Präfixspezifische Zähl- und Überwachungsaktionen

Separate Zählung und Überwachung für jeden IPv4-Adressbereich

Präfixspezifisches Zählen und Policing ermöglicht es Ihnen, einen IPv4-Firewall-Filterbegriff zu konfigurieren, der mit einer Quell- oder Zieladresse übereinstimmt, einen zweifarbigen Policer mit einer Rate als Begriffsaktion anwendet, aber das übereinstimmende Paket basierend auf der Quelle oder dem Ziel im Paket-Header einem bestimmten Zähler und einer bestimmten Policer-Instanz zuordnet. Sie können implizit eine separate Zähler- oder Policerinstanz für eine einzelne Adresse oder für eine Gruppe von Adressen erstellen.

Bei der präfixspezifischen Zählung und Überwachung wird eine präfixspezifische Aktionskonfiguration verwendet, die den Namen des Policers angibt, den Sie anwenden möchten, ob die präfixspezifische Zählung aktiviert werden soll und einen Quell- oder Zieladresspräfixbereich.

Der Präfixbereich gibt zwischen 1 und 16 sequenziell festgelegte Bits einer IPv4-Adressmaske an. Die Länge des Präfixbereichs bestimmt die Größe des Zähler- und Policer-Satzes, der aus nur 2 oder bis zu 65.536 Zähler- und Policer-Instanzen besteht. Die Position der Bits des Präfixbereichs bestimmt die Indizierung von Paketen mit Filterübereinstimmung in der Gruppe von Instanzen.

Um eine präfixspezifische Aktion auf den Datenverkehr an einer Schnittstelle anzuwenden, konfigurieren Sie einen Firewallfilterbegriff, der mit Quell- oder Zieladressen übereinstimmt, und wenden dann den Firewallfilter auf die Schnittstelle an. Der Fluss des gefilterten Datenverkehrs wird durch präfixspezifische Zähler- und Policer-Instanzen begrenzt, die pro Paket basierend auf der Quell- oder Zieladresse im Header des gefilterten Pakets ausgewählt werden.

Präfix-spezifische Aktionskonfiguration

Um eine präfixspezifische Aktion zu konfigurieren, geben Sie die folgenden Informationen an:

• Präfixspezifischer Aktionsname: Name, auf den als Aktion eines IPv4-Standard-Firewallfilterbegriffs verwiesen werden kann, der Pakete auf Quell- oder Zieladressen abgleicht.

• Policer name: Name eines einstufigen zweifarbigen Policers, für den Sie implizit präfixspezifische Instanzen erstellen möchten.

  HINWEIS:

  Für aggregierte Ethernet-Schnittstellen können Sie eine präfixspezifische Aktion konfigurieren, die auf einen logischen Schnittstellen-Policer (auch als Aggregat-Policer bezeichnet) verweist. Sie können von einem IPv4-Standard-Firewallfilter aus auf diese Art von präfixspezifischer Aktion verweisen und den Filter dann auf der Aggregatebene der Schnittstelle anwenden.

• Zähloption: Option zum Einschließen, wenn Sie präfixspezifische Leistungsindikatoren aktivieren möchten.

• Filterspezifische Option: Option zum Einschließen, wenn ein einzelner Zähler und ein einzelner Policer-Satz für alle Begriffe im Firewallfilter freigegeben werden sollen. Eine präfixspezifische Aktion, die auf diese Weise ausgeführt wird, wird als filterspezifischer Modus bezeichnet. Wenn Sie diese Option nicht aktivieren, wird die präfixspezifische Aktion im begriffsspezifischen Modus ausgeführt, d. h., für jeden Filterbegriff, der auf die präfixspezifische Aktion verweist, wird ein separater Zähler- und Richtliniensatz erstellt.

• Quelladressenpräfixlänge: Länge des Adresspräfixes von 0 bis 32, das mit einem Paket verwendet werden soll, das mit der Quelladresse übereinstimmt.

• Länge des Zieladressenpräfixes: Länge des Adresspräfixes von 0 bis 32, das mit einem Paket verwendet werden soll, das mit der Zieladresse übereinstimmt.

• Subnetzpräfixlänge: Länge des Subnetzpräfixes von 0 bis 32, das mit einem Paket verwendet werden soll, das entweder mit der Quell- oder Zieladresse übereinstimmt.

Sie müssen die Länge der Quell- und Zieladresspräfixe so konfigurieren, dass sie 1 bis 16 Bit länger sind als die Länge des Subnetzpräfixes. Wenn Sie die Länge der Quell- oder Zieladresspräfixe so konfigurieren, dass sie mehr als 16 Bit über der konfigurierten Subnetzpräfixlänge liegen, tritt ein Fehler auf, wenn Sie versuchen, die Konfiguration zu bestätigen.

Zähler- und Policer-Set-Größe und Indizierung

Die Anzahl der präfixspezifischen Aktionen (Zähler oder Policer), die implizit für eine präfixspezifische Aktion erstellt werden, wird durch die Länge des Adresspräfixes und die Länge des Subnetzpräfixes bestimmt:

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

Tabelle 1 Zeigt Beispiele für die Größe und Indizierung von Zähler- und Policer-Sets.

Präfixlänge der Aktion und Präfixlänge von Adressen in gefilterten Paketen

Tabelle 2 Beschreibt die Beziehung zwischen der Präfixlänge, die in der präfixspezifischen Aktion angegeben ist, und der Präfixlänge der Adressen, die mit dem Firewallfilterbegriff übereinstimmen, der auf die präfixspezifische Aktion verweist.

Szenario 1: Firewall-Filterbegriffsübereinstimmungen für mehrere Adressen

Das vollständige Beispiel zeigt den einfachsten Fall von präfixspezifischen Aktionen, bei denen ein Firewallfilter mit einem einzelnen Begriff für eine Adresse mit einer Präfixlänge übereinstimmt, die mit der in der präfixspezifischen Aktion angegebenen Subnetzpräfixlänge übereinstimmt.Beispiel: Konfigurieren von präfixspezifischer Zählung und Überwachung Im Gegensatz zum Beispiel wird in diesem Szenario eine Konfiguration beschrieben, in der ein Firewallfilter mit einem einzigen Begriff auf zwei IPv4-Quelladressen übereinstimmt. Darüber hinaus stimmt die zusätzliche Bedingung für eine Quelladresse mit einer Präfixlänge überein, die sich von der in der präfixspezifischen Aktion definierten Subnetzpräfixlänge unterscheidet. In diesem Fall stimmt die zusätzliche Bedingung im Subnetz der Quelladresse überein./1610.11.0.0

Die mit Filtern übereinstimmenden Pakete, die an den präfixspezifischen Aktionsindex an den Zähler und den Policer übergeben werden, sind so festgelegt, dass die Zähl- und Überwachungsinstanzen von Paketen gemeinsam genutzt werden, die Quelladressen in den Subnetzen und wie folgt enthalten:10.10.10.0/2410.11.0.0/16

• Der erste Zähler und der erste Policer in der Gruppe werden durch Pakete mit Quelladressen und indiziert, wobei der Bereich von bis reicht .10.10.10.010.11.x.0x0255

• Der zweite Zähler und der zweite Policer in der Gruppe werden durch Pakete mit Quelladressen und indiziert, wobei der Bereich von bis reicht .10.10.10.110.11.x.1x0255

• Der 256. (letzte) Zähler und der Policer in der Menge werden durch Pakete mit Quelladressen und indiziert, wobei der Bereich von bis reicht .10.10.10.25510.11.x.255x0255

Die folgende Konfiguration zeigt die Anweisungen für die Konfiguration des zweifarbigen Single-Rate-Policers, der präfixspezifischen Aktion, die auf den Policer verweist, und des zustandslosen IPv4-Standard-Firewallfilters, der auf die präfixspezifische Aktion verweist:

Szenario 2: Das Subnetzpräfix ist länger als das Präfix in der Filterübereinstimmungsbedingung.

Das vollständige Beispiel zeigt den einfachsten Fall von präfixspezifischen Aktionen, bei denen der Firewallfilter mit einem einzelnen Begriff auf eine Adresse mit einer Präfixlänge übereinstimmt, die mit der in der präfixspezifischen Aktion angegebenen Subnetzpräfixlänge übereinstimmt.Beispiel: Konfigurieren von präfixspezifischer Zählung und Überwachung Im Gegensatz zum Beispiel wird in diesem Szenario eine Konfiguration beschrieben, in der die präfixspezifische Aktion eine Subnetzpräfixlänge definiert, die länger ist als das Präfix der Quelladresse, mit der der Firewallfilter übereinstimmt. In diesem Fall definiert die präfixspezifische Aktion einen Subnetzpräfixwert von , während der Firewallfilter mit einer Quelladresse im Subnetz übereinstimmt.25/24

Die mit Filtern übereinstimmenden Pakete, die an den präfixspezifischen Aktionsindex an den Zähler und den Policer übergeben werden, sind so festgelegt, dass die Zähl- und Überwachungsinstanzen von Paketen gemeinsam genutzt werden, die eine von zwei Quelladressen innerhalb des Subnetzes enthalten:10.10.10.0/24

• Der erste Zähler und der erste Policer in der Gruppe werden durch Pakete mit Quelladressen und indiziert .10.10.10.010.10.10.128

• Der zweite Zähler und der zweite Policer in der Gruppe werden durch Pakete mit Quelladressen und indiziert .10.10.10.110.10.10.129

• Der 128. (letzte) Zähler und der Policer in der Menge werden durch Pakete mit Quelladressen und indiziert .10.10.10.12710.10.10.255

Die folgende Konfiguration zeigt die Anweisungen für die Konfiguration des zweifarbigen Single-Rate-Policers, der präfixspezifischen Aktion, die auf den Policer verweist, und des zustandslosen IPv4-Standard-Firewallfilters, der auf die präfixspezifische Aktion verweist:

Szenario 3: SubnetzDas Präfix des 128. Zählers und des Policers ist kürzer als das Präfix in der Übereinstimmungsbedingung des Firewallfilters

Das vollständige Beispiel zeigt den einfachsten Fall von präfixspezifischen Aktionen, bei denen der Firewallfilter mit einem einzelnen Begriff auf eine Adresse mit einer Präfixlänge übereinstimmt, die mit der in der präfixspezifischen Aktion angegebenen Subnetzpräfixlänge übereinstimmt.Beispiel: Konfigurieren von präfixspezifischer Zählung und Überwachung Im Gegensatz zum Beispiel wird in diesem Szenario eine Konfiguration beschrieben, in der die präfixspezifische Aktion eine Subnetzpräfixlänge definiert, die kürzer ist als das Präfix der Quelladresse, mit der der Firewallfilter übereinstimmt. In diesem Fall stimmt der Filterbegriff mit dem Subnetz der Quelladresse überein./2510.10.10.0

Nur die übereinstimmenden Pakete, die an den präfixspezifischen Aktionsindex in der unteren Hälfte des Zähler- und Policer-Satzes übergeben werden:

• Der erste Zähler und der erste Policer in der Gruppe werden durch Pakete mit Quelladresse indiziert.10.10.10.0

• Der zweite Zähler und der zweite Policer in der Gruppe werden durch Pakete mit Quelladresse und indiziert.10.10.10.110.10.10.129

• Der 128. Zähler und der Policer in der Gruppe werden durch Pakete mit Quelladresse indiziert.10.10.10.127

• Die obere Hälfte des Satzes (Instanzen mit den Nummern 128 bis 255) wird nicht durch Pakete indiziert, die von diesem speziellen Firewallfilter an die präfixspezifische Aktion übergeben werden.

Die folgende Konfiguration zeigt die Anweisungen für die Konfiguration des zweifarbigen Single-Rate-Policers, der präfixspezifischen Aktion, die auf den Policer verweist, und des zustandslosen IPv4-Standard-Firewallfilters, der auf die präfixspezifische Aktion verweist: