DigiLoog

Archive for the ‘PC’ Category

自宅の「Cisco/Juniper/Fortigate」でBGPを喋らせてみた

2017年08月26日(土) - 23:54 | カテゴリ: Network

結構前から『自宅ラックでBGP喋らせたいな～ IHAnet繋ぎたいな～』と思いつつも、
やる事が多かったり、設備が足りなかったり、そもそもBGP知識が無かったりして断念していた。

ただ、このまま燻らせて画面しても体に悪いし、最近はNWネタに疎くなりつつあるので、
NW知識を定着させる意味も込めて、3ベンダーをごちゃ混ぜにしてBGPピアを張ってみた。

今回はIPv6オンリーでBGPを喋らせてみた。
ただ、このままだとIPv4へ接続出来ないので、FortigateでNAT64もしてみた。

コアの部分はiBGPにstaticとconnectedを再配布する構成にしてみた。
本当はクライアントPCセグメントでOSPFを喋らせて、BGPとOSPFで再配布したかったのだが、
Cisco 1812JでIPv6のVRFを使っているインターフェースではOSPFv3を喋れない事が判明し、
今回は断念してstaticでルーティングを切った。

あと、本業でBGP取り扱っている人には怒られそうだが、
各BGPスピーカーでピアを張るのが面倒くさかったので、Cisco 1812Jにルートリフレクタも兼用させ、
他のスピーカーからピアを張る形にしてセッション数削減。
こうした事で、別ベンダー装置のBGP検証を行う時も、
ルートリフレクタのみにピアを張ればルーティングテーブルを取得出来るようにした。

今回のキモとなったのは、実はJuniperSRX100の方だった。
今までJuniper製品を殆ど触った事が無いのと、
DefaultRouteをBGP網に流しつつも他NWへ「お漏らし」しないようにフィルタリングしたり、
loopback I/FからBGPのセッションが張れなかったりと四苦八苦した。
最終的にはACL制御をミスってloopback宛の通信をAnyDenyしていたり、
アドバタイズするプレフィックスをミスっているだけだったのだが、
原因調査の過程でコマンドを色々触ったので勉強になった。

FortigateのBGPは難なく設定が完了した。が、NAT64の方でハマった…
NAT64のフューチャーをenableにして、NAT64ルールを作成しても一向に通信出来なかった。
最後の方では、Fortigate上でパケットキャプチャ、デバッグモードでフロー確認もしたのだが、
「”64::FF9B::/96″宛のルーティングテーブルが無い」と言われているだけで謎だった。
海外のサイトも漁った所、「再起動するヨロシ」と書かれていたので再起動を試した所、
NAT64で接続が出来てしまい『自分の苦労は何だったんだろう…』と思ったが、
まぁこんな事もあるだろう _(:3」∠)_

………

着々と進んでいる”ns-lab BB”のIPv6対応だが、
今回の構築を行った事で、BGPの検証環境とNAT64実環境を構築出来たのは収穫。
自分が作成したコンフィグは、レベルが低くて公開出来るレベルでは無いのだが、
~~時間ある時に公開もしてみようと思う。~~
折角なので、コンフィグの一部を公開。

………

Juniper SRX100

interfaces {
    lo0 {
        unit 0 {
            family inet6 {
                address 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100/128;
            }
        }
    }
}
routing-options {
    rib inet6.0 {
        static {
            route ::/0 next-hop "DefaultRouteの向け先";
            route 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:1812/128 next-hop "Cisco1812JのIPv6アドレス";
            route 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60/128   next-hop "Fortigate60DのIPv6アドレス";
        }
    }
    router-id 10.0.0.100;
    autonomous-system 65000;
}
protocols {
    bgp {
        export AS65000 {
        group GROUP_AS65000 {
            type internal;
            local-address 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100;
            log-updown;
            family inet6 {
                unicast;
            }
            neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:1812;
        }
    }
}
policy-options {
    policy-statement AS65000 {
        term redistribute {
            from {
                protocol static;
                route-filter ::/0 exact;
            }
            then {
                next-hop self;
                accept;
            }
        }
        then reject;
    }
}

………

Cisco 1812J

interface Loopback0
 vrf forwarding vrf_ipv6
 no ip address
 ipv6 address 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:1812/128
 ipv6 nd router-preference High
!
vrf definition vrf_ipv6
 rd 10.0.18.12:6
 !
 address-family ipv4
 exit-address-family
 !
 address-family ipv6
 exit-address-family
!
router bgp 65000
 bgp router-id 10.0.18.12
 no bgp default ipv4-unicast
 bgp log-neighbor-changes
 !
 address-family ipv4 vrf vrf_ipv6
  no synchronization
 exit-address-family
 !
 address-family ipv6 vrf vrf_ipv6
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100 remote-as 65000
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100 update-source Loopback0
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100 activate
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100 route-reflector-client
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60  remote-as 65000
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60  update-source Loopback0
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60  activate
  neighbor 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60  route-reflector-client
  redistribute connected
  redistribute static
  default-information originate
  no synchronization
 exit-address-family
!
ipv6 route vrf vrf_ipv6 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100/128 "JuniperSRX100のIPv6アドレス"
ipv6 route vrf vrf_ipv6 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60/128  "Fortigate60DのIPv6アドレス"

………

Fortigate 60D

config system interface
    edit "loopback1"
        set vdom "root"
        set type loopback
        set snmp-index 1
        config ipv6
            set ip6-allowaccess ping
            set ip6-address 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60/128
        end
    next
end
config router access-list6
    edit "bgp-nat64"
        config rule
            edit 10
                set prefix6 64:ff9b::/96
                set exact-match enable
            next
            edit 20
                set action deny
                set exact-match disable
            next
        end
    next
end
config router route-map
    edit "bgp-route-map"
        config rule
            edit 10
                set match-ip6-address "bgp-nat64"
            next
        end
    next
end
config router static6
    edit 1
        set dst 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:1812/128
        set gateway "Cisco1812JのIPv6アドレス"
        set device "wan2"
    next
    edit 2
        set dst 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:100/128
        set gateway "JuniperSRX100のIPv6アドレス"
        set device "wan2"
    next
    edit 3
        set dst 64:ff9b::/96
        set gateway 2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:60
        set device "loopback1"
    next
end
config router bgp
    set as 65000
    set router-id 10.0.0.60
    config neighbor
        edit "2001:470:FDB0:FFFF:FFFF:FFFF:FFFF:1812"
            set remote-as 65000
            set route-map-out6 "bgp-route-map"
            set update-source "loopback1"
        next
    end
    config redistribute6 "static"
        set status enable
    end
end

« 続きを隠す

No Comments Subscribe via Entries RSS.

IPv6 FORUMとIPv6 Certificationの登録完了

2017年07月15日(土) - 23:11 | カテゴリ: Network

実は今年の1月1日から少しずつやっていた”IPv6 Certification”と、
自鯖をIPv6化した事で申請可能になった”IPv6 FORUM”への登録がやっと完了した。

IPv6 FORUM

IPv6 Certification

IPv6 FORUMの方は申請・登録が完了すると、申請者の固有ID付きIPv6 READYロゴが発行され、
Webサイトとかに用いる事が出来る。
ただ、結構ロゴがデカく自鯖のWebサイトで用いるとレイアウトが微妙になるので使って無いが…

日本で取得している所も結構多く、kame.net、JPRS、IIJとかが取得している。
他にも、コミケのNW島で有名な方々が取得していたりしていて、
IPv6界隈だと有名な認証プログラムだったりする。

………

IPv6 Certificationsは、あまり使っている人がいないだろうが、
日本のISPでIPv6対応がここまで進んで居なかった時代に『とりあえずIPv6を調達する』には重宝していたらしい。
現在使う場面としては、Bフレッツを使っている人、ケーブルテレビ系でIPv6対応出来無い人が、
どうしてもIPv6を自宅に引き込みたい場合に使う必要がある『IPv6トンネル』の接続先となる。

実際のIPv6トンネルの接続先は、同社のTunnelbrokerサービスなのだが、
TunnelbrokerとCertificationsは連動していて、CertificationsでSageレベル以上になると、
通常はフィルタリングされているOP25Bが解除出来る為、
Tunnelbrokerを自鯖用途で使う場合には、必然的にCertificationsもSage以上にしなければならない。

で、最短でSageにするには丸一日と100円(ドメイン調達費)があれば問題無いのと、
点数も900点程度あればなんとかなるのだが、今回は満点である1500点まで上げてみた。
ぶっちゃけ、これが非常に面倒くさく、pingを1日毎に100箇所へ飛ばしたりしなければならない (；´Д｀)

ただ、登録上はJPの人で1500点まで行っている人は自分含めて2人しかいないので、
今まで知らなかった人は是非とも使って欲しい所存。無料でIPv6を/48貰えるし。

ちなみに、Tunnelbrokerを日本から接続する際に通信経路がアメリカ経由、
インドネシア経由になって通信速度が猛烈に遅くなる場合があるのだが、
トンネルを貼るIPv4のISPを上手く選ぶと30～50Mbps程度までは普通に出る。

………

あまり取り沙汰されていないIPv6対応だが、今年からLTE網でのIPv6払い出しがデフォルトになったり、
ISPレベルでの対応も着々と進んでいたりする。
そうなると、次はコンテンツの対応が必須になるので、
そろそろ準備を本格的に進めなければならないのかもしれない。

No Comments Subscribe via Entries RSS.

GeForce GTX1060 3GBをIYHしてきた

2017年07月02日(日) - 23:15 | カテゴリ: 自作PC

それは突然現れたーー

自鯖のターミナルを開いてスクリプトをぶん回し就寝。
そして、朝起きたら画面にはブロックノイズ、再起動したらatikmpag.sysのエラー…
「これアカンやつや (；´Д｀)」と直感し、即座に原因究明の長旅へ。

ドライバ再インストール、最小構成、PCI-Eスロット変更、モニタ変更など色々と切り分けを進めた所、
マザボ・グラボのどちらかがご臨終された所まで突き止めた。
ただ、自宅に予備グラボが存在しない為、最後の切り分けが出来ずどうした物かと1時間。

『グラボが無いなら買えば良いじゃないか！ (゜∀。)』

という事で、巷で話題のGeForce GTX1060 3GBを買って来た。

付属品はいらないので、ZOTACの素GTX1060を購入。
また、普段からゲームはやらず、高速エンコードでGPUを使う用途なので3GB版を選択してみた。

今まで使っていたグラボがRadeonだった事もあり、今回もRadeonにしようか迷ったのだが、
映像出力端子の数と、グラボの処理能力を天秤に掛けた結果、GTX1060に軍配が上がった。

今回の購入品はショート基板なので、GTX1060にしては基板が短い。
空冷ファンが1機しかないのが若干気になるが、長時間ゲームやるわけじゃないし問題無いと踏んだ。
ちなみに、エンコードでぶん回す時はPCを設置している部屋のエアコンをONにしている。

映像端子はDVI-I、HDMI、DisplayPortの3種類。
自宅は3画面のマルチモニタなので、どうしてもデジタル系の出力が3系統必要になる。
ただ、DisplayPortを喋れるモニタを持っていないので、DVI-Iは1系統を直結、
DVI-DをDisplayPortにアクティブで変換して2系統接続する構成にしてみた。
一応、上記の状態で3DMarkをぶん回したりしたが、エラーも出ていないので問題無いと思われる。