科学の箱

科学・IT・登山の話題

Juniper Network

Juniper NHTBについて調べる

投稿日:

Screen OSでVPNを設定すると、ルーティングのほかにNHTB(Next Hop Tunnel Binding)を設定する。この設定がないとVPNで指定したIPへ到達ができないのだが、なぜ必要かがわからなかった。

下記のようなサイトを例にしてNHTBについて考える。

nexthop

10.20.10.0/24についてはルーティング情報を登録すると、以下のようになる。

  • gateway:10.1.1.2
  • インタフェース:トンネルインタフェースであるst0.0

3つのリンクについてルーティングテーブルは以下のようになる。

routing

VPNではないネットワーク上ではこの情報だけでパケットは相手先に到達する。しかしVPNではSA(Security Association)と呼ばれるSession情報を指定する必要がある。このSAはPhase1してするゲートウェイと紐づいているので、ルーティングテーブルのgateway→Phase1のgateway→SAと取得できるはずだが、Screen OSではNHTBとしてNext Hop+インタフェースをキーにして登録する。

nhtb

指定したIPに対して、正しいゲートウェイおよびインタフェースを指定しても間違ったSAを使うと相手とのセッションに不整合が発生するのでVPN通信は当然できない。

実際にScreen OS上で設定を確認してみると、Dynamicで設定されていることがわかった。

nhtb_dynamic

NHTBは受け取ったパケットに従って学習をする。送信元IPアドレスと受信インタフェースがわかればその時に使っていたVPNのSAはわかるのでNHTBを更新することができる。

参考

メタ情報

inarticle



メタ情報

inarticle



-Juniper, Network
-

執筆者:


comment

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

関連記事

no image

Networkでフラッピングが発生している場合の調査手順

ネットワークでフラッピング発生しているかを確認するためにはスイッチからsyslogサーバーにログを記録する。この時ログのレベルをinformationalにしておくこと。またlink trapを有効に …

no image

wiresharkのエラー

Wiresharkでエラーが出ているかを確認する。 左下に赤い●が出ていたら、キャプチャしたパケットで大量にエラーが出ていることを示す。 エラーが発生しているパケットは、キャプチャしたパケットで黒くハ …

no image

Portmirroringを実行する手順 Avaya ERS4850

確認すること ミラーリングするポート モニタするポート キャプチャするパケットの種類(送信・受信・送受信) ミラーリングするポートはパケットの内容を見たいポート。例えばWAN回線につながっているポート …

no image

Cisco Prime Infrastructure Training on youtube Part 3

Cisco Prime Infrastructure Quick Start #11 Monitoring the Health of your Network ネットワーク機器について様々な監視がで …

no image

Juniper VPN エラーログ

VPNが成功した時の確認 ssg5-serial-> get ike cookies IKEv1 SA — Active: 0, Dead: 0, Total 1 80520f/00 …

2013年12月
« 11月   1月 »
 1
2345678
9101112131415
16171819202122
23242526272829
3031  

side bar top



アーカイブ

カテゴリー