Я недавно приобрел Juniper SRX 210BE; до сих пор я использовал Cisco ASA 5505, но очень хочу переключиться на мир Juniper (большой поклонник FreeBSD и все такое).
У меня есть интернет-канал FTTC (оптоволокно в кабельную сеть), который входит в модем, который меняет сигнал VDSL на Ethernet, а затем с модема я подключаю Juniper с помощью кабеля Ethernet и выполняю аутентификацию PPPoE на Juniper.
Все работает нормально, но ... Я получаю серьезную потерю пакетов по результатам пинга и трассировки. Действительно странно то, что кажется, что этот PL используется только для сообщений ICMP / traceroute, и он не постоянный, а скорее прерывистый. Например. Я собираюсь потерять 10 пакетов, тогда все будет нормально в течение ~ 40 секунд, а затем еще один всплеск PL.
PL включает в себя первый хмель, которым является сам можжевельник! См. Ниже.
Host Loss% Snt Last Avg Best Wrst StDev
1. 10.17.17.62 29.3% 454 1.3 1.5 0.9 21.6 1.7
2. 109.224.191.50 13.2% 453 14.8 17.3 14.5 111.8 9.0
3. 149.6.9.170 12.8% 453 15.3 18.5 14.5 149.1 13.2
4. gi8-10.mag01.lhr01.atlas.cogentco.com 13.7% 453 15.4 25.8 14.6 218.9 33.1
5. te0-5-0-5.rcr21.lhr01.atlas.cogentco.com 12.6% 453 16.3 17.5 15.0 69.7 6.5
6. be2040.ccr41.lon13.atlas.cogentco.com 13.5% 453 16.7 17.9 16.0 72.4 4.9
7. be2194.ccr41.ams03.atlas.cogentco.com 12.6% 453 23.9 25.8 23.4 74.6 6.1
8. be2186.ccr41.ham01.atlas.cogentco.com 12.8% 453 33.7 35.6 32.5 94.6 8.3
9. be2147.rcr21.ber01.atlas.cogentco.com 13.7% 453 36.9 39.8 36.2 104.3 9.1
10. te3-1.ccr01.poz01.atlas.cogentco.com 13.2% 453 41.1 58.7 40.4 251.0 41.1
11. 149.6.28.22 13.2% 453 48.8 52.0 46.8 126.8 9.9
12. 81.210.127.195 13.5% 453 55.7 57.6 53.0 110.2 8.4
13. 83.238.250.131 38.9% 453 52.6 54.4 51.7 98.0 5.8
14. GdynR005RT01-RedaR001RT01.inetia.pl 17.9% 453 53.5 54.8 52.4 93.4 5.9
15. ???
16. rtr4.rtr-int-1.adm.wp-sa.pl 13.7% 453 55.5 57.3 54.7 120.9 6.8
17. www.wp.pl 13.5% 453 55.3 56.8 54.5 111.9 6.3
10.17.17.62 - это внутренний IP-адрес Juniper - как странно, не правда ли? Конфигурация довольно стандартная с настроенной аутентификацией PPPoE, а также NAT. Увидеть ниже:
## Last commit: 2014-10-17 23:19:14 BST by root
version 12.1X44-D40.2;
system {
time-zone Europe/London;
root-authentication {
encrypted-password "xxx"; ## SECRET-DATA
}
name-server {
208.67.222.222;
208.67.220.220;
}
services {
ssh;
telnet;
xnm-clear-text;
web-management {
http {
interface vlan.16;
}
https {
system-generated-certificate;
interface vlan.16;
}
}
dhcp {
domain-name lon.domain;
pool 10.17.17.0/26 {
address-range low 10.17.17.32 high 10.17.17.55;
default-lease-time 7200;
name-server {
8.8.8.8;
8.8.4.4;
}
router {
10.17.17.62;
}
}
}
}
syslog {
archive size 100k files 3;
user * {
any emergency;
}
file messages {
any critical;
authorization info;
}
file interactive-commands {
interactive-commands error;
}
}
max-configurations-on-flash 5;
max-configuration-rollbacks 5;
license {
autoupdate {
url https://ae1.juniper.net/junos/key_retrieval;
}
}
}
interfaces {
interface-range interfaces-trust {
member ge-0/0/1;
member fe-0/0/3;
member fe-0/0/4;
member fe-0/0/5;
member fe-0/0/6;
member ge-0/0/0;
member fe-0/0/2;
unit 0 {
family ethernet-switching;
}
}
ge-0/0/0 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
ge-0/0/1 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/2 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/3 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/4 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/5 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/6 {
unit 0 {
family ethernet-switching {
vlan {
members vlan-trust;
}
}
}
}
fe-0/0/7 {
unit 0 {
encapsulation ppp-over-ether;
}
}
pp0 {
traceoptions {
flag all;
}
unit 0 {
point-to-point;
ppp-options {
chap {
default-chap-secret "xxx"; ## SECRET-DATA
local-name "xxx";
passive;
}
}
pppoe-options {
underlying-interface fe-0/0/7.0;
idle-timeout 0;
auto-reconnect 30;
client;
}
no-keepalives;
family inet {
negotiate-address;
}
}
}
vlan {
unit 16 {
family inet {
address 10.17.17.62/26;
}
}
}
}
routing-options {
static {
route 0.0.0.0/0 {
next-hop pp0.0;
metric 0;
}
}
}
protocols {
stp {
disable;
interface ge-0/0/0.0 {
disable;
}
interface ge-0/0/1.0 {
disable;
}
interface fe-0/0/2.0 {
disable;
}
interface fe-0/0/3.0 {
disable;
}
interface fe-0/0/4.0 {
disable;
}
interface fe-0/0/5.0 {
disable;
}
interface fe-0/0/6.0 {
disable;
}
}
}
security {
flow {
tcp-mss {
all-tcp {
mss 1380;
}
}
}
screen {
ids-option untrust-screen {
ip {
source-route-option;
tear-drop;
}
tcp {
syn-flood {
alarm-threshold 1024;
attack-threshold 200;
source-threshold 1024;
destination-threshold 2048;
timeout 20;
}
land;
}
}
}
nat {
source {
rule-set trust-to-untrust {
from zone trust;
to zone untrust;
rule source-nat-rule {
match {
source-address 10.17.17.0/26;
}
then {
source-nat {
interface;
}
}
}
}
}
}
policies {
from-zone trust to-zone untrust {
policy trust-to-untrust {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
}
zones {
security-zone trust {
host-inbound-traffic {
system-services {
all;
}
protocols {
all;
}
}
interfaces {
vlan.16 {
host-inbound-traffic {
system-services {
dhcp;
all;
}
}
}
fe-0/0/5.0;
}
}
security-zone untrust {
interfaces {
pp0.0 {
host-inbound-traffic {
system-services {
ssh;
ping;
traceroute;
}
}
}
}
}
}
}
vlans {
vlan-trust {
vlan-id 16;
l3-interface vlan.16;
}
}
Когда я запускаю ping к чему-либо из самого Juniper, иногда ping нормальный, но в некоторые моменты я также получаю PL. Даже моему GW. Если я снова переключусь на Cisco ASA 5505 - PL буквально не будет.
Есть ли у кого-нибудь предложения, что посмотреть? Я пробовал разные порты, стер конфигурацию и повторил попытку и т. Д. Ничего не помогает. Учитывая, что другие протоколы работают нормально во время PL по ICMP / traceroute, я подозреваю, что это какое-то ограничение, но как определить, какой именно ??? Я почти уверен, что отключил все экраны и т. Д.
Любой совет, очень признателен.
РЕДАКТИРОВАТЬ: я использую последнюю рекомендованную версию программного обеспечения - 12.1X44-D40.2
root> show version
Model: srx210be
JUNOS Software Release [12.1X44-D40.2]
РЕДАКТИРОВАТЬ 2: Я только что провел тест; Я подключил Raspberry PI напрямую к интерфейсу и начал MTRing. Вот результат:
Packets Pings
Host Loss% Snt Last Avg Best Wrst StDev
1. 10.17.17.62 47.3% 112 1.2 1.2 1.0 3.3 0.3
2. 10.50.50.2 0.0% 111 1.7 1.9 1.3 14.4 1.7
10.17.17.62 снова является GW.
После дальнейших тестов кажется, что ICMP на самом деле не пострадал. Это просто MTR, который использует UDP для traceroute. Однако я не могу точно отследить, что, черт возьми, ограничивает / отбрасывает это.