанс PBR, у меня это филиал в Краснодаре
#Не забываем указать нужный static route
edit routing-instances
set PBR_BW_TEST_KRD_RSRV instance-type forwarding
set PBR_BW_TEST_KRD_RSRV routing-options static route 172.19.100.100/32 next-hop 192.168.0.2
set PBR_BW_TEST_KRD_RSRV description "Bandwidth test to KRD Branch"

top
edit firewall family inet
#здесь мы указываем, что все пакеты, идущие на 172.19.100.100/32
#заворачиваются в PBR_BW_TEST_KRD_RSRV
set filter FW_BW_TEST_RSRV term 0 from source-address 0.0.0.0/0
set filter FW_BW_TEST_RSRV term 0 from destination-address 172.19.100.100/32
set filter FW_BW_TEST_RSRV term 0 then routing-instance PBR_BW_TEST_KRD_RSRV
#добавляем count, чтобы можно было считать попадающие в правило пакеты
set filter FW_BW_TEST_RSRV term 0 then count COUNT_KRD_RSRV
#весь трафик, не попадающий под условия, мы выпускаем
set filter FW_BW_TEST_RSRV term 1 then accept

top
#указываем, что PBR_BW_TEST_KRD_RSRV будет через RIB-group получать
#маршруты от BRANCH_VR
set routing-options rib-groups RIB_BW_TEST_RSRV import-rib PBR_BW_TEST_KRD_RSRV.inet.0

#применяем фильтр к интерфейсу
set interfaces reth0 unit 314 family inet filter input FW_BW_TEST_RSRV

Будьте особенно аккуратны, если используете не filter, а filter list, позволяющий вешать на интерфейс несколько правил кряду. Если в одном из правил у вас затесалось безусловное «then accept», то трафик до PBR может и не дойти :).

Вот так все просто.

Будьте первым, кто оставит комментарий

Добавить комментарий

%d такие блоггеры, как: