科学の箱

科学・IT・登山の話題

Juniper Network

Juniper NHTBについて調べる

投稿日:

Screen OSでVPNを設定すると、ルーティングのほかにNHTB(Next Hop Tunnel Binding)を設定する。この設定がないとVPNで指定したIPへ到達ができないのだが、なぜ必要かがわからなかった。

下記のようなサイトを例にしてNHTBについて考える。

nexthop

10.20.10.0/24についてはルーティング情報を登録すると、以下のようになる。

  • gateway:10.1.1.2
  • インタフェース:トンネルインタフェースであるst0.0

3つのリンクについてルーティングテーブルは以下のようになる。

routing

VPNではないネットワーク上ではこの情報だけでパケットは相手先に到達する。しかしVPNではSA(Security Association)と呼ばれるSession情報を指定する必要がある。このSAはPhase1してするゲートウェイと紐づいているので、ルーティングテーブルのgateway→Phase1のgateway→SAと取得できるはずだが、Screen OSではNHTBとしてNext Hop+インタフェースをキーにして登録する。

nhtb

指定したIPに対して、正しいゲートウェイおよびインタフェースを指定しても間違ったSAを使うと相手とのセッションに不整合が発生するのでVPN通信は当然できない。

実際にScreen OS上で設定を確認してみると、Dynamicで設定されていることがわかった。

nhtb_dynamic

NHTBは受け取ったパケットに従って学習をする。送信元IPアドレスと受信インタフェースがわかればその時に使っていたVPNのSAはわかるのでNHTBを更新することができる。

参考

メタ情報

inarticle



メタ情報

inarticle



-Juniper, Network
-

執筆者:


comment

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

関連記事

no image

dhcp relayオプション

dhcp relayを設定するのに必要なパラメータは下記の2つ dhcpサーバー dhcpをリレーするvlanの管理IPアドレス Nortel ERS4548では以下の構成になっている。 dhcp サ …

no image

JN0-522について勉強メモ

IPSec こちらを参考にしてまとめてみた。 IPSecで定義されているプロトコル AH ESP IKEも一般的なIPSecプロトコルにに含まれるがJuniperで設定が必要なプロトコルはAHとESP …

no image

MIP

untrustからtrustへIPアドレスをマップする。ただし正確にはサブネットをマップする。ネットマスクで255.255.255.255を指定すると一つのIPアドレスをマップする。ネットマスクを変更 …

no image

Secretary Certificateがなくて回線アカウント設立が遅れている

フィリピンで回線アカウントを設立しようとしたら複数のドキュメントが必要でPLDTから拒否されてしまった。 特に苦労しているのがSecretary Certificate, 参考) http://if8 …

no image

ルート再配送

ネットワークでルーティングの設定をする場合にルーティングプロトコルを利用する。ルーティンプロトコルは単一のプロトコル(RIP/OSPF/IGRP)を選んだ方が管理も楽だし、トラブルも少ない。しかしビジ …

2013年12月
« 11月   1月 »
 1
2345678
9101112131415
16171819202122
23242526272829
3031  

side bar top



アーカイブ

カテゴリー