Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

ファイアウォールフィルターでのポリサーの使用について

 

ポリシーのポリシーは、ファイアウォールフィルタの重要な構成要素であり、ジュニパーネットワークス EX シリーズイーサネットスイッチ上にインターフェイスに入力されるトラフィックの量を制御できます。ファイアウォールフィルタ構成には、ポリサーを含めることで、ポリシー適用を実現できます。

ポリサーの概要

ポリサーを使用して、トラフィックに対するレート制限を指定できます。ポリサーで構成されたファイアウォールフィルタは、指定されたレート制限セット内のトラフィックのみを許可し、それによってサービス拒否 (DoS) 攻撃からの保護を提供します。ポリサーによって指定された速度制限を超えるトラフィックは、即座に破棄されるか、レート制限内のトラフィックよりも低い優先度としてマークされます。トラフィック渋滞がある場合、このスイッチは優先順位の低いトラフィックを破棄します。

ポリサーでは、トラフィックに対して2種類のレート制限を適用します。

  • 帯域—幅/秒あたりのビット数の上限。

  • 最大バーストサイズ—指定された帯域幅の制限を超えるデータバーストに対して許容可能な最大サイズ。

「ポリシー適用」は、平均帯域幅を制限するアルゴリズムを使用して、指定された最大値までのバーストを許容します。特定のトラフィッククラスをインターフェイスに定義し、各クラスにレート制限を適用することができます。ポリサーを名前付けして構成すると、それがテンプレートとして格納されます。その後、ファイアウォールフィルタ構成の中で、ポリサーを使用できます。

ジュニパーネットワークス EX8200 イーサネットスイッチを除くすべての EX シリーズスイッチで、構成する各ポリサーには、ポリサーに指定されたレート制限を超えたパケット数をカウントする暗黙のカウンターが含まれています。各 EX8200 スイッチには、3つのグローバル管理カウンターが含まれています。これらのグローバル管理カウンターに受信したポリサーを割り当てて、ポリサーの統計情報を取得する必要があります。各グローバル管理カウンターに受信したポリサーを任意の数だけ割り当てることができます。各グローバル管理カウンターのポリサー統計は、そのグローバル管理カウンターに関連付けられているすべてのポリサーの、ポリサー統計の集約です。

フィルター固有のパケット数を取得するには、各ファイアウォールフィルターに対して異なるポリサーを構成する必要があります。ポリサーは、デフォルトで、条件に特化したカウントを提供しています。

ポリサータイプ

スイッチは、3種類のポリサーをサポートしています。

  • 1対の2カラー—ポリサー (単“一速度と呼ばれることもあります”) は、トラフィックストリームをメートル単位で分類し、パケットをパケットロス優先度 (PLP) の2つに分類します。設定された帯域幅とバーストサイズに従います。極限. 帯域幅とバーストサイズの制限を超えたり、パケットを単純に破棄したりすることができます。2色のポリサーは、ポート (物理インターフェイス) レベルでトラフィックをメータリングする場合に非常に便利です。

  • シングルレート3色—このタイプのポリサーは、RFC 2697 で定義されています。 シングルレート3カラーマーカー、差別化されたサービス (DiffServ) 環境におけるホップの挙動 (PHB) 分類システム当たりの、AF 転送の一部として機能します。このタイプのポリサーメータトラフィックは、構成されたコミット情報レート (CIR)、コミット済みバーストサイズ (CBS)、および超過バーストサイズ (EBS) をベースにしています。トラフィックは、そのパケットが CBS (緑) 未満の速度で到着しているか、CBS (黄) を超えているか、または EBS (red) を超えているかによって、3つのカテゴリー (緑、黄、赤) のいずれかに属しているとしてマークされます。1対の3色のポリサーは、サービスがパケットサイズに従って構成され、ピークの着信率に基づいていない場合に最も有用です。

  • 2レート3色—このタイプのポリサーは、RFC 2698 で定義されています。 2レート3カラーマーカー、差別化されたサービス (DiffServ) 環境におけるホップの挙動 (PHB) 分類システム当たりの、AF 転送の一部として機能します。このタイプのポリサーは、構成された CIR、ピーク情報レート (PIR)、およびそれに対応するバーストサイズに基づいてトラフィックを伝送します。CBS およびピークバーストサイズ (PBS) です。トラフィックは、CIR (緑) 未満の速度で到着しているか、cir を超えても、PIR (黄色) を超えるか、または PIR (赤) を超えているパケットに基づいて、3つのカテゴリー (緑、黄、赤) のいずれかに属しているとマークされます。2レート3色のポリサーは、サービスがパケットサイズではなく到着率に従って構成されている場合に最も有効です。

ポリサーのアクション

ポリサーのアクションは暗黙または明示的に指定できます。また、ポリサータイプによって異なります。「暗示」という用語は、Junos OS によって損失の優先度値が自動的に割り当てられることを意味します。explicit とは、アクションを設定することを意味します。表 1ポリサーのアクションをリストします。

表 1: ポリサーのアクション

ポリサー

マーキング

暗黙のアクション

設定可能なアクション

シングルレート2色

緑 (準拠)

低損失の優先度を割り当てる

なし

赤 (不適合)

なし

低または高損失の優先度を割り当て、転送クラスを割り当てる、または破棄します。

黄色

対応していない

対応していない

シングルレート3カラー

緑 (準拠)

低損失の優先度を割り当てる

なし

赤 (EBS の上)

高損失の優先度を割り当てる

捨て

黄色 (CBS を超えますが、EBS は該当しない)

高損失の優先度を割り当てる

注: EX8200 スイッチではサポートされていません

なし

注: EX8200 スイッチではサポートされていません

2レート3色

緑 (準拠)

低損失の優先度を割り当てる

なし

赤 (PIR の上)

高損失の優先度を割り当てる

捨て

黄色 (CIR を超えますが、PIR はありません)

高損失の優先度を割り当てる

注: EX8200 スイッチではサポートされていません

なし

注: EX8200 スイッチではサポートされていません

アクションが出力ファイアウォールフィルタforwarding-classに含まれている場合、このポリサーを適用することはできません。

Junos OS リリース17.1 から始めて、EX4300 スイッチで、ポリサーアクションloss-priorityを、、、またlowmedium-lowhighmedium-high設定できます。

ポリサーレベル

ポリサーは、キューレベル、論理インタフェースレベル、またはレイヤー 2 (MAC) レベルで設定できます。送信キューにあるパケットに適用されるのは、1つのポリサーのみです。ポリサーの検索は、以下の順序で行われます。

  • キューレベル

  • 論理インタフェースレベル

  • レイヤー 2 (MAC) レベル

カラーモード

Tricolor マーキング (TCM) ポリサーは、緑、黄、赤のカラーリング規則によって拘束されることはありません。パケットには、カラーベースの低または高 PLP ビット構成が付けられています。したがって、3色のポリサータイプ (シングルレートと2レート) はどちらも、サービスクラス (CoS) の機能を拡張します。これにより、ポリサーで通常使用される2つのレベルのドロップ優先度 ([損失の優先順位]) を提供するのではなく、ポリシーを適用します。シングルレートと2レートの3色のポリサータイプはどちらも、2つのモードで動作できます。

  • カラーブラインドモード—の場合、3色のポリサーは、調査対象のパケットが以前にマーキングまたはメータリングされているかどうかを示す参照なしで動作します。言い換えると、3色のポリサーは、パケットが以前に保有していた色が前からのものであることを示しています。

  • カラー認識モード—では、3色のポリサーは、調査済みパケットの以前のマーキングまたはメータリングへの参照を使用して動作します。言い換えると、3色のポリサーは、パケットが以前に保有していた色付けを認識しています。カラー認識モードでは、3色のポリサーはパケットの PLP を増加させることができますが、それを減少させることはできません。たとえば、カラー認識型の3色のポリサーが、低 PLP のマークを持つパケットをメーターである場合、PLP レベルを高に上げることができます。しかし、高い PLP レベルを低くすることはできません。

ポリサーの名前付け規則

名前付け規則を使用することをお勧めします。 レート-TCMnumber-colortype3色のポリサーを構成する場合TCM は tricolor マークのためのものです。ポリサーは多数の場合があり、正しく適用する必要があるため、単純な名前付け規則を観察することで、ポリサーを適切に適用することが容易になります。

たとえば、シングルレート、3色、カラー認識型のポリサーを構成する場合は、srTCM1 という名前を指定します。2、3色のカラーブラインドポリサーを構成する場合は、trTCM2-cb という名前を使用します。

Release History Table
リリース
説明
Junos OS リリース17.1 から始めて、EX4300 スイッチで、ポリサーアクションloss-priorityを、、、またlowmedium-lowhighmedium-high設定できます。