Mécanismes de contrôle tricolores de base à taux unique
Vue d’ensemble du mécanisme de contrôle tricolore à débit unique
Un mécanisme de contrôle tricolore à débit unique définit une limite de bande passante et une taille de rafale maximale pour le trafic garanti, ainsi qu’une seconde taille de rafale pour les pics de trafic. Un mécanisme de contrôle tricolore à débit unique est particulièrement utile lorsqu’un service est structuré en fonction de la longueur des paquets et non du taux d’arrivée des pics.
La fonction de police tricolore à débit unique mesure un flux de trafic en fonction des critères de trafic configurés suivants :
Débit d’information garanti (CIR) : limite de bande passante pour le trafic garanti.
Committed burst size (CBS) : taille de paquet maximale autorisée pour les rafales de données qui dépassent le CIR.
Excess burst size (EBS) : taille maximale des paquets autorisée pour les pics de trafic.
Le marquage tricolore à débit unique (TCM à débit unique) classe le trafic comme appartenant à l’une des trois catégories de couleurs suivantes et effectue des actions de contrôle d’encombrement sur les paquets en fonction du marquage par couleur :
Vert : trafic conforme à la limite de bande passante ou à la taille de rafale pour le trafic garanti (CIR ou CBS). Dans le cas d’un flux de trafic vert, le débit unique marque les paquets d’une priorité de perte implicite de
lowet transmet les paquets.Jaune : trafic qui dépasse à la fois la limite de bande passante et la taille de rafale pour le trafic garanti (CIR et CBS), mais pas la taille de rafale pour le trafic de pointe (EBS). Dans le cas d’un flux de trafic jaune, single-rate marque les paquets avec une priorité de perte implicite de
medium-highet transmet les paquets.Rouge : le trafic qui dépasse la taille de rafale pour le trafic de pointe (EBS) marque les paquets avec une priorité de perte implicite de
highet, éventuellement, rejette les paquets.
Si un encombrement se produit en aval, les paquets ayant une priorité de perte plus élevée sont plus susceptibles d’être ignorés.
Pour les mécanismes de contrôle tricolore à débit unique et à deux débits, la seule action configurable consiste à ignorer les paquets dans un flux de trafic rouge.
L’action discard d’un mécanisme de contrôle de marquage tricolore pour un filtre de pare-feu est prise en charge sur les routeurs M120, les routeurs M320 avec FPC Enhanced-III, les routeurs M7i et M10i avec CFEB-E amélioré et les routeurs MX Series avec MPC, il n’est donc pas nécessaire d’inclure l’instruction logical-interface-policer correspondante.
Voir également
Exemple : Configuration d’un mécanisme de contrôle tricolore à taux unique
Cet exemple montre comment configurer un mécanisme de contrôle tricolore à taux unique.
Conditions préalables
Aucune configuration spéciale au-delà de l’initialisation de l’appareil n’est requise avant de configurer cet exemple.
Présentation
Un mécanisme de contrôle tricolore à débit unique mesure un flux de trafic par rapport à une limite de bande passante et à une limite de taille de rafale pour le trafic garanti, ainsi qu’à une seconde limite de taille de rafale pour l’excès de trafic. Le trafic qui respecte les limites de trafic garanti est classé en vert, et le trafic non conforme appartient à l’une des deux catégories suivantes :
Le trafic non conforme qui ne dépasse pas la taille de rafale pour le trafic excédentaire est classé en jaune.
Le trafic non conforme qui dépasse la taille de rafale pour un trafic excédentaire est classé en rouge.
Chaque catégorie est associée à une action. Pour le trafic vert, les paquets sont implicitement définis avec une valeur de priorité de perte de low puis transmis. Pour le trafic jaune, les paquets sont implicitement définis avec une valeur de priorité de perte de medium-high puis transmis. Pour le trafic rouge, les paquets sont implicitement définis avec une valeur de priorité de perte de high puis transmis. Si la configuration du mécanisme de contrôle inclut l’instruction facultative action (action loss-priority high then discard), les paquets d’un flux rouge sont ignorés à la place.
Vous pouvez appliquer un mécanisme de contrôle tricolore au trafic de couche 3 en tant que mécanisme de contrôle des filtres de pare-feu uniquement. Vous référencez le mécanisme de contrôle à partir d’un terme de filtre de pare-feu sans état, puis vous appliquez le filtre à l’entrée ou à la sortie d’une interface logique au niveau du protocole.
Topologie
Dans cet exemple, vous appliquez un mécanisme de contrôle tricolore à débit unique sensible aux couleurs au trafic IPv4 d’entrée au niveau de l’interface ge-2/0/5.0logique . Le terme de filtre de pare-feu IPv4 qui fait référence au mécanisme de contrôle n’applique aucun filtrage de paquets. Le filtre est utilisé uniquement pour appliquer le mécanisme de contrôle tricolore à l’interface.
Vous configurez le mécanisme de contrôle pour limiter le trafic à une limite de bande passante de 40 Mbits/s et à une limite de taille de rafale de 100 Ko pour le trafic vert, mais également pour le trafic jaune. Seul le trafic non conforme qui dépasse la limite de taille de rafale maximale est classé en rouge. Dans cet exemple, vous allez configurer l’action loss-priority high then discardde contrôle tricolore , qui remplace le marquage implicite du trafic rouge par une high priorité de perte.
Configuration
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour plus d’informations sur la navigation dans l’interface de ligne de commande, reportez-vous à la section Utiliser l’éditeur CLI en mode configuration.
Pour configurer cet exemple, effectuez les tâches suivantes :
- Configuration rapide de l’interface de ligne de commande
- Configuration d’un mécanisme de contrôle tricolore à taux unique
- Configuration d’un filtre de pare-feu sans état IPv4 qui fait référence au mécanisme de contrôle
- Application du filtre à l’interface logique
Configuration rapide de l’interface de ligne de commande
Pour configurer rapidement cet exemple, copiez les commandes de configuration suivantes dans un fichier texte, supprimez les sauts de ligne, puis collez-les dans l’interface de ligne de commande au niveau de la [edit] hiérarchie.
set firewall three-color-policer srTCM1-ca single-rate color-aware set firewall three-color-policer srTCM1-ca single-rate committed-information-rate 40m set firewall three-color-policer srTCM1-ca single-rate committed-burst-size 100k set firewall three-color-policer srTCM1-ca single-rate excess-burst-size 200k set firewall three-color-policer srTCM1-ca action loss-priority high then discard set firewall family inet filter filter-srtcm1ca-all term 1 then three-color-policer single-rate srTCM1-ca set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af set interfaces ge-2/0/5 unit 0 family inet address 10.20.130.1/24 set interfaces ge-2/0/5 unit 0 family inet filter input filter-srtcm1ca-all
Configuration d’un mécanisme de contrôle tricolore à taux unique
Procédure étape par étape
Pour configurer un mécanisme de contrôle tricolore à taux unique :
Activez la configuration d’un mécanisme de contrôle tricolore.
[edit] user@host# edit firewall three-color-policer srTCM1-ca
Configurez le mode colorimétrique du mécanisme de contrôle tricolore à débit unique.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate color-aware
Configurez les limites de trafic garanties à débit unique.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate committed-information-rate 40m user@host# set single-rate committed-burst-size 100k
Configurez la limite de taille de rafale à débit unique utilisée pour classer le trafic non conforme.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate excess-burst-size 200k
(Facultatif) Configurez l’action pour le trafic non conforme.
[edit firewall three-color-policer srTCM1-ca] user@host# set action loss-priority high then discard
Pour les mécanismes de contrôle tricolores, la seule action configurable consiste à ignorer les paquets dans un flux de trafic rouge. Dans cet exemple, les paquets d’un flux de trafic rouge ont été implicitement marqués d’un
highniveau de priorité de perte de paquets (PLP), car le flux de trafic a dépassé la limite de débit définie par la limite de débit unique (spécifiée par l’instructioncommitted-information-rate 40m) et la limite de taille de rafale supérieure (spécifiée par l’instructionexcess-burst-size 200k). Étant donné que l’instruction facultativeactionest incluse, cet exemple prend l’action la plus sévère de rejeter les paquets dans un flux de trafic rouge.
Résultats
Confirmez la configuration du mécanisme de contrôle hiérarchique en entrant la show firewall commande de configuration. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
Configuration d’un filtre de pare-feu sans état IPv4 qui fait référence au mécanisme de contrôle
Procédure étape par étape
Pour configurer un filtre de pare-feu sans état standard qui fait référence au mécanisme de contrôle :
Activez la configuration d’un filtre de pare-feu sans état standard IPv4.
[edit] user@host# edit firewall family inet filter filter-srtcm1ca-all
Spécifiez le terme de filtre qui fait référence au mécanisme de contrôle.
[edit firewall family inet filter filter-srtcm1ca-all] user@host# set term 1 then three-color-policer single-rate srTCM1-ca
Notez que le terme ne spécifie aucune condition de correspondance. Le filtre de pare-feu transmet tous les paquets au mécanisme de contrôle.
Résultats
Confirmez la configuration du filtre de pare-feu en entrant la show firewall commande configuration mode. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
[edit]
user@host# show firewall
family inet {
filter filter-srtcm1ca-all {
term 1 {
then {
three-color-policer {
single-rate srTCM1-ca;
}
}
}
}
}
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
Application du filtre à l’interface logique
Procédure étape par étape
Pour appliquer le filtre à l’interface logique :
(routeurs MX Series uniquement) (Facultatif) Reclassez tous les paquets entrants sur l’interface
ge-2/0/5.0logique en transfert assuré, quelle que soit la classification préexistante.[edit] user@host# set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af
Le nom du classificateur peut être un classificateur configuré ou l’un des classificateurs par défaut.
Activez la configuration de l’interface logique.
[edit] user@host# edit interfaces ge-2/0/5 unit 0 family inet
Configurez une adresse IP.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set address 10.20.130.1/24
Référencez le filtre en tant que filtre d’entrée.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set filter input filter-srtcm1ca-all
Résultats
Confirmez la configuration de l’interface en entrant les commandes et show class-of-serviceshow interfaces en mode de configuration. Si la sortie de la commande n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
[edit]
user@host# show class-of-service
interfaces {
ge-2/0/5 {
unit 0 {
forwarding-class af;
}
}
}
[edit]
user@host# show interfaces
ge-2/0/5 {
unit 0 {
family inet {
filter {
input filter-srtcm1ca-all;
}
address 10.20.130.1/24;
}
}
}
Si vous avez terminé de configurer l’appareil, passez commit en mode de configuration.
Vérification
Vérifiez que la configuration fonctionne correctement.
Affichage des filtres de pare-feu appliqués à l’interface logique
But
Vérifiez que le filtre de pare-feu est appliqué au trafic d’entrée IPv4 au niveau de l’interface logique.
Action
Utilisez la show interfaces commande mode opérationnel pour l’interface ge-2/0/5.0logique et spécifiez detail le mode. La Protocol inet section de la sortie de la commande affiche les informations IPv4 de l’interface logique. Dans cette section, le Input Filters champ affiche le nom du filtre de pare-feu appliqué au trafic d’entrée IPv4 au niveau de l’interface logique.
user@host> show interfaces ge-2/0/5.0 detail
Logical interface ge-2/0/5.0 (Index 105) (SNMP ifIndex 556) (Generation 170)
Flags: Device-Down SNMP-Traps 0x4004000 Encapsulation: ENET2
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Local statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Transit statistics:
Input bytes : 0 0 bps
Output bytes : 0 0 bps
Input packets: 0 0 pps
Output packets: 0 0 pps
Protocol inet, MTU: 1500, Generation: 242, Route table: 0
Flags: Sendbcast-pkt-to-re
Input Filters: filter-srtcm1ca-all
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
Generation: 171
Protocol multiservice, MTU: Unlimited, Generation: 243, Route table: 0
Policer: Input: __default_arp_policer__