Инструкция простая:
1. Обновляемся до версии 24.4R2
2. Настраиваем сбор DDoS-статистики через телеметрию (пример для Telegraf)
# [inputs.gnmi.aliases]
# ddos-protection = "/ddos-stats"
# [[inputs.gnmi.subscription]]
# name = "ddos-protection"
# origin = "openconfig"
# path = "/junos/system/linecard/ddos/"
# subscription_mode = "sample"
# sample_interval = "10s"
3. А собственно и все. При опросе сенсора junos/system/linecard/ddos FPC тут же отваливается, выключаются все порты. Не верите? Видео-доказательства прилагаются.
▎Почему это происходит?
Вообще, как бы то ни было этого не должно происходить!
Но попробуем разобраться.
В одном из доков Juniper:
For advanced, real-time monitoring and integration with network monitoring systems, Junos provides streaming telemetry sensors. The sensor for exposing DDoS protection data is:
/junos/system/linecard/ddos
Отлично, но в другой доке есть доп инфа:
/junos/system/linecard/ddos/ This PFE sensor exports the statistics of DDOS from MPC1, MPC2,
MPC3, MPC5, MPC6, MPC7, MPC8, and MPC9 line cards.
Значит ли это, что этот сенсор доступен только на модульных железках, а на mx204, где только buildin-MPC не доступен?
Возможно, но явного подтверждения не нашел.
В документации Junos Telemetry User Guide в явном виде пишут только про:
Starting in Junos OS Release 22.1R1 EX4650, QFX5110,
QFX5120-48Y, QFX5200 and QFX5210 switches are supported.
Starting in Junos OS Evolved Release 22.3R1, PTX10001-36MR,
PTX10003, PTX10004, PTX10008, PTX10016 routers are
supported.
Про MX инфы нет…
Идем в Explore Data Model Attributes by Product, посмотрим что доступно для mx204 и mx304:
• MX304 — директория ddos-stats есть ✅
• MX204 — ddos-stats нет ни в одной версии ❌
При этом,
• На MX204 на 23 версии статистика собирается без проблем
• На MX204 на 24 версии крашится FPC
• На MX304 и на 23 и 24 версиях статистика собирается
Сравнивать напрямую MX204 и MX304 наверно неправильно, потому что это совсем разные платформы, но тем не менее.
▎Вывод
Похоже, на MX204 работа сенсора /junos/system/linecard/ddos/ не предполагалась в принципе. До 24-й версии он как-то работал «по случайности», а в 24-й что-то пошло не так, и теперь опрос выключает FPC.
Похожих багов не нашел.
В защину Juniper можно сказать, что Suggested Release для MX204 - это Junos 23.4R2-Sx, то есть формально на 24-ю лезть в принципе не стоило. Но вопросы всё равно остаются 😊
Будни сетевика