Ações de contagem e policiamento específicas de prefixo

Contagem e policiamento separados para cada faixa de endereço IPv4

A contagem e o policiamento específicos de prefixo permitem que você configure um termo de filtro de firewall IPv4 que corresponda a um endereço de origem ou destino, aplica um policial de duas cores de taxa única como o termo ação, mas associa o pacote combinado com uma instância específica de contador e policial com base na origem ou destino no cabeçalho do pacote. Você pode criar implicitamente um contador ou um policial separado para um único endereço ou para um grupo de endereços.

A contagem e o policiamento específicos de prefixo usam uma configuração de ação específica para prefixo que especifica o nome do policiador que você deseja aplicar, se a contagem específica do prefixo deve ser ativada e uma faixa de prefixo de endereço de origem ou destino.

A faixa de prefixo especifica entre 1 e 16 bits definidos sequenciais de uma máscara de endereço IPv4. O comprimento da faixa de prefixo determina o tamanho do conjunto de contadores e policiais, que consiste em apenas 2 ou até 65.536 instâncias de contador e policial. A posição dos bits da faixa de prefixo determina a indexação de pacotes combinados com filtro no conjunto de instâncias.

Para aplicar uma ação específica de prefixo ao tráfego em uma interface, você configura um termo de filtro de firewall que combina com endereços de origem ou destino e, em seguida, você aplica o filtro de firewall na interface. O fluxo de tráfego filtrado é limitado por taxa usando instâncias de contador e policiamento específicas de prefixo que são selecionadas por pacote com base na origem ou endereço de destino no cabeçalho do pacote filtrado.

Configuração de ação específica do prefixo

Para configurar uma ação específica do prefixo, você especifica as seguintes informações:

• Nome de ação específico do prefixo — Nome que pode ser mencionado como ação de um termo de filtro de firewall padrão IPv4 que combina pacotes em endereços de origem ou destino.

• Nome do policial — nome de um policial de duas cores de taxa única para o qual você deseja criar implicitamente instâncias específicas do prefixo.

  Nota:

  Para interfaces Ethernet agregadas, você pode configurar uma ação específica de prefixo que faz referência a um policiador de interface lógica (também chamado de policiador agregado). Você pode fazer referência a esse tipo de ação específica de prefixo a partir de um filtro de firewall padrão IPv4 e, em seguida, aplicar o filtro no nível agregado da interface.

• Opção de contagem — opção de incluir se você quiser habilitar contadores específicos de prefixo.

• Opção específica para o filtro — opção de incluir se você quiser que um único contador e um policial sejam compartilhados em todos os termos do filtro de firewall. Uma ação específica de prefixo que opera dessa forma é dita para operar em modo específico de filtro. Se você não habilitar essa opção, a ação específica do prefixo opera em modo específico de prazo , o que significa que um contador e um conjunto de policiadores separados são criados para cada termo de filtro que faz referência à ação específica do prefixo.

• Comprimento do prefixo do endereço de origem — comprimento do prefixo do endereço, de 0 a 32, para ser usado com um pacote combinado no endereço de origem.

• Comprimento do prefixo do endereço de destino — comprimento do prefixo do endereço, de 0 a 32, para ser usado com um pacote combinado no endereço de destino.

• Comprimento do prefixo de sub-rede — comprimento do prefixo da sub-rede, de 0 a 32, para ser usado com um pacote combinado no endereço de origem ou destino.

Você deve configurar comprimentos de prefixo de endereço de origem e destino para ser de 1 a 16 bits a mais do que o comprimento do prefixo da sub-rede. Se você configurar comprimentos de prefixo de endereço de origem ou destino a mais de 16 bits além do comprimento de prefixo de sub-rede configurado, um erro ocorre quando você tenta comprometer a configuração.

Tamanho e indexação de conjuntos de contadores e policiais

O número de ações específicas de prefixo (contadores ou policiais) criadas implicitamente para uma ação específica de prefixo é determinada pelo comprimento do prefixo do endereço e pelo comprimento do prefixo da sub-rede:

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

Tabela 1 mostra exemplos de contador e policial definir tamanho e indexação.

Comprimento de prefixo da ação e comprimento de prefixo dos endereços em pacotes filtrados

Tabela 2 descreve a relação entre o comprimento do prefixo especificado na ação específica do prefixo e o comprimento do prefixo dos endereços combinados pelo termo do filtro de firewall que faz referência à ação específica do prefixo.

Cenário 1: O termo do filtro de firewall combina em vários endereços

O exemplo completo mostra Example: Configuração de contagem e policiamento específicos de prefixoo caso mais simples de ações específicas de prefixo, em que um filtro de firewall de um único prazo combina em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, esse cenário descreve uma configuração na qual um filtro de firewall de um único prazo combina com dois endereços de origem IPv4. Além disso, a condição adicional combina em um endereço de origem com um comprimento de prefixo diferente do comprimento do prefixo de sub-rede definido na ação específica do prefixo. Nesse caso, a condição adicional corresponde à /16 sub-rede do endereço 10.11.0.0de origem.

Os pacotes combinados com filtros que são passados para o índice de ação específico do prefixo no balcão e no policiamento são definidos de forma que as instâncias de contagem e policiamento sejam compartilhadas por pacotes que contêm endereços de origem em todas as sub-redes da 10.10.10.0/2410.11.0.0/16 seguinte forma:

• O primeiro contador e policial do conjunto são indexados por pacotes com endereços 10.10.10.0 de origem e 10.11.x.0, onde x varia de 0 até 255.

• O segundo contador e o policial do conjunto são indexados por pacotes com endereços 10.10.10.1 de origem e 10.11.x.1, onde x varia de 0 até 255.

• O 256º (último) contador e policial do conjunto são indexados por pacotes com endereços 10.10.10.255 de origem e 10.11.x.255, onde x varia de 0 até 255.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall stateless padrão IPv4 que faz referência à ação específica do prefixo:

Cenário 2: O prefixo de sub-rede é maior do que o prefixo na condição de correspondência do filtro

O exemplo completo, Example: Configuração de contagem e policiamento específicos de prefixomostra o caso mais simples de ações específicas de prefixo, em que o filtro de firewall de um único prazo combina em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, esse cenário descreve uma configuração na qual a ação específica do prefixo define um comprimento de prefixo de sub-rede mais longo do que o prefixo do endereço de origem compatível com o filtro de firewall. Nesse caso, a ação específica do prefixo define um valor de prefixo de sub-rede, enquanto o filtro de 25firewall combina com um endereço de origem na /24 sub-rede.

Os pacotes combinados com filtros que são passados para o índice de ação específico de prefixo no balcão e no policiamento são definidos de forma que as instâncias de contagem e policiamento sejam compartilhadas por pacotes que contêm qualquer um dos dois endereços de origem dentro da 10.10.10.0/24 sub-rede:

• O primeiro contador e policial do conjunto são indexados por pacotes com endereços 10.10.10.0 de origem e 10.10.10.128.

• O segundo contador e o policial do conjunto são indexados por pacotes com endereços 10.10.10.1 de origem e 10.10.10.129.

• O 128º (último) contador e policial do conjunto são indexados por pacotes com endereços 10.10.10.127 de origem e 10.10.10.255.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall stateless padrão IPv4 que faz referência à ação específica do prefixo:

Cenário 3: Sub-redeO 128º contador e prefixo do policiador é menor que o prefixo na condição de correspondência do filtro de firewall

O exemplo completo, Example: Configuração de contagem e policiamento específicos de prefixomostra o caso mais simples de ações específicas de prefixo, em que o filtro de firewall de um único prazo combina em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, esse cenário descreve uma configuração na qual a ação específica do prefixo define um comprimento de prefixo de sub-rede menor do que o prefixo do endereço de origem compatível com o filtro de firewall. Nesse caso, o termo filtro combina com a /25 sub-rede do endereço 10.10.10.0de origem.

Os pacotes combinados que são passados para o índice de ação específico de prefixo na metade inferior do contador e do conjunto de policiais:

• O primeiro contador e policial do conjunto são indexados por pacotes com endereço 10.10.10.0fonte.

• O segundo contador e o policial do conjunto são indexados por pacotes com endereço 10.10.10.1 de origem e 10.10.10.129.

• O 128º contador e policial do conjunto são indexados por pacotes com endereço 10.10.10.127de origem.

• A metade superior do conjunto (instâncias numeradas de 128 a 255) não é indexada por pacotes passados para a ação específica do prefixo a partir deste filtro de firewall específico.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall stateless padrão IPv4 que faz referência à ação específica do prefixo: