juniper Access-internal route

[renegade310 0]

Всем привет.

Не получается импортнуть Access-internal роуты из основной inet.0 таблицы в vrf type forwarding.

Настройки такие:

http-redirect {
    instance-type forwarding;
    routing-options {
        static {
            route 0.0.0.0/0 next-hop 192.168.168.6;
        }
    }
}


interface-routes {
    rib-group inet fbf-group;
}


rib-groups {
    fbf-group {
        import-rib [ inet.0 http-redirect.inet.0 ];
        import-policy custom-import;
    }
}

В новой врф вижу все роуты кроме как Access-Internal.

Нужный роут в основной таблице выглядит вот так:

10.10.10.1/32 *[Access-internal/12] 20w3d 06:46:28
                       Private unicast

Коробка выполняет роль браса, и настроен dynamic-profiles.

Просьба подсказать что делаю не так.

Нужные куски конфигов докину если будет нужно.

Спасибо!

[khatgit 22]

День добрый.

Главный вопрос - зачем Access-internal маршруты вам нужны в forwarding?

Тут или я не понимаю, что вы хотите сделать  - или вы не понимаете что такое instance-type forwarding, для чего он нужен и как он работает.

 

Из вашего конфига в vrf type forwarding должен быть только один маршрут - к 192.168.168.6.

[renegade310 0]

57 minutes ago, khatgit said:

День добрый.

Главный вопрос - зачем Access-internal маршруты вам нужны в forwarding?

Тут или я не понимаю, что вы хотите сделать  - или вы не понимаете что такое instance-type forwarding, для чего он нужен и как он работает.

 

Из вашего конфига в vrf type forwarding должен быть только один маршрут - к 192.168.168.6.

 

Мне нужно весь трафик сети 172.31.160.0/19 завернуть в отдельный vrf со своим дефолтом.

Весь трафик сети 172.31.160.0/19 заворачивается, но вот обратно от сервера к 172.31.160.0/19 не идёт, так как в http-redirect.inet.0 нету маршрутов к клиенту, то есть Access-internal.

Наверное я что-то перемудрил...

[khatgit 22]

Обратный трафик и не должен ходить через через http-redirect.

У вас сервер 192.168.168.6 с роутером взаимодействует через интерфейс, который скорее всего находится в inet.0, но никак не в http-redirect - там интерфейсов быть не может. Вот и обратный трафик у нас должен тогда ходить в inet.0.

[l1ght 377]

1 час назад, renegade310 сказал:

Мне нужно весь трафик сети 172.31.160.0/19 завернуть в отдельный vrf со своим дефолтом.

forwarding-options {
    family inet {
        filter {
            input custom-flow-fbf;
        }
    }
}


> show configuration firewall family inet filter custom-flow-nat 
term local {
    from {
        source-prefix-list {
            pl-mynets;
            rfc1918;
            nat;
        }
        destination-prefix-list {
            pl-mynets;
            rfc1918;
            nat;
        }
    }
    then accept;
}
term nat {
    from {
        source-prefix-list {
            nat;
        }
    }
    then {
        routing-instance cg-nat-1;
    }
}
term default {
    then accept;
}

> show configuration policy-options prefix-list nat 
100.64.0.0/10;


> show configuration routing-instances cg-nat-1 
instance-type virtual-router;
interface xe-0/1/6.9;
routing-options {
    static {
        route 0.0.0.0/0 next-hop 10.255.252.2;
        route 100.64.0.0/10 next-table inet.0;
    }
}

 

Відредаговано 2020-11-21 15:47:40 l1ght

[renegade310 0]

5 hours ago, khatgit said:

День добрый.

Главный вопрос - зачем Access-internal маршруты вам нужны в forwarding?

Тут или я не понимаю, что вы хотите сделать  - или вы не понимаете что такое instance-type forwarding, для чего он нужен и как он работает.

 

Из вашего конфига в vrf type forwarding должен быть только один маршрут - к 192.168.168.6.

В какую сторону копать понял, спасибо!

2 hours ago, l1ght said:

forwarding-options {
    family inet {
        filter {
            input custom-flow-fbf;
        }
    }
}


> show configuration firewall family inet filter custom-flow-nat 
term local {
    from {
        source-prefix-list {
            pl-mynets;
            rfc1918;
            nat;
        }
        destination-prefix-list {
            pl-mynets;
            rfc1918;
            nat;
        }
    }
    then accept;
}
term nat {
    from {
        source-prefix-list {
            nat;
        }
    }
    then {
        routing-instance cg-nat-1;
    }
}
term default {
    then accept;
}

> show configuration policy-options prefix-list nat 
100.64.0.0/10;


> show configuration routing-instances cg-nat-1 
instance-type virtual-router;
interface xe-0/1/6.9;
routing-options {
    static {
        route 0.0.0.0/0 next-hop 10.255.252.2;
        route 100.64.0.0/10 next-table inet.0;
    }
}

 

Благодарю!