Juniper SRX Seriesでmulti homingする

Ciscoでsource address routingを使って出口を分けたことしかなく、やったら割と面倒だったのでメモ。
ほぼwebguiで設定不可です。
DHCP Serverとしても機能させる場合、JUNOS Software Release 12.1X47以降推奨。

目標

インターネット回線が二つあり、SRX 210 HE2 １台で両方とも受け取る。接続はDHCP。PPPoEでもpp0とpp1に読み替えれば問題ないはずです。
メインの回線とゲスト用回線の二つに分割する。VLAN切って置いてWifiのアクセスポイントに渡す。

設定

普通に設定できるところは設定項目のみ記載。

vlan

vlan	vlan name	description
vlan.1	internal	内部通信用
vlan.2	wifi	wifi用
vlan.3	Guest	guest wifi用

インターフェース

interface	vlan	description
ge-0/0/0	no vlan dhcp-client	インターネット回線１
ge-0/0/1	native-vlan internal, trunk vlan [wifi Guest]	無線AP用
fe-0/0/2	no vlan dhcp-client	インターネット回線２
fe-0/0/3-7	access vlan internal	内部通信用

Zone

|Zone|interface|
|---|---|---|
|internal|vlan.1 vlan.2|
|internet|ge-0/0/0|
|Guest|vlan.3|
|Guest Internet|fe-0/0/2|

Security Policyは適当に。ルーティングをどうにかしてあげないとポリシーをどうしようがinternalとguestは繋がりません。
他、internal -> internetとguest -> Guest internetにSource NATしてインターネットに出れるようにしてあげます。

Virtual Router

当初はsource natのみで出口が変えられると思ってたけど全然ダメだったのでVirtual Router機能を使ってどうにかします。

Virtual Routerを使うと複数のルーティングテーブルが作成でき、それに対してインタフェースを割り当てられるので今回の目的に最適。社内とゲストで相互で通信できないほうがよいので。

ゲスト用の回線として使うfe-0/0/2とvlan3を所属させておきます。
今回はdhcpで回線情報を受け取るので必要ないですが、設定がいる場合にはrouting-instances内のrouting-optionsでstatic routeを設定します。

routing-instances {
    guest {
        instance-type virtual-router;
        interface fe-0/0/2.0;
        interface vlan.3;
    }
}

DHCP

これで大体動くんですが、DHCP Serverとして動かしてると、routing-instanceで隔離したところだけDHCPが配れません。
DHCPのパケットだけinet.0を通るように設定してあげる方法もありましたが、とてもわかりにくいので、12.1X47以降に搭載されているJDHCPを使う方法にします。

旧DHCP Serverの設定と混じるとエラーとなる糞仕様なのでデフォルトのdhcp設定は全て削除する必要があります。つまりwebguiからdhcpを設定してると駄目です。

DHCP serverは今回のようにVirtual Routerで分割している場合は、routing-instance内で作ってあげる必要があります。

system {
    service {
       dhcp-local-server {
            group dhcp-group {
                interface vlan.1;
                interface vlan.2;
            }
        }
    }
}
access {
    address-assignment {
        pool wifi {
            family inet {
                network x.x.x.x/20;
                range wifi-range {
                    low x.x.x.x;
                    high x.x.x.x;
                }
                dhcp-attributes {
                    name-server {
                        x.x.x.x;
                    }
                    router {
                        x.x.x.x;
                    }
                    propagate-settings vlan.2;
                }
            }
        }
        pool internal {
            family inet {
                network x.x.x.x/20;
                range internal-range {
                    low x.x.x.x;
                    high x.x.x.x;
                }
                dhcp-attributes {
                    name-server {
                        x.x.x.x;
                    }
                    router {
                        x.x.x.x;
                    }
                    propagate-settings vlan.1;
                }
            }
        }
    }
}
routing-instances {
        system {
            services {
                dhcp-local-server {
                    group guest {
                        interface vlan.3;
                    }
                }
            }
        }
        access {
            address-assignment {
                pool guest {
                    family inet {
                        network x.x.x.x/24;
                        range guest-range {
                            low x.x.x.x;
                            high x.x.x.x;
                        }
                        dhcp-attributes {
                            name-server {
                                x.x.x.x;
                            }
                            router {
                                x.x.x.x;
                            }
                            propagate-settings vlan.3;
                        }
                    }
                }
            }
        }
    }
}

DHCP clientでDHCPを受け取る側も同様でデフォルトのものは使えません。

interfaces {
    ge-0/0/0 {
        gigether-options {
            auto-negotiation;
        }
        unit 0 {
            family inet {
                dhcp-client {
                    update-server;
                }
            }
        }
    }
    fe-0/0/2 {
        fastether-options {
            auto-negotiation;
        }
        unit 0 {
            family inet {
                dhcp-client {
                    update-server;
                }
            }
        }
    }
}

これでゲスト側でもDHCPが渡せます。