Polices de base tricolores à débit unique
Présentation du policer tricolore à débit unique
Un policer tricolore à débit unique définit une limite de bande passante et une taille d’rafale maximale pour le trafic garanti, et une seconde taille d’rafale pour le trafic de pointe. Un système de contrôle tricolore à débit unique est particulièrement utile lorsqu’un service est structuré en fonction de la longueur des paquets et non du taux d’arrivée maximal.
Compteurs de contrôle de contrôle tricolores à débit unique d’un flux de trafic basé sur les critères de trafic configurés suivants :
Taux d’information engagé (CIR) : limite de bande passante pour le trafic garanti.
Taille d’rafale engagée (CBS) : taille de paquet maximale autorisée pour les rafales de données dépassant le CIR.
Taille de rafale excédentaire (EBS) : taille de paquet maximale autorisée pour le trafic de pointe.
Le marquage tricolor à débit unique (TCM à débit unique) classe le trafic comme appartenant à l’une des trois catégories de couleurs et effectue des actions de contrôle de la congestion sur les paquets en fonction du marquage de couleur :
Vert : trafic conforme à la limite de bande passante ou à la taille de rafale du trafic garanti (CIR ou CBS). Pour un flux de trafic vert, un débit unique marque les paquets avec une priorité de perte implicite et
lowtransmet les paquets.Jaune : trafic qui dépasse à la fois la limite de bande passante et la taille de rafale pour le trafic garanti (CIR et CBS), mais pas la taille de rafale pour le trafic de pointe (EBS). Pour un flux de trafic jaune, un débit unique marque les paquets avec une priorité de
medium-highperte implicite et transmet les paquets.Rouge : trafic qui dépasse la taille de rafale pour le trafic de pointe (EBS), marque les paquets à débit unique avec une priorité de
highperte implicite et, éventuellement, écarte les paquets.
Si une congestion se produit en aval, les paquets ayant une priorité de perte plus élevée sont plus susceptibles d’être rejetés.
Pour les polices couleur à débit unique et à deux débits, la seule action configurable consiste à rejeter des paquets dans un flux de trafic rouge.
L’action discard d’un contrôle de marquage tricolore pour un filtre de pare-feu est prise en charge sur les routeurs M120, les routeurs M320 avec les SPC Enhanced-III, les M7i et les routeurs M10i avec le CFEB amélioré (CFEB-E) et les routeurs MX Series avec MPC, il n’est donc pas nécessaire d’inclure la logical-interface-policer déclaration pour eux.
Voir également
Exemple : Configuration d’un policer trois couleurs à débit unique
Cet exemple montre comment configurer un policeur trois couleurs à débit unique.
Conditions préalables
Aucune configuration spéciale au-delà de l’initialisation de l’équipement n’est nécessaire avant de configurer cet exemple.
Présentation
Un policer trois couleurs à débit unique mesure un flux de trafic en fonction d’une limite de bande passante et d’une limite de taille d’rafale pour le trafic garanti, plus une deuxième limite de taille d’rafale pour le trafic excédentaire. Le trafic conforme aux limites du trafic garanti est classé en vert, et le trafic non conforme relève de l’une des deux catégories suivantes :
Le trafic non-conformité qui ne dépasse pas la taille de l’rafale pour le trafic excédentaire est classé en jaune.
Le trafic non-conformant qui dépasse la taille de rafale pour un trafic excédentaire est classé en rouge.
Chaque catégorie est associée à une action. Pour le trafic vert, les paquets sont implicitement définis avec une valeur de priorité de perte, low puis transmis. Pour le trafic jaune, les paquets sont implicitement définis avec une valeur de priorité de perte, medium-high puis transmis. Pour le trafic rouge, les paquets sont implicitement définis avec une valeur de perte-priorité de high puis transmis. Si la configuration de police comprend l’instruction optionnelle action (action loss-priority high then discard), les paquets d’un flux rouge sont rejetés à la place.
Vous pouvez appliquer un policer tricolore au trafic de couche 3 en tant que filtre de pare-feu uniquement. Vous référencez le policer à partir d’un terme de filtre de pare-feu sans état, puis vous appliquez le filtre à l’entrée ou à la sortie d’une interface logique au niveau du protocole.
topologie
Dans cet exemple, vous appliquez un policer tricolore, à débit unique, au trafic IPv4 d’entrée au niveau de l’interface ge-2/0/5.0logique . Le terme de filtre de pare-feu IPv4 qui fait référence au policer n’applique aucun filtrage de paquets. Le filtre est utilisé uniquement pour appliquer le policer trois couleurs à l’interface.
Vous configurez le dispositif de contrôle pour limiter le trafic à une bande passante de 40 Mbit/s et une limite de taille d’rafale de 100 Ko pour le trafic vert, mais vous autorisez également un excès de taille d’rafale de 200 Ko pour le trafic jaune. Seul le trafic non-conformant qui dépasse la limite de pic de taille de rafale est classé en rouge. Dans cet exemple, vous configurez l’action loss-priority high then discardde police en trois couleurs , qui remplace le marquage implicite du trafic rouge par une high priorité de perte.
Configuration
Dans l’exemple suivant, vous devez parcourir différents niveaux de la hiérarchie de configuration. Pour plus d’informations sur la navigation sur la CLI, reportez-vous à la section Utiliser l’éditeur CLI en mode configuration.
Pour configurer cet exemple, effectuez les tâches suivantes :
- Configuration rapide cli
- Configuration d’un policer trois couleurs à débit unique
- Configuration d’un filtre de pare-feu sans état IPv4 qui fait référence au policer
- Application du filtre à l’interface logique
Configuration rapide cli
Pour configurer rapidement cet exemple, copiez les commandes de configuration suivantes dans un fichier texte, supprimez les sauts de ligne, puis collez les commandes dans la CLI au niveau de la [edit] hiérarchie.
set firewall three-color-policer srTCM1-ca single-rate color-aware set firewall three-color-policer srTCM1-ca single-rate committed-information-rate 40m set firewall three-color-policer srTCM1-ca single-rate committed-burst-size 100k set firewall three-color-policer srTCM1-ca single-rate excess-burst-size 200k set firewall three-color-policer srTCM1-ca action loss-priority high then discard set firewall family inet filter filter-srtcm1ca-all term 1 then three-color-policer single-rate srTCM1-ca set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af set interfaces ge-2/0/5 unit 0 family inet address 10.20.130.1/24 set interfaces ge-2/0/5 unit 0 family inet filter input filter-srtcm1ca-all
Configuration d’un policer trois couleurs à débit unique
Procédure étape par étape
Pour configurer un policer tricolore à débit unique :
Activez la configuration d’un contrôle tricolore.
[edit] user@host# edit firewall three-color-policer srTCM1-ca
Configurez le mode couleur du policer trois couleurs à débit unique.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate color-aware
Configurez les limites de trafic garantis à débit unique.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate committed-information-rate 40m user@host# set single-rate committed-burst-size 100k
Configurez la limite de taille d’rafale à débit unique utilisée pour classer le trafic non-conforming.
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate excess-burst-size 200k
(Facultatif) Configurez l’action pour le trafic non-conformant.
[edit firewall three-color-policer srTCM1-ca] user@host# set action loss-priority high then discard
Pour les polices tricolores, la seule action configurable est de rejeter des paquets dans un flux de trafic rouge. Dans cet exemple, les paquets d’un flux de trafic rouge ont été implicitement marqués d’un
highniveau de priorité de perte de paquets (PLP) car le flux de trafic a dépassé la limite de débit définie par la limite de débit unique (spécifiée par l’instructioncommitted-information-rate 40m) et la limite de taille de rafale plus grande (spécifiée par l’instructionexcess-burst-size 200k). Étant donné que l’instruction optionnelleactionest incluse, cet exemple prend l’action la plus sévère de rejeter des paquets dans un flux de trafic rouge.
Résultats
Confirmez la configuration du contrôle hiérarchique en entrant la commande de show firewall configuration. Si la commande sortie n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
Configuration d’un filtre de pare-feu sans état IPv4 qui fait référence au policer
Procédure étape par étape
Pour configurer un filtre de pare-feu sans état standard qui fait référence au policer :
Activez la configuration d’un filtre de pare-feu sans état IPv4 standard.
[edit] user@host# edit firewall family inet filter filter-srtcm1ca-all
Spécifiez le terme de filtre qui fait référence au policer.
[edit firewall family inet filter filter-srtcm1ca-all] user@host# set term 1 then three-color-policer single-rate srTCM1-ca
Notez que le terme ne spécifie aucune condition de correspondance. Le filtre de pare-feu transmet tous les paquets au policer.
Résultats
Confirmez la configuration du filtre de pare-feu en entrant la commande du mode de show firewall configuration. Si la commande sortie n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
[edit]
user@host# show firewall
family inet {
filter filter-srtcm1ca-all {
term 1 {
then {
three-color-policer {
single-rate srTCM1-ca;
}
}
}
}
}
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
Application du filtre à l’interface logique
Procédure étape par étape
Pour appliquer le filtre à l’interface logique :
(routeurs MX Series uniquement) (Facultatif) Reclassez tous les paquets entrants sur l’interface
ge-2/0/5.0logique pour en assurer le transfert, quelle que soit la classification préexistante.[edit] user@host# set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af
Le nom du classificateur peut être un classificateur configuré ou l’un des classificateurs par défaut.
Activez la configuration de l’interface logique.
[edit] user@host# edit interfaces ge-2/0/5 unit 0 family inet
Configurez une adresse IP.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set address 10.20.130.1/24
Référencez le filtre en tant que filtre d’entrée.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set filter input filter-srtcm1ca-all
Résultats
Confirmez la configuration de l’interface en entrant les commandes du show class-of-service mode et show interfaces de configuration. Si la commande sortie n’affiche pas la configuration prévue, répétez les instructions de cette procédure pour corriger la configuration.
[edit]
user@host# show class-of-service
interfaces {
ge-2/0/5 {
unit 0 {
forwarding-class af;
}
}
}
[edit]
user@host# show interfaces
ge-2/0/5 {
unit 0 {
family inet {
filter {
input filter-srtcm1ca-all;
}
address 10.20.130.1/24;
}
}
}
Si vous avez fini de configurer l’équipement, saisissez commit à partir du mode de configuration.
Vérification
Vérifiez que la configuration fonctionne correctement.
Affichage des filtres de pare-feu appliqués à l’interface logique
But
Vérifiez que le filtre de pare-feu est appliqué au trafic d’entrée IPv4 au niveau de l’interface logique.
Action
Utilisez la show interfaces commande du mode opérationnel pour l’interface ge-2/0/5.0logique et spécifiez le detail mode. La Protocol inet section de la sortie de commande affiche des informations IPv4 pour l’interface logique. Dans cette section, le champ affiche le Input Filters nom du filtre de pare-feu appliqué au trafic d’entrée IPv4 au niveau de l’interface logique.
user@host> show interfaces ge-2/0/5.0 detail
Logical interface ge-2/0/5.0 (Index 105) (SNMP ifIndex 556) (Generation 170)
Flags: Device-Down SNMP-Traps 0x4004000 Encapsulation: ENET2
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Local statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Transit statistics:
Input bytes : 0 0 bps
Output bytes : 0 0 bps
Input packets: 0 0 pps
Output packets: 0 0 pps
Protocol inet, MTU: 1500, Generation: 242, Route table: 0
Flags: Sendbcast-pkt-to-re
Input Filters: filter-srtcm1ca-all
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
Generation: 171
Protocol multiservice, MTU: Unlimited, Generation: 243, Route table: 0
Policer: Input: __default_arp_policer__