Match route instance джунипер что это

С точки зрения клиента данная технология будет иметь вид коммутатора, к которому подключены сайты клиента.

Layer 2 VPN

В Junos есть (во всяком случае я знаю) три способа создать l2vpn (в отличии от VPLS, l2vpn имеет топологию p2p). Данная routing-instance близка по конфигурации и сигнализации к VPLS BGP signaling. Конфигурация предусматривает указание rd и rt для поиска PE-маршрутизаторов и последующего установления p2p соединения:

root# show instance-type l2vpn; interface ge-0/0/3.0; route-distinguisher 100:100; vrf-target target:1:1; protocols < l2vpn < encapsulation-type ethernet-vlan; no-control-word; site site2 < site-identifier 2; interface ge-0/0/3.0 < remote-site-id 1; >> > > 

Как и ее старший брат routing-instance vpls, данная routing-instance, в силу своего назначения, не подразумевает настройки протоколов маршрутизации.

Плюсом данной routing-instance является простота настройки и, в отличии от других типов l2vpn, обладает лучшей масштабируемостью (при необходимости легко добавляются другие сайты). В отличии от VPLS, routing-instance l2vpn не поддерживает кроссплатформенное взаимодействие (например между Juniper и Cisco).

Данная routing-instance не дает возможности создать VPLS, хотя дает возможность сконфигурировать более одного виртуального L2 соединения (но это не будет полноценным VPLS).

Таблица маршрутизации выглядит практически так же как и VPLS:

root@PE1> show route table vpn.l2vpn.0 vpn1.l2vpn.0: 2 destinations, 2 routes (2 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 100:100:1:1/96 *[BGP/170] 00:14:00, localpref 100, from 10.1.1.1 AS path: I > to 10.0.0.2 via ge-0/0/3.0, label-switched-path pe1_to_pe2 200:200:1:2/96 *[L2VPN/170/-101] 00:17:35, metric2 1 Indirect

Проверить состояния соединений можно с помощью команды show l2vpn connections, причем вывод будет подобен выводу show vpls connections (routing-instance VPLS).

Layer2-control

Данная routing-instance предназначена для запуска протокола семейства STP при использовании VPLS Multihoming. Ее применение очень хорошо описано в этой статье, поэтому не буду повторяться.

Virtual switch

Помимо маршрутизации, маршрутизаторы серии MX могут выполнять и функции, присущие исключительно коммутатору. Изначально, при конфигурировании VLAN и trunk портов на маршрутизаторе MX-серии, все VLAN и trunk интерфейсы попадают в одни bridge domian, который называется default-switch routing-instance. Маршрутизаторы MX серии предоставляют возможность сконфигурировать пользовательские routing-instance virtual-switch:

[edit] routing-instances < routing-instance-name ( instance-type virtual-switch; bridge-domains < bridge-domain-name < domain-type bridge; interface interface-name; vlan-id (all | none | number); vlan-id-list [ vlan-id-numbers ]; vlan-tags outer number inner number; >> protocols < mstp < . mstp-configuration . >> > >

Данная routing-instance позволяет реализовать на маршрутизаторе функционал коммутатора и производит изолирование интерфейсов и одного или более VLAN. То есть virtual switch позволяет производить сегментацию сетей на втором уровне, не прибегая к сегментированию сети на третьем уровне (что сохранит нам IP адреса). Для каждого сегмента можно запустить свой протокол из семейства STP. Маршрутизаторы серии MX поддерживают протоколы: STP, RSTP, MSTP, VSTP.

Спасибо за внимание!

instance-type

We strongly recommend that if you change an instance-type referenced under a firewall filter, for example, from virtual-router to forwarding , make the change during a maintenance window, as follows:

1. Deactivate the routing instance.
2. Change the instance-type .
3. Activate the routing instance.

This is not required if you are configuring the instance-type for the first time.

Options

type —Can be one of the following:

evpn —Enable an Ethernet VPN (EVPN) on the routing instance.
On Junos OS Evolved, instance-type evpn is not supported. You can configure an EVPN routing instance using instance-type mac-vrf with a routing protocol configuration of protocols evpn .

set routing-instances $EVPN_INSTANCES$ instance-type mac-vrf protocols evpn

1. Deactivate the virtual-switch instance configuration.
2. Add the EVPN protocol statements to the virtual-switch instance configuration.
3. Reactivate the updated virtual-switch instance configuration with the EVPN protocol updates.
On Junos OS Evolved, instance-type vpls is not supported. You can configure a VPLS routing instance using instance-type virtual-switch with a routing protocol configuration of protocols vpls .

set routing-instances $VPLS_INSTANCE$ instance-type virtual-switch protocols vpls

Required Privilege Level

routing—To view this statement in the configuration.

routing-control—To add this statement to the configuration.

Release Information

Statement introduced before Junos OS Release 7.4.

virtual-switch and layer2-control options introduced in Junos OS Release 8.4.

mpls-internet-multicast option introduced in Junos OS Release 11.1 for the EX Series, M Series, MX Series, and T Series.

evpn option introduced in Junos OS Release 13.2 for MX 3D Series routers.

evpn option introduced in Junos OS Release 17.3 for the QFX Series.

forwarding option introduced in Junos OS Release 14.2 for the PTX Series.

mpls-forwarding option introduced in Junos OS Release 16.1 for the MX Series.

evpn-vpws option introduced in Junos OS Release 17.1 for MX Series routers.

mac-vrf option introduced in Junos OS Release 20.4 and Junos OS Evolved Release 21.2R1.

Support for logical systems on MX Series routers added in Junos OS Release 17.4R1.

evpn-vpws option introduced in cRPD Release 20.3R1.

JUNOS

Juniper Networks JUNOS - операционная система, под управлением которой работает сетевое оборудование фирмы Juniper Networks. JUNOS основана на операционной системе UNIX FreeBSD.

[править] Control Plane и Forwarding Plane

Важный аспект работы JUNOS - это логическое и физическое разделение Control Plane и Forwarding (Data) Plane.



RE (Routing Engine) выполняется на процессоре архитектуры x86 или PowerPC. PFE (Packet Forwarding Engine) выполняется на специальных микросхемах ASIC (Application-Specific Integrated Circuit). Это сделано для увеличения производительности - транзитные пакеты передаются без вмешательства RE (соответственно и процессора). RE используется для построения RT (Routing Table) и FT (Forwarding Table). FT после ее построения записывается в память PFE и выполняется на ASIC. FT представляет собой таблицу, содержащую сеть назначения, интерфейс, через который может быть достигнута эта сеть, IP адрес next-hop'a и mac адрес next-hop'a. Так же на PFE для увеличения производительности и скорости обработки транзитных пакетов выполняется QoS, Policer (Shaping) и Stateless Firewall Filter(ACLs).

[править] Иерархическая структура интерфейса командной строки JUNOS

Работа с командной строкой в JUNOS разделяется на 2 режима:

• Operational Mode (приглашение командной строки ">") - тут нам доступны show команды и команды для мониторинга и траблшутинга сети (monitor, ping, test, traceroute);
• Configuration Mode (приглашение командной строки "#") - режим, в котором происходит настройка устройства. В этот режим можно попасть, если набрать команду "Configure" или "Edit" в Operational Mode.

[править] Operational Mode



Команды, которые нам доступны в Operational Mode:

root> ? Possible completions: clear Clear information in the system configure Manipulate software configuration information file Perform file operations help Provide help information monitor Show real-time debugging information mtrace Trace multicast path from source to receiver op Invoke an operation script ping Ping remote target quit Exit the management session request Make system-level requests restart Restart software process set Set CLI properties, date/time, craft interface message show Show system information ssh Start secure shell on another host start Start shell telnet Telnet to another host test Perform diagnostic debugging traceroute Trace route to remote host

[править] Configuration Mode

В JUNOS используется 2 конфигурации:

• Active Configuration - это текущая конфигурация устройства.
• Candidate Configuration - это конфигурация, которую мы правим в режиме конфигурирования.

Для того, чтобы конфигурация-кандидат стала активной, в режиме конфигурирования нужно ввести команду "Commit":

root> configure Entering configuration mode [edit] root# set system root-authentication plain-text-password New password: Retype new password: [edit] root# commit commit complete [edit] root# exit Exiting configuration mode root>

Чтобы зайти в определенный контекст для настройки используется команда "Edit":



Доступные контексты для редактирования:

root> configure Entering configuration mode [edit] root# edit ? Possible completions: > access Network access configuration > access-profile Access profile for this instance > accounting-options Accounting data configuration > applications Define applications by protocol characteristics > chassis Chassis configuration > class-of-service Class-of-service configuration > diameter Diameter protocol layer > event-options Event processing configuration > firewall Define a firewall configuration > forwarding-options Configure options to control packet forwarding > groups Configuration groups > interfaces Interface configuration > jsrc JSRC partition configuration > jsrc-partition JSRC partition configuration > logical-systems Logical systems > multi-chassis > policy-options Policy option configuration > protocols Routing protocol configuration > routing-instances Routing instance configuration > routing-options Protocol-independent routing option configuration > security Security configuration > services Service PIC applications settings > snmp Simple Network Management Protocol configuration > system System parameters > virtual-chassis Virtual chassis configuration [edit]

[править] Настройка интерфейсов

Для того, чтобы настроить интерфейс нужно перейти в контекст "Interfaces":

root> configure Entering configuration mode [edit] root# edit interfaces [edit interfaces] root#

Иерархия настройки интерфейсов:



[править] L3 настройки интерфейса

Важный момент - все L3 параметры интерфейса настраиваются в контексте "UNIT". UNIT - это аналог сабинтерфейсов в Cisco.

[edit interfaces] root# set em0 unit 0 family inet address 100.0.0.1/30

Em0 - Это наш физический интерфейс. Family inet - параметры какого протокола мы хотим настроить. Доступны следующие значения:

root# set em0 unit 0 family ? Possible completions: > ccc Circuit cross-connect parameters > inet IPv4 parameters > inet6 IPv6 protocol parameters > iso OSI ISO protocol parameters > mpls MPLS protocol parameters > tcc Translational cross-connect parameters > vpls Virtual private LAN service parameters [edit interfaces] root# set em0 unit 0 family

Можно сразу из Configuration Mode посмотреть, что мы настроили набрав команду "show":

[edit interfaces] root# show em0 < unit 0 < family inet < address 100.0.0.1/30; >> > [edit interfaces]

Применим наши настройки командой "Commit":

root# commit commit complete

Проверим доступность IP на другой стороне канала:

root> ping 100.0.0.2 rapid PING 100.0.0.2 (100.0.0.2): 56 data bytes . --- 100.0.0.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 0.402/0.719/1.306/0.343 ms

[править] L2 настройки интерфейса

L2 настройки задаются в следующем контексте:

root> configure Entering configuration mode [edit] root# edit interfaces em0 [edit interfaces em0] root# set ? Possible completions: accounting-profile Accounting profile name + apply-groups Groups from which to inherit configuration data + apply-groups-except Don't inherit configuration data from these groups description Text description of interface disable Disable this interface encapsulation Physical link-layer encapsulation gratuitous-arp-reply Enable gratuitous ARP reply > hold-time Hold time for link up and link down > layer2-policer Layer2 policing for interface link-mode Link operational mode mac Hardware MAC address mtu Maximum transmit packet size (256..9192) no-gratuitous-arp-reply Don't enable gratuitous ARP reply no-gratuitous-arp-request Ignore gratuitous ARP request no-traps Don't enable SNMP notifications on state changes > traceoptions Interface trace options traps Enable SNMP notifications on state changes > unit Logical interface vlan-tagging 802.1q VLAN tagging support [edit interfaces em0]

Задать дуплекс на интерфейсе:

[edit interfaces em0] root# set link-mode full-duplex [edit interfaces em0] root#

Посмотреть состояние интерфейсов и назначенные IP адреса (аналог sh ip int bri в Cisco):

root> show interfaces terse Interface Admin Link Proto Local Remote cbp0 up up demux0 up up dsc up up em0 up up em0.0 up up inet 100.0.0.1/30 em1 up up gre up up ipip up up irb up up lo0 up up lo0.16384 up up inet 127.0.0.1 --> 0/0 lo0.16385 up up inet 128.0.0.4 --> 0/0 inet6 fe80::2ab:ae0f:fc99:e300 lsi up up mtun up up pimd up up pime up up pip0 up up pp0 up up tap up up

[править] Именования интерфейсов в JUNOS

В JUNOS используется следующая схема именования интерфейсов:



• GE - Тип интерфейса. В данном случае Gigabit Ethernet.
• 0 - это Flexible PIC Concentrator (FPC). Номер физического слота на нашем шасси.
• 0 - это Physical Interface Card (PIC). Номер карты, вставленной в слот.
• 1 - это номер порта на карте PIC.

[править] Таблица маршрутизации в JUNOS

В JUNOS можно создавать несколько таблиц маршрутизации. Главная таблица называется inet.0 и содержит ipv4 юникаст маршруты. По-умолчанию созданы следующие таблицы:

• inet.0 - используется для ipv4 юникаст маршрутов;
• inet.1 - используется для мультикаста;
• inet.2 - используется для Multicast Border Gateway Protocol (MBGP) с проверкой RPF (Reverse Path Forwarding);
• inet.3 - используется для MPLS маршрутов;
• inet.4 - используется для Multicast Source Discovery Protocol (MSDP) маршрутов;
• inet6.0 - используется для ipv6 юникаст маршрутов;
• mpls.0 - используется для mpls next hops.

Как читать вывод команды "show route":



[править] Forwarding Table

Forwarding Table - таблица для быстрой пересылки пакетов. Строится на основе таблицы маршрутизации. Очень похожа на технологию CEF в Cisco.



Посмотреть, что в ней находится можно командой "show route forwarding-table":

root@jun-1> show route forwarding-table Routing table: default.inet Internet: Destination Type RtRef Next hop Type Index NhRef Netif default perm 0 rjct 36 1 0.0.0.0/32 perm 0 dscd 34 1 100.0.0.0/30 intf 0 rslv 546 1 em0.0 100.0.0.0/32 dest 0 100.0.0.0 recv 544 1 em0.0 100.0.0.1/32 intf 0 100.0.0.1 locl 545 2 100.0.0.1/32 dest 0 100.0.0.1 locl 545 2 100.0.0.2/32 dest 0 0:ab:44:8:f8:0 ucst 547 1 em0.0 100.0.0.3/32 dest 0 100.0.0.3 bcst 543 1 em0.0 224.0.0.0/4 perm 0 mdsc 35 1 224.0.0.1/32 perm 0 224.0.0.1 mcst 31 1 255.255.255.255/32 perm 0 bcst 32 1

[править] Route Preference

Route Preference - это аналог Administrative Distance (AD) в Cisco IOS.

Протокол	Приоритет по умолчанию
Directly connected network	0
Local	0
Static Route	5
OSPF internal route	10
RIP	100
OSPF AS external routes	150
eBGP и iBGP	170

[править] Настройка OSPF в JUNOS

Основная страница: OSPF_в_Juniper

[править] Настройка BGP в JUNOS

Основная страница: BGP_в_Juniper

[править] Пакетная фильтрация (Stateless Firewall Filter) в JUNOS

Блоки, из которых строятся правила фильтрации:



В "From" можно указывать следующие значения и их связки:

root# set term block-some-packets from ? Possible completions: > address Match IP source or destination address + apply-groups Groups from which to inherit configuration data + apply-groups-except Don't inherit configuration data from these groups > destination-address Match IP destination address + destination-port Match TCP/UDP destination port + destination-port-except Do not match TCP/UDP destination port > destination-prefix-list Match IP destination prefixes in named list + dscp Match Differentiated Services (DiffServ) code point + dscp-except Do not match Differentiated Services (DiffServ) code point + esp-spi Match IPSec ESP SPI value + esp-spi-except Do not match IPSec ESP SPI value first-fragment Match if packet is the first fragment + forwarding-class Match forwarding class + forwarding-class-except Do not match forwarding class fragment-flags Match fragment flags (in symbolic or hex formats) - (Ingress only) + fragment-offset Match fragment offset + fragment-offset-except Do not match fragment offset + icmp-code Match ICMP message code + icmp-code-except Do not match ICMP message code + icmp-type Match ICMP message type + icmp-type-except Do not match ICMP message type > interface Match interface name + interface-group Match interface group + interface-group-except Do not match interface group > interface-set Match interface in set + ip-options Match IP options + ip-options-except Do not match IP options is-fragment Match if packet is a fragment + packet-length Match packet length + packet-length-except Do not match packet length + port Match TCP/UDP source or destination port + port-except Do not match TCP/UDP source or destination port + precedence Match IP precedence value + precedence-except Do not match IP precedence value > prefix-list Match IP source or destination prefixes in named list + protocol Match IP protocol type + protocol-except Do not match IP protocol type service-filter-hit Match if service-filter-hit is set > source-address Match IP source address + source-port Match TCP/UDP source port + source-port-except Do not match TCP/UDP source port > source-prefix-list Match IP source prefixes in named list tcp-established Match packet of an established TCP connection tcp-flags Match TCP flags (in symbolic or hex formats) tcp-initial Match initial packet of a TCP connection + ttl Match IP ttl type + ttl-except Do not match IP ttl type [edit firewall family inet filter filter-in]

В "Then" можно указывать следующие значения:

• Accept - разрешить прохождение пакета;
• Discard - запретить прохождение пакета;
• Reject - запретить прохождение пакета с отправкой ICMP сообщения "Destination unreachable" отправителю.

Настройка выглядит следующим образом:

[edit firewall family inet] root# show filter filter-in < term block-some-packets < from < source-address < 100.0.0.0/24; >destination-address < 200.0.0.0/24; >> then < discard; >> term accept-all-other < then accept; >> [edit firewall family inet] root#

Теперь применяем фильтр на интерфейс:

root# set interfaces em0 unit 0 family inet filter input filter-in [edit] root# edit interfaces em0 [edit interfaces em0] root# show unit 0 < family inet < filter < input filter-in; >> > [edit interfaces em0] root#

Не забудьте правильно выбрать направление для фильтра:



[править] Настройка коммутаторов под управлением JUNOS

Настройка порта в режим access:



Настройка порта в режим trunk:



Настройка native vlan на trunk порту:



Настройка Routed Vlan Interface (RVI) - в Cisco IOS это называется Swiched Vlan Interface (SVI):



Ассоциация RVI и VLAN:



[править] Настройка VLAN

Основная страница: VLAN_в_Juniper

[править] Дополнительная информация

На сайте Juniper Networks есть курс на русском языке "JUNOS как второй язык", рассказывающий о сравнении языка командной строки Cisco IOS и Juniper JUNOS. Может быть очень полезен для инженеров, которые уже освоили Cisco IOS, но впервые столкнулись с оборудованием Juniper.

Более подробную информацию о настройке сетевого оборудования под управлением JUNOS можно получить из официальной документации Juniper.

Routing Instance

Junos способна логически группировать Routing Tables, интерфейсы, а также протоколы маршрутизации.
Такая группа называется Routing Instance
В каждой Routing Instance маршрутизация работает изолированно.

Использование Routing Instances даёт большую гибкость в настройках, поскольку одно устройство может работать, имитируя работу нескольких.

Master Routing Instance



Junos по умолчанию создаёт Master Routing Instance.
По умолчанию Master Routing Instance включает routing table inet.0

inet.0 используется для IPv4 unicast routing.



Junos также создаёт private routing instances, которые используются для внутренних коммуникаций, и которые мы можем игнорировать.

User-Defined Routing Instances

Мы можем добавлять свои Routing Instances, которые позволяют:
• forwarding: Used to implement filter-based forwarding for common Access Layer applications;
• l2vpn: Used in Layer 2 VPN implementations;
• no-forwarding: Used to separate large networks into smaller administrative entities;
• virtual-router: Used for non-VPN-related applications such as system virtualization;
• vpls: Used for point-to-multipoint LAN implementations between a set of sites in a VPN; and
• vrf: Used in Layer 3 VPN implementations



Работа с Routing Instances



При создании routing instance автоматом создаётся routing table в именем instance-name.inet.0.

Sharing Routes Between Routing Tables

Junos позволяет поместить routing information одновременно в несколько routing tables.

Первый метод использует Routing Information Base (RIB) Group.
RIB Group определяется, а затем может быть использована в секциях конфигурации.

Второй метод - использование instance-import, instance-export, auto-export.

Определение RIB Group

Чтобы понять работу RIB Group, сначала разберемся, как создаётся таблица маршрутизации в Junos без RIB Group:
Protocol -> ProtocolDB -> RIB

1. Отрабатывает протокол маршрутизации (protocol). При этом в терминах Junos, под понятим протокол может выступать не только к примеру OSPF, но и статические маршруты, Connected routes и т.д.
2. Protocol DB - алгоритм протокола хранит свои маршруты в Protocol DB, и оттуда по своим критериям выбирает лучший. Который помещается в RIB
3. RIB - собственно сама таблица маршрутизации. Для IPv4 - это inet.0

RIB Group расширяет этот механизм:
Protocol -> ProtocolDB -> RIB Group
RIB-Group состоит из:
Primary RIB — таблица, куда протокол по умолчанию отдаёт свои маршруты
Secondary RIB — одна или несколько дополнительных таблиц маршрутизации, куда мы хотим, чтоб протокол так же отдавал свои маршруты.
Import-Policy — политика, описывающая, как из маршрутов мы разрешаем устанавливать в Secondary RIB, а какие нет.

Т.е. мы получили возможность устанавливать маршруты, полученные от протокола маршрутизации, не только в ту таблицу, с которой он работает по умолчанию, но и в любую другую. Причем появляются понятия Primary и Secondary RIB. Отличаются они тем, что мы можем (при помощи import policy) явно указывать, какие маршруты отдавать в secondary RIB (в primary устанавливаются все, вне зависимости от import policy).



Как уже отмечалось, Junos использует RIB Group для того, чтобы поместить routing information в несколько routing tables.
Мы определяем имя RIB Group, а в самой конфигурации задаём две основные опции:
- import-rib - перечисляет несколько routing tables, куда будет помещена входящая route information.
Первая routing table в списке - будет Primary routing table.
Primary routing table - это таблица, куда будет помещена route information при отсутствии RIB Group
- export-rib - включает только одну routing table, куда отдавать route information.
export-rib часто не применяется в конфигурации.

Применение RIB Group

После того, как мы создали RIB Group, мы можем применить её в других секциях конфигурации.
RIB Group мы можем применить например в interface routes, static routes, OSPF, IS-IS, RIP, BGP, Physical Interface Module (PIM), and Multicast Source Discovery Protocol (MSDP).

В следующем примере OSPF будет отдавать свои маршруты в таблицы: inet.0 , test.inet.0

user@R1# show routing-options rib-groups < test < import-rib [ inet.0 test.inet.0 ]; >> user@R1# show protocols ospf rib-group test; area 0.0.0.0 < interface ge-0/0/1.0; interface lo0.0; >

Это мы можем проверить через команду show route table:

user@R1> show route table inet.0 protocol ospf inet.0: 13 destinations, 13 routes (13 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 172.20.101.0/24 *[OSPF/150] 00:00:30, metric 0, tag 0 > to 172.20.77.2 via ge-0/0/1.0 172.20.201.0/24 *[OSPF/150] 00:00:30, metric 0, tag 0 > to 172.20.77.2 via ge-0/0/1.0 192.168.2.1/32 *[OSPF/10] 00:00:30, metric 1 > to 172.20.77.2 via ge-0/0/1.0 224.0.0.5/32 *[OSPF/10] 2w1d 02:37:55, metric 1 MultiRecv user@R1> show route table test.inet.0 protocol ospf test.inet.0: 6 destinations, 6 routes (6 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 172.20.101.0/24 *[OSPF/150] 00:00:27, metric 0, tag 0 > to 172.20.77.2 via ge-0/0/1.0 172.20.201.0/24 *[OSPF/150] 00:00:27, metric 0, tag 0 > to 172.20.77.2 via ge-0/0/1.0 192.168.2.1/32 *[OSPF/10] 00:00:27, metric 1 > to 172.20.77.2 via ge-0/0/1.0 224.0.0.5/32 *[OSPF/10] 00:00:27, metric 1 MultiRecv

Routing Between Instances



Между разными instances также мы можем создавать соединения: физические или логические.

Пример логического соединения:

[edit interfaces lt-0/0/0] user@R1# show unit 0 < encapsulation ethernet; peer-unit 1; family inet < >> unit 1
 

Пример конфигурации

 set interfaces ge-0/0/0 unit 0 description OUTSIDE_ISP-2-UNC set interfaces ge-0/0/0 unit 0 family inet address 217.170.112.10/30 set interfaces ge-0/0/1 unit 0 description INSIDE set interfaces ge-0/0/1 unit 0 family inet filter input LAN-in_filter set interfaces ge-0/0/1 unit 0 family inet address 10.40.1.1/24 preferred set interfaces ge-0/0/2 unit 0 description OUTSIDE_ISP-1-ROSTEL set interfaces ge-0/0/2 unit 0 family inet address 87.226.186.67/29 

Создаём Routing instance для каждого провайдера:

set routing-instances ri-ISP-1 interface ge-0/0/2.0 set routing-instances ri-ISP-1 description "ri to ISP1" set routing-instances ri-ISP-1 instance-type virtual-router set routing-instances ri-ISP-1 routing-options static route 0.0.0.0/0 next-hop 87.226.186.65 set routing-instances ri-ISP-1 routing-options static route 0.0.0.0/0 preference 7 set routing-instances ri-ISP-2 interface ge-0/0/0.0 set routing-instances ri-ISP-2 description "ri to ISP2" set routing-instances ri-ISP-2 instance-type virtual-router set routing-instances ri-ISP-2 routing-options static route 0.0.0.0/0 next-hop 217.170.112.9 set routing-instances ri-ISP-2 routing-options static route 0.0.0.0/0 preference 9 

При этом настройки туннелей привязываются к каждой routing-instance, позволяя каждому туннелю строиться через своего провайдера:

set security ike gateway ike-gate-imh ike-policy ike-policy-imh set security ike gateway ike-gate-imh address 195.219.104.1 set security ike gateway ike-gate-imh external-interface ge-0/0/2.0 set security ike gateway ike-gate-imh_pri-sec ike-policy ike-policy-imh_pri-sec set security ike gateway ike-gate-imh_pri-sec address 195.219.104.1 set security ike gateway ike-gate-imh_pri-sec external-interface ge-0/0/0.0

Настройка выхода в интернет
Выход в интернет мы сделаем через PBR, см. http://ciscomaster.ru/content/juniper-policy-based-routing
Существует метод placing routing information in multiple tables simultaneously, этот метод называется routing information base (RIB) group.
Мы можем использовать instance-import, instance-export and auto-export

Использование routing information base (RIB) group не так интуитивно. Более понятно использовать instance-import Option.

set policy-options policy-statement policy-import_pbr-ISP-1 term permit-direct-ISP-1 from instance ri-ISP-1 set policy-options policy-statement policy-import_pbr-ISP-1 term permit-direct-ISP-1 from protocol direct set policy-options policy-statement policy-import_pbr-ISP-1 term permit-direct-ISP-1 from protocol local set policy-options policy-statement policy-import_pbr-ISP-1 term permit-direct-ISP-1 then accept set policy-options policy-statement policy-import_pbr-ISP-2 term permit-direct-ISP-2 from instance ri-ISP-2 set policy-options policy-statement policy-import_pbr-ISP-2 term permit-direct-ISP-2 from protocol direct set policy-options policy-statement policy-import_pbr-ISP-2 term permit-direct-ISP-2 from protocol local set policy-options policy-statement policy-import_pbr-ISP-2 term permit-direct-ISP-2 then accept set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-1 from instance ri-ISP-1 set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-1 from protocol static set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-1 from route-filter 0.0.0.0/0 exact set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-1 then accept set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-1 from instance ri-ISP-1 set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-1 from protocol direct set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-1 from protocol local set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-1 then accept set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-2 from instance ri-ISP-2 set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-2 from protocol static set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-2 from route-filter 0.0.0.0/0 exact set policy-options policy-statement policy-import_ri-master term permit-defroute-ISP-2 then accept set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-2 from instance ri-ISP-2 set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-2 from protocol direct set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-2 from protocol local set policy-options policy-statement policy-import_ri-master term permit-direct-ISP-2 then accept set policy-options policy-statement policy-import_ri-master term reject-any then reject

Для работы PBR создаём routing-instances type forwarding.
В каждую из них мы импортируем маршруты из ri-ISP-1 и ri-ISP-2 соответственно.

set routing-instances pbr-ISP-1 description "pbr to ISP1" set routing-instances pbr-ISP-1 instance-type forwarding set routing-instances pbr-ISP-1 routing-options static route 0.0.0.0/0 next-hop 87.226.186.65 set routing-instances pbr-ISP-1 routing-options instance-import policy-import_pbr-ISP-1 set routing-instances pbr-ISP-2 description "pbr to ISP2" set routing-instances pbr-ISP-2 instance-type forwarding set routing-instances pbr-ISP-2 routing-options static route 0.0.0.0/0 next-hop 217.170.112.9 set routing-instances pbr-ISP-2 routing-options instance-import policy-import_pbr-ISP-2

В Master Routing Instance мы импортируем маршруты из ri-ISP-1 и ri-ISP-2:

set routing-options instance-import policy-import_ri-master

В результате мы получим маршрутизацию:

srx# run show route inet.0: 510 destinations, 1003 routes (510 active, 0 holddown, 0 hidden) + = Active Route, - = Last Active, * = Both 0.0.0.0/0 *[Static/7] 29w3d 05:00:00 > to 87.226.186.65 via ge-0/0/2.0 [Static/9] 14w0d 00:41:46 > to 217.170.112.9 via ge-0/0/0.0

Далее делаем фильтр, и прикручиваем его на внутренний интерфейс.
Здесь логика следующая: весть внутренний трафик использует таблицу маршрутизации.
Трафик в интернет от 10.40.1.41 пойдет через ISP-1.
Остальной трафик в интернет пойдёт согласно таблице маршрутизации.

set firewall family inet filter LAN-in_filter term match-internal-traffic from source-address 10.0.0.0/8 set firewall family inet filter LAN-in_filter term match-internal-traffic from destination-address 10.0.0.0/8 set firewall family inet filter LAN-in_filter term match-internal-traffic then accept set firewall family inet filter LAN-in_filter term match-client_10_40_1_41 from source-address 10.40.1.41/32 set firewall family inet filter LAN-in_filter term match-client_10_40_1_41 then routing-instance pbr-ISP-1 set firewall family inet filter LAN-in_filter term else_accept then accept

set services rpm probe isp1-probe test isp1-test1 probe-type icmp-ping set services rpm probe isp1-probe test isp1-test1 target address 94.100.180.200 set services rpm probe isp1-probe test isp1-test1 probe-count 3 set services rpm probe isp1-probe test isp1-test1 probe-interval 15 set services rpm probe isp1-probe test isp1-test1 test-interval 300 set services rpm probe isp1-probe test isp1-test1 thresholds successive-loss 3 set services rpm probe isp1-probe test isp1-test1 thresholds total-loss 3 set services rpm probe isp1-probe test isp1-test1 destination-interface ge-0/0/2.0 set services rpm probe isp1-probe test isp1-test1 next-hop 87.226.186.65 set services rpm probe isp1-probe test isp1-test2 probe-type icmp-ping set services rpm probe isp1-probe test isp1-test2 target address 208.67.222.222 set services rpm probe isp1-probe test isp1-test2 probe-count 3 set services rpm probe isp1-probe test isp1-test2 probe-interval 15 set services rpm probe isp1-probe test isp1-test2 test-interval 300 set services rpm probe isp1-probe test isp1-test2 thresholds successive-loss 3 set services rpm probe isp1-probe test isp1-test2 thresholds total-loss 3 set services rpm probe isp1-probe test isp1-test2 destination-interface ge-0/0/2.0 set services rpm probe isp1-probe test isp1-test2 next-hop 87.226.186.65 set services rpm probe isp2-probe test isp2-test1 probe-type icmp-ping set services rpm probe isp2-probe test isp2-test1 target address 94.100.180.202 set services rpm probe isp2-probe test isp2-test1 probe-count 3 set services rpm probe isp2-probe test isp2-test1 probe-interval 15 set services rpm probe isp2-probe test isp2-test1 test-interval 300 set services rpm probe isp2-probe test isp2-test1 thresholds successive-loss 3 set services rpm probe isp2-probe test isp2-test1 thresholds total-loss 3 set services rpm probe isp2-probe test isp2-test1 destination-interface ge-0/0/0.0 set services rpm probe isp2-probe test isp2-test1 next-hop 217.170.112.9 set services rpm probe isp2-probe test isp2-test2 probe-type icmp-ping set services rpm probe isp2-probe test isp2-test2 target address 208.67.220.220 set services rpm probe isp2-probe test isp2-test2 probe-count 3 set services rpm probe isp2-probe test isp2-test2 probe-interval 15 set services rpm probe isp2-probe test isp2-test2 test-interval 300 set services rpm probe isp2-probe test isp2-test2 thresholds successive-loss 3 set services rpm probe isp2-probe test isp2-test2 thresholds total-loss 3 set services rpm probe isp2-probe test isp2-test2 destination-interface ge-0/0/0.0 set services rpm probe isp2-probe test isp2-test2 next-hop 217.170.112.9 set services ip-monitoring policy isp1-track match rpm-probe isp1-probe set services ip-monitoring policy isp1-track then preferred-route route 0.0.0.0/0 next-hop 217.170.112.9

Логика данной конструкции:
Если оба теста от rpm-probe isp1-track будут в состоянии FAILED, то выставляется маршрут на 217.170.112.9.

Похожие публикации:
1. Where 1 1 sql зачем
2. Как вычислить температуру смеси
3. Как убрать сквозняки в салоне ваз 2110 быстрый способ
4. Сабинтерфейс cisco что это