ファイアウォールフィルターでのポリサーの使用について

ポリサーの概要

ポリサーを使用して、トラフィックのレート制限を指定できます。ポリサーで設定されたファイアウォールフィルターは、指定されたレート制限内のトラフィックのみを許可することで、サービス拒否(DoS)攻撃からの保護を提供します。ポリサーが指定したレート制限を超えるトラフィックは、直ちに破棄されるか、レート制限内のトラフィックよりも優先度が低いとマークされます。トラフィックが混雑すると、スイッチは優先度の低いトラフィックを破棄します。

ポリサーは、トラフィックに 2 種類のレート制限を適用します。

• 帯域幅—平均して許可される1秒あたりのビット数。

• 最大バーストサイズ—特定の帯域幅制限を超えるデータのバーストに許可される最大サイズ。

ポリシングでは、アルゴリズムを使用して平均帯域幅に制限を適用しながら、指定された最大値までのバーストを許可します。インターフェイス上でトラフィックの特定のクラスを定義し、各クラスに一連のレート制限を適用できます。ポリサーに名前を付けて設定すると、テンプレートとして保存されます。その後、ファイアウォールフィルター設定でポリサーを使用できます。

すべてのEXシリーズスイッチで、設定する各ポリサーには、ポリサーに指定されたレート制限を超えるパケット数をカウントする暗黙的なカウンターが含まれています。

フィルター固有のパケット数を取得するには、ファイアウォールフィルターごとに異なるポリサーを設定する必要があります。ポリサーは、デフォルトで条件固有のカウントを提供します。

ポリサータイプ

スイッチは、次の 3 種類のポリサーをサポートします。

• シングルレート2カラー—2カラーポリサー(単に「ポリサー」と呼ばれることもあります)は、トラフィックストリームを測定し、設定された帯域幅とバーストサイズ制限に従ってパケットをPLP(パケット損失の優先度)の2つのカテゴリに分類します。帯域幅とバーストサイズの制限を超えるパケットをマークするか、単に破棄することができます。2 カラー ポリサーは、ポート(物理インターフェイス)レベルでトラフィックを測定する場合に最も便利です。

• シングルレート 3 カラー - このタイプのポリサーは、差別化されたサービス(DiffServ)環境向けの保証されたフォワーディング(AF)ホップごとの動作(PHB)分類システムの一部として、RFC 2697、 シングルレート スリーカラーマーカーで定義されています。このタイプのポリサーは、設定されたコミット情報レート(CIR)、コミットされたバーストサイズ(CBS)、および超過バーストサイズ(EBS)に基づいてトラフィックを計測します。トラフィックは、パケットがCBSを下回るレート(緑)、CBSを超えているがEBSを上回らない(黄色)、EBSを超えるレート(赤)に基づいて、3つのカテゴリ(緑、黄色、赤)のいずれかに属するものとしてマークされます。シングルレートの3カラーポリサーは、ピーク到着レートではなくパケットサイズに従ってサービスが構成されている場合に最も役立ちます。

• ツーレートスリーカラー—このタイプのポリサーは、差別化されたサービス(DiffServ)環境向けの保証されたフォワーディング(AF)ホップごとの動作(PHB)分類システムの一部として、RFC 2698、 2レートスリーカラーマーカーで定義されています。このタイプのポリサーは、設定されたCIRとピーク情報レート(PIR)、および関連するバーストサイズに基づいてトラフィックを計測します。CBS、およびピークバーストサイズ(PBS)です。トラフィックは、CIR(緑)を下回る、CIRを超えているがPIRではない(黄色)、またはPIRを超える(赤)のパケットの速度に基づいて、3つのカテゴリ(緑、黄色、赤)のいずれかに属するものとしてマークされます。2 レート 3 カラー ポリサーは、サービスがパケット サイズではなく到着レートに従って構成されている場合に最も役立ちます。

ポリサーのアクション

ポリサーアクションは暗黙的または明示的であり、ポリサーのタイプによって異なります。暗黙的という用語は、Junos OSが損失優先度値を自動的に割り当てることを意味します。明示的には、アクションを設定することを意味します。 表1 に、ポリサーのアクションを示します。

ポリサーレベル

ポリサーは、キューレベル、 論理インターフェイス レベル、またはレイヤー2(MAC)レベルで設定できます。エグレス キューのパケットには 1 つのポリサーのみが適用されます。ポリサーの検索は、次の順序で行われます。

• キューレベル

• 論理インターフェイスレベル

• レイヤー 2(MAC)レベル

カラーモード

トリコロールマーキング(TCM)ポリサーは、緑-黄-赤のカラーリング規則に拘束されません。パケットは、色に基づいた低または高PLPビット設定でマークされます。そのため、どちらの3カラーポリサータイプ(シングルレートと2レート)も、ポリサーで通常利用可能な2つのレベルではなく、3つのレベルのドロップ優先度(損失優先度)を提供することで、サービスクラス(CoS)トラフィックポリシングの機能を拡張します。シングルレートとツーレートのスリーカラーポリサータイプはどちらも、次の2つのモードで動作できます:

• 色覚異常—色覚異常モードでは、3色ポリサーは、検査されたパケットが以前にマークまたは計測されているかどうかを参照せずに動作します。つまり、3 カラー ポリサーは、パケットが持っていた以前のカラーリングを 認識 しません。

• カラー認識—カラー認識モードでは、3カラーポリサーは、検査されたパケットの以前のマーキングまたはメータリングを参照して動作します。つまり、3カラーポリサーは、パケットが持っていた可能性のある以前のカラーリングを 認識 しています。カラー認識モードでは、3 カラー ポリサーはパケットの PLP を増やすことはできますが、減少させることはできません。例えば、カラー認識の3カラーポリサーが低いPLPマーキングを持つパケットを測定した場合、PLPレベルを高に上げることができます。しかし、高いPLPレベルを低いレベルに下げることはできません。

ポリサーの命名規則

3色ポリサーを設定する場合は、命名規則 rate-TCMnumber-colortype を使用することをお勧めします。TCM はトリコロール マーキングの略です。ポリサーは数多く存在する場合があり、動作するには正しく適用する必要があるため、単純な命名規則に従うことで、ポリサーを適切に適用しやすくなります。

例えば、単レート、3 色、カラー認識ポリサーを設定する場合は、srTCM1-ca と名付けます。2レート、3カラー、色覚異常ポリサーを設定する場合は、trTCM2-cbという名前を付けます。