科学の箱

科学・IT・登山の話題

Juniper Network

Juniper NHTBについて調べる

投稿日:

Screen OSでVPNを設定すると、ルーティングのほかにNHTB(Next Hop Tunnel Binding)を設定する。この設定がないとVPNで指定したIPへ到達ができないのだが、なぜ必要かがわからなかった。

下記のようなサイトを例にしてNHTBについて考える。

nexthop

10.20.10.0/24についてはルーティング情報を登録すると、以下のようになる。

  • gateway:10.1.1.2
  • インタフェース:トンネルインタフェースであるst0.0

3つのリンクについてルーティングテーブルは以下のようになる。

routing

VPNではないネットワーク上ではこの情報だけでパケットは相手先に到達する。しかしVPNではSA(Security Association)と呼ばれるSession情報を指定する必要がある。このSAはPhase1してするゲートウェイと紐づいているので、ルーティングテーブルのgateway→Phase1のgateway→SAと取得できるはずだが、Screen OSではNHTBとしてNext Hop+インタフェースをキーにして登録する。

nhtb

指定したIPに対して、正しいゲートウェイおよびインタフェースを指定しても間違ったSAを使うと相手とのセッションに不整合が発生するのでVPN通信は当然できない。

実際にScreen OS上で設定を確認してみると、Dynamicで設定されていることがわかった。

nhtb_dynamic

NHTBは受け取ったパケットに従って学習をする。送信元IPアドレスと受信インタフェースがわかればその時に使っていたVPNのSAはわかるのでNHTBを更新することができる。

参考

メタ情報

inarticle



メタ情報

inarticle



-Juniper, Network
-

執筆者:


comment

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

関連記事

no image

Portmirroringを実行する手順 Avaya ERS4850

確認すること ミラーリングするポート モニタするポート キャプチャするパケットの種類(送信・受信・送受信) ミラーリングするポートはパケットの内容を見たいポート。例えばWAN回線につながっているポート …

no image

Transparent modeの設定

TransparentモードはL2でFirewallを利用する。2つのインターフェースは同じIPサブネットレンジを持つがFirewallを通過するときにポリシーによりトラフィックが制御される。 ssg …

no image

Screen OSにおけるVRの概念

  http://www.juniper.net/techpubs/software/screenos/screenos6.1.0/ce_v2.pdf http://forums.junip …

no image

MIPを確認する

ssg5-serial-> get session alloc 3/max 8064, alloc failed 0, mcast alloc 0, di alloc failed 0 tota …

no image

bgroup

Juniperの初期設定ではbgroup 0 に192.168.1.1が割り振られている。 bgroup0        192.168.1.1/24                    Trust …

2013年12月
« 11月   1月 »
 1
2345678
9101112131415
16171819202122
23242526272829
3031  

side bar top



アーカイブ

カテゴリー