トラフィックポリシングを使用したネットワークアクセスの制御の概要

IPトラフィックフローの輻輳管理

レート制限としても知られるトラフィックポリシングは、サービス拒否(DoS)攻撃を阻止するために設計されたネットワークアクセスセキュリティの重要なコンポーネントです。トラフィックポリシングを使用すると、インターフェイス上で送受信されるIPトラフィックの最大レートを制御したり、ネットワークトラフィックを複数の優先度レベル(サービスクラスとも呼ばれる)に分割することができます。ポリサーは、一連のトラフィックレート制限を定義し、設定された制限に適合しないトラフィック の結果を設定します。トラフィック制限に準拠しないトラフィックフロー 内のパケットは破棄されるか、異なる転送クラスまたはPLP(パケット損失優先度)レベルでマークされます。

集約トラフィック(物理インターフェイス上に設定されたすべてのプロトコルファミリーと論理インターフェイス)をレート制限するように設定されたポリサーを除き、 論理インターフェイスのレイヤー2 またはレイヤー3 トラフィックフローのすべてのIPパケットにポリサーを適用できます。

物理インターフェイスのメディアレートに基づいてレート制限するように設定されたポリサーを除き、ステートレス ファイアウォールフィルターを使用することで、論理インターフェイスのレイヤー3 トラフィックフロー内の特定のIPパケットにポリサーを適用できます。

インバウンドまたはアウトバウンドのインターフェイストラフィックにポリサーを適用できます。インバウンドトラフィックに適用されたポリサーは、ネットワークを介してルーティングする必要のないトラフィックをドロップすることで、リソースの節約に役立ちます。また、インバウンドトラフィックをドロップすることで、サービス拒否(DoS)攻撃の阻止に役立ちます。アウトバウンドトラフィックに適用されるポリサーは、使用する帯域幅を制御します。

注:

トラフィックポリサーは、PICごとにインスタンス化されます。1つのローカルポリシー決定機能(L-PDF)加入者のトラフィックが、AMSグループ内の複数のマルチサービスPICに分散されている場合、トラフィックポリシングは機能しません。

トラフィック制限

Junosポリサーは、 トークンバケットアルゴリズム を使用して、インターフェイスでのトラフィックの平均送信または受信レートに制限を適用しながら、構成された帯域幅制限と構成されたバーストサイズに基づいて最大値までのトラフィックのバーストを許可します。トークンバケットアルゴリズムは、パケットの破棄を開始する前に、指定されたトラフィックバーストを許可できるという点で、 リーキーバケットアルゴリズム よりも柔軟性があります。トークンバケットアルゴリズムでは、パケット出力キューイング優先度やパケットドロップ優先度などのペナルティを適用することもできます。

トークンバケットモデルでは、バケットはポリサーのレート制限機能を表しています。トークンは一定の割合でバケットに追加されますが、バケットの指定された深さに達すると、それ以降に割り当てられたトークンを保存して使用することはできません。各トークンは、一定数のビットの「クレジット」を表し、バケット内のトークンは、インターフェイスでトラフィックを送受信するために「キャッシュ イン」されます。バケットに十分なトークンが存在する場合、トラフィックフローは無制限に続行されます。そうしないと、パケットがドロップされるか、より低い転送クラス、より高いPLP(パケット損失優先度)レベル、またはその両方で再マークされる可能性があります。

• トークンがバケットに追加されるレートは、特定のサービスレベルで許可される最大平均送信または受信レート(ビット / 秒)を表します。この最高平均トラフィックレートをポリサーの 帯域幅 制限 として指定します。トラフィック到着レート(または固定ビット/秒)が非常に高く、ある時点でバケット内のトークンが不十分な場合、トラフィックフローはトラフィック制限に準拠していません。トラフィックが比較的少ない時(トークンの到着率を下回る平均レートでインターフェイスに発着するトラフィック)には、未使用のトークンがバケットに蓄積されます。

• バケットの深さ(バイト単位)は、許可されるバックツーバックバーストの量を制御します。この係数をポリサーの バーストサイズ 制限 として指定します。この2つ目の制限は、一定時間間隔の送信バーストで許可されるバイト数を制限することで、平均の送信または受信レートに影響を与えます。現在のバーストサイズ制限を超えるバーストは、バーストを続行できる十分なトークンが利用できるまで破棄されます。

  図1:ネットワークトラフィックとバーストレート

  上の図に示すように、UPCバーコードは、回線上のトラフィックがどのように見えるかを示す優れたファクシミリです。インターフェイスが送信中(フルレートでバースト)しているか、送信していないかのいずれかです。黒い線はデータ送信の期間を表し、空白はトークンバケットが補充できる沈黙の期間を表します。

使用するポリサーのタイプによっては、定義された制限を超えるポリシングされたトラフィックフロー内のパケットは、暗黙的により高いPLPレベルに設定されるか、設定された転送クラスに割り当てられるか、設定されたPLPレベルに設定されるか(またはその両方)、あるいは単に破棄される場合があります。パケットがダウンストリームで輻輳が発生した場合、PLP レベルが low のパケットは、 medium-low、 medium-high、または PLP レベル high パケットよりも破棄される可能性が低くなります。

トラフィックカラーマーキング

ポリサーは、設定された特定のトラフィック制限のセットに基づいて、自動車の交通制御に使用される信号機の色に類似した2つまたは3つのカテゴリのいずれかに属するものとしてトラフィックフローを識別します。

• 単一レート2色—2色マーキングポリサー(または、資格なしで使用する場合は「ポリサー」)がトラフィックストリームを測定し、設定された帯域幅とバーストサイズ制限に従ってパケットをPLP(パケット損失優先度)の2つのカテゴリに分類します。帯域幅とバーストサイズの制限を超えるパケットを何らかの方法でマークするか、単に破棄することができます。

  ポリサーは、ポート(物理インターフェイス)レベルでトラフィックを測定するのに最も役立ちます。

• シングルレート 3 カラー - このタイプのポリサーは、差別化されたサービス(DiffServ)環境向けの保証されたフォワーディング(AF)ホップごとの動作(PHB)分類システムの一部として、RFC 2697、 シングルレート スリーカラーマーカーで定義されています。このタイプのポリサーは、設定されたコミット情報レート(CIR)、コミットされたバーストサイズ(CBS)、および超過バーストサイズ(EBS)に基づいてトラフィックを計測します。トラフィックは、到着するパケットがCBSを下回っているか(緑)、CBSを超えているがEBSではないか、またはEBSを超えているか(赤)に基づいて、3つのカテゴリ(緑、黄色、赤)のいずれかに属するものとしてマークされます。

  シングルレートの3カラーポリサーは、ピーク到着率ではなくパケット長に基づいてサービスが構成されている場合に最も役立ちます。

• ツーレートスリーカラー—このタイプのポリサーは、差別化されたサービス(DiffServ)環境向けの保証されたフォワーディング(AF)ホップごとの動作(PHB)分類システムの一部として、RFC 2698、 2レートスリーカラーマーカーで定義されています。このタイプのポリサーは、設定されたCIRとピーク情報レート(PIR)、および関連するバーストサイズ、CBSと ピークバーストサイズ (PBS)に基づいてトラフィックを計測します。トラフィックは、到着するパケットがCIRを下回っている(緑)、CIRを超えている(黄色)がPIRではない、またはPIRを超えているか(赤)に基づいて、3つのカテゴリ(緑、黄色、赤)のいずれかに属するものとしてマークされます。

  2 レート 3 カラー ポリサーは、サービスが必ずしもパケットの長さではなく到着レートに従って構成されている場合に最も役立ちます。

ポリサーアクションには暗黙的または明示的があり、ポリサーのタイプによって異なります。 暗黙的という 用語は、Junosが損失優先度を自動的に割り当てることを意味します。 表1は 、ポリサーのアクションを説明しています。

表1:ポリサーアクション

ポリサー	マーキング	暗黙のアクション	設定可能なアクション
シングルレート2カラー	グリーン(適合)	低損失優先度の割り当て	なし
	赤(不適合)	なし	低損失優先度または高損失優先度の割り当て、フォワーディングクラスの割り当て、破棄一部のプラットフォームでは、損失優先度が中低または中高を割り当てることができます
シングルレートスリーカラー	グリーン(適合)	低損失優先度の割り当て	なし
	黄色(CIRとCBSの上)	中高損失優先度の割り当て	なし
	赤(EBSの上)	高損失優先度の割り当て	破棄
ツーレートスリーカラー	グリーン(適合)	低損失優先度の割り当て	なし
	黄色(CIRとCBSの上)	中高損失優先度の割り当て	なし
	赤(PIRとPBSの上)	高損失優先度の割り当て	破棄

転送クラスとPLPレベル

パケットの転送クラス割り当てとPLPレベルは、Junos CoS機能によって使用されます。Junos CoS の機能には、ベストエフォート型のトラフィック配信が不十分な場合に DiffServ を提供するために使用できる一連のメカニズムが含まれています。IPv4、IPv6、MPLSトラフィックを伝送するインターフェイスの場合、ネットワークのエッジに入るトラフィックの単一のフローを取り込み、ネットワーク全体にさまざまなレベルのサービスを提供するようにCoS機能を設定できます。これらのサービスには、個々のパケットの転送クラスの割り当てとPLPレベルに基づく出力用の内部転送とスケジューリング(キューイング)が含まれます。

注:

ポリサーまたはステートレス ファイアウォール フィルターによって実行される転送クラスおよび損失優先度の割り当ては、デフォルトまたは設定された BA 分類子からそのような割り当てをすべて上書きします。

CoS設定に基づいて、特定の転送クラスのパケットは特定の出力キューを介して送信され、各出力キューは スケジューラで定義された送信サービスレベルに関連付けられます。

他のCoS設定に基づくと、出力キュー内のパケットが混雑に遭遇した場合、損失優先度値が高いパケットは、ランダム早期検出(RED)アルゴリズムによって破棄される可能性が高くなります。パケット損失の優先度の値は、トラフィックフロー内のパケットの相対的な順序に影響を与えることなく、パケットのスケジューリングに影響します。

トラフィックへのポリサーアプリケーション

ポリサーを定義して名前を付けると、テンプレートとして保存されます。後で同じポリサー名を使用して、使用するたびに同じポリサー設定を提供できます。これにより、同じポリサー値を複数回定義する必要がなくなります。

ポリサーは、次の2つの方法のいずれかでトラフィックフローに適用できます。

• policer policer-name非終了アクションまたはthree-color-policer (single-rate | two-rate) policer-name非終了アクションを指定する標準ステートレスファイアウォールフィルターを設定できます。論理インターフェイスの入力または出力に標準フィルターを適用すると、フィルター設定で指定された条件に一致するフィルター固有のプロトコルファミリーのすべてのパケットにポリサーが適用されます。

  このポリサーを適用する方法では、インターフェイス上で特定のクラスのトラフィックを定義し、各クラスにトラフィックのレート制限を適用できます。

• ポリサーをインターフェイスに直接適用することで、プロトコルファミリーや一致条件に関係なく、そのインターフェイス上のすべてのトラフィックにトラフィックレート制限を適用することができます。

ポリサーは、キュー、論理インターフェイス、またはレイヤー 2(MAC)レベルで設定できます。egressキューのパケットには1つのポリサーのみが適用され、ポリサーの検索は以下の順序で行われます。

• キューレベル

• 論理インターフェイスレベル

• レイヤー 2(MAC)レベル