Policiais básicos de três cores de duas categorias
Visão geral do policial de três cores de duas categorias
Um policial de três cores de duas categorias define dois limites de largura de banda (um para tráfego garantido e um para tráfego máximo) e dois tamanhos de explosão (um para cada um dos limites de largura de banda). Um policiador de três cores de duas categorias é mais útil quando um serviço é estruturado de acordo com as taxas de chegada e não necessariamente o comprimento do pacote.
Medidores de policiamento de três cores de duas categorias por fluxo de tráfego com base nos seguintes critérios de tráfego configurados:
Taxa de informação comprometida (CIR)— limite de largura de banda para tráfego garantido.
Tamanho de explosão comprometido (CBS)— tamanho máximo de pacote permitido para explosões de dados que excedem o CIR.
Taxa de informação de pico (PIR)— limite de largura de banda para tráfego de pico.
Tamanho de explosão de pico (PBS)— Tamanho máximo de pacote permitido para explosões de dados que excedem o PIR.
A marcação tricolor de duas taxas (TCM de duas taxas) classifica o tráfego como pertencente a uma das três categorias de cores e realiza ações de controle de congestionamento nos pacotes com base na marcação de cores:
Verde — tráfego que está em conformidade com o limite de largura de banda e tamanho de explosão para tráfego garantido (CIR e CBS). Para um fluxo de tráfego verde, o TCM de duas taxas marca os pacotes com uma prioridade de perda implícita e transmite os pacotes.
lowAmarelo — Tráfego que excede o limite de largura de banda ou o tamanho de explosão para tráfego garantido (CIR ou CBS), mas não o limite de largura de banda e o tamanho de explosão para tráfego máximo (PIR e PBS). Para um fluxo de tráfego amarelo, o TCM de duas taxas marca pacotes com uma prioridade de perda implícita e transmite os pacotes.
medium-highVermelho — Tráfego que excede o limite de largura de banda e o tamanho de explosão para tráfego máximo (PIR e PBS). Para um fluxo de tráfego vermelho, o TCM de duas taxas marca pacotes com uma prioridade de perda implícita e, opcionalmente, descarta os pacotes.
high
Se o congestionamento ocorrer downstream, os pacotes com maior prioridade de perda são mais propensos a serem descartados.
Tanto para policiais de taxa única quanto de duas categorias de três cores, a única ação configurável é descartar pacotes em um fluxo de tráfego vermelho.
Para um policial de marcação tricolor mencionado por um termo de filtro de firewall , a ação de policiamento é apoiada nas seguintes plataformas de roteamento:discard
Switches da Série EX
Roteadores M7i e M10i com o CFEB aprimorado (CFEB-E)
Roteadores M120 e M320 com FPCs Aprimorados III
Roteadores da Série MX com Trio MPCs
Para aplicar um policial de marcação tricolor nessas plataformas de roteamento, não é necessário incluir a declaração.logical-interface-policer
Consulte também
Exemplo: Configurando um policiador de três cores de duas categorias
Este exemplo mostra como configurar um policiador de três cores de duas categorias.
Requisitos
O suporte para policiais de três cores de duas categorias varia de acordo com o dispositivo. Ele inclui dispositivos de SRX1400, SRX3400, SRX3600, SRX5400, SRX5600 e firewall SRX5800 executando uma versão compatível do Junos OS.
Nenhuma configuração especial além da inicialização do dispositivo é necessária antes de configurar este exemplo.
Visão geral
Um policial de duas categorias de três cores metros de um fluxo de tráfego contra um limite de largura de banda e limite de tamanho de explosão para tráfego garantido, além de um limite de largura de banda e limite de tamanho de explosão para o tráfego máximo. O tráfego que está em conformidade com os limites para tráfego garantido é categorizado como verde, e o tráfego não conforme se encaixa em uma das duas categorias:
O tráfego sem conformidade que não excede os limites de tráfego máximos é categorizado como amarelo.
O tráfego sem conformidade que excede os limites de tráfego máximos é categorizado como vermelho.
Cada categoria está associada a uma ação. Para tráfego verde, os pacotes são implicitamente definidos com um valor de prioridade de perda e depois transmitidos.low Para tráfego amarelo, os pacotes são implicitamente definidos com um valor de prioridade de perda e depois transmitidos.medium-high Para tráfego vermelho, os pacotes são implicitamente definidos com um valor de prioridade de perda e depois transmitidos.high Se a configuração do policiador incluir a declaração opcional (), em seguida, os pacotes em um fluxo vermelho são descartados em vez disso.actionaction loss-priority high then discard
Você pode aplicar um policiador de três cores ao tráfego de Camada 3 apenas como um policiador de filtro de firewall. Você faz referência ao policiador a partir de um termo de filtro de firewall sem estado e, em seguida, você aplica o filtro na entrada ou saída de uma interface lógica no nível de protocolo.
Topologia
Neste exemplo, você aplica um policial de três cores com reconhecimento de cores e duas categorias no tráfego IPv4 de entrada na interface lógica.fe-0/1/1.0 O termo filtro de firewall IPv4 que faz referência ao policiador não aplica nenhuma filtragem de pacotes. O filtro é usado apenas para aplicar o policiador de três cores na interface.
Você configura o policial para limitar o tráfego a um limite de largura de banda de 40 Mbps e um limite de tamanho estourado de 100 KB para tráfego verde, e configura o policiador para também permitir um limite de largura de banda máximo de 60 Mbps e um limite de tamanho máximo de explosão de 200 KB para tráfego amarelo. Apenas o tráfego sem conformidade que excede os limites de tráfego máximos é categorizado como vermelho. Neste exemplo, você configura a ação do policiador de três cores, que substitui a marcação implícita do tráfego vermelho para uma prioridade de perda.loss-priority high then discardhigh
Configuração
O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, consulte Usando o Editor de CLI no modo de configuração.Use o editor de CLI no modo de configuração
Para configurar este exemplo, execute as seguintes tarefas:
- Configuração rápida da CLI
- Configurando um policiador de três cores de duas categorias
- Configuração de um filtro de firewall stateless IPv4 que faz referência ao policiador
- Aplicar o filtro em uma interface lógica no nível da família de protocolo
Configuração rápida da CLI
Para configurar rapidamente este exemplo, copie os seguintes comandos, cole-os em um arquivo de texto, remova qualquer quebra de linha, altere todos os detalhes necessários para combinar com a configuração da sua rede, copiar e depois colar os comandos na CLI no nível de hierarquia e, em seguida, entrar no modo de configuração.[edit]commit
set firewall three-color-policer trTCM1-ca two-rate color-aware set firewall three-color-policer trTCM1-ca two-rate committed-information-rate 40m set firewall three-color-policer trTCM1-ca two-rate committed-burst-size 100k set firewall three-color-policer trTCM1-ca two-rate peak-information-rate 60m set firewall three-color-policer trTCM1-ca two-rate peak-burst-size 200k set firewall three-color-policer trTCM1-ca action loss-priority high then discard set firewall family inet filter filter-trtcm1ca-all term 1 then three-color-policer two-rate trTCM1-ca set interfaces ge-2/0/5 unit 0 family inet address 10.10.10.1/30 set interfaces ge-2/0/5 unit 0 family inet filter input filter-trtcm1ca-all set class-of-service interfaces ge-2/0/5 forwarding-class af
Configurando um policiador de três cores de duas categorias
Procedimento passo a passo
Para configurar um policiador de três cores de duas categorias:
Habilite a configuração de um policiador de três cores.
[edit] user@host# set firewall three-color-policer trTCM1-ca
Configure o modo de cores do policiador de três cores de duas categorias.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate color-aware
Configure os limites de tráfego garantidos de duas taxas.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate committed-information-rate 40m user@host# set two-rate committed-burst-size 100k
O tráfego que não excede esses dois limites é categorizado como verde. Os pacotes em um fluxo verde são implicitamente definidos para a prioridade de perda e depois transmitidos.
lowConfigure os limites de tráfego máximo de duas taxas.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate peak-information-rate 60m user@host# set two-rate peak-burst-size 200k
O tráfego sem conformidade que não excede ambos os limites é categorizado como amarelo. Os pacotes em um fluxo amarelo são implícitos definidos para a prioridade de perda e depois transmitidos.
medium-highO tráfego sem conformidade que excede ambos os limites é categorizado como vermelho. Os pacotes em um fluxo vermelho estão implícitos definidos para a prioridade de perda.high(Opcional) Configure a ação do policial para o tráfego vermelho.
[edit firewall three-color-policer trTCM1-ca] user@host# set action loss-priority high then discard
Para policiais de três cores, a única ação configurável é descartar pacotes vermelhos. Os pacotes vermelhos são pacotes que receberam alta prioridade de perda porque excederam a taxa de informação de pico (PIR) e o tamanho de explosão máxima (PBS).
Resultados
Confirme a configuração do policiador inserindo o comando do modo de configuração.show firewall Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.
[edit]
user@host# show firewall
three-color-policer trTCM1-ca {
action {
loss-priority high then discard;
}
two-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
peak-information-rate 60m;
peak-burst-size 200k;
}
}
Configuração de um filtro de firewall stateless IPv4 que faz referência ao policiador
Procedimento passo a passo
Para configurar um filtro de firewall stateless IPv4 que faz referência ao policiador:
Habilite a configuração de um filtro de firewall sem estado padrão IPv4.
[edit] user@host# set firewall family inet filter filter-trtcm1ca-all
Especifique o termo filtro que faz referência ao policiador.
[edit firewall family inet filter filter-trtcm1ca-all] user@host# set term 1 then three-color-policer two-rate trTCM1-ca
Observe que o termo não especifica nenhuma condição de correspondência. O filtro de firewall passa todos os pacotes para o policiador.
Resultados
Confirme a configuração do filtro de firewall entrando no comando do modo de configuração.show firewall Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.
[edit]
user@host# show firewall
family inet {
filter filter-trtcm1ca-all {
term 1 {
then {
three-color-policer {
two-rate trTCM1-ca;
}
}
}
}
}
three-color-policer trTCM1-ca {
action {
loss-priority high then discard;
}
two-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
peak-information-rate 60m;
peak-burst-size 200k;
}
}
Aplicar o filtro em uma interface lógica no nível da família de protocolo
Procedimento passo a passo
Aplicar o filtro na interface lógica no nível da família de protocolo:
Habilite a configuração de um filtro de firewall IPv4.
[edit] user@host# edit interfaces ge-2/0/5 unit 0 family inet
Aplique o policial na interface lógica no nível da família de protocolo.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set address 10.10.10.1/30 user@host# set filter input filter-trtcm1ca-all
(Apenas roteadores da Série MX e switches da Série EX) (Opcional) Para os policiais de entrada, você pode configurar um classificador fixo. Um classificador fixo reclassifica todos os pacotes de entrada, independentemente de qualquer classificação preexistante.
Nota:O suporte da plataforma depende da versão do Junos OS em sua implementação.
[edit] user@host# set class-of-service interfaces ge-2/0/5 forwarding-class af
O nome do classificador pode ser um classificador configurado ou um dos classificadores padrão.
Resultados
Confirme a configuração da interface entrando no comando do modo de configuração.show interfaces Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.
[edit]
user@host# show interfaces
ge-2/0/5 {
unit 0 {
family inet {
address 10.10.10.1/30;
filter {
input filter-trtcm1ca-all;
}
}
}
}
Se você terminar de configurar o dispositivo, entre no modo de configuração.commit
Verificação
Confirme se a configuração está funcionando corretamente.
Exibição dos filtros de firewall aplicados à interface lógica
Propósito
Verifique se o filtro de firewall é aplicado ao tráfego de entrada IPv4 na interface lógica.
Ação
Use o comando de modo operacional para a interface lógica e especifique o modo.show interfacesge-2/0/5.0detail A seção da saída de comando exibe informações IPv4 para a interface lógica.Protocol inet Nessa seção, o campo exibe o nome dos filtros de firewall IPv4 associados à interface lógica.Input Filters
user@host> show interfaces ge-2/0/5.0 detail
Logical interface ge-2/0/5.0 (Index 105) (SNMP ifIndex 556) (Generation 170)
Flags: Device-Down SNMP-Traps 0x4004000 Encapsulation: ENET2
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Local statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Transit statistics:
Input bytes : 0 0 bps
Output bytes : 0 0 bps
Input packets: 0 0 pps
Output packets: 0 0 pps
Protocol inet, MTU: 1500, Generation: 242, Route table: 0
Flags: Sendbcast-pkt-to-re
Input Filters: filter-trtcm1ca-all
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
Generation: 171
Protocol multiservice, MTU: Unlimited, Generation: 243, Route table: 0
Policer: Input: __default_arp_policer__