ポリサーの概要

ポリサーの概要

ポリサーを使用して、トラフィックフローに制限を適用し、この制限を超えたパケットに対する結果を設定し(通常はより高い損失優先度を適用します)、ダウンストリームのパケットが輻輳に遭遇した場合に、最初にパケットを破棄できるようにします。ポリサーは、ユニキャスト パケットにのみ適用されます。

ポリサーには 2 つの機能があります。メータリングとマーキング。ポリサーは、設定したトラフィックレートとバーストサイズに対して各パケットを測定(測定)します。次に、パケットとメータリング結果をマーカーに渡し、メータリング結果に対応するパケット損失の優先度を割り当てます。 図 1 、このプロセスを示しています。

注:

ポリサーは、PFE ごとに設定された伝送速度でトラフィックを制限します。QFX10016、QFX10002、QFX10002-60C、および QFX10008 スイッチでは、集約されたイーサネット(AE)インターフェイスのバンドルが複数の PFE にまたがる場合、加入者に対するポリサーの全体的な伝送速度が、ポリサーの設定された伝送速度を超える可能性があります(関係する PFE の数によって異なります)。

次に例を示します。

• メンバーリンクxe-1/0/0(fpc1-pfe0)およびxe-1/0/30(fpc1-pfe1)を持つAEインターフェイスに設定された帯域幅制限100 mbpsのポリサー。ここでは、2 つのメンバー リンクは FPC1 に属していますが、異なる PFE 上にあります。ポリサーを AE インターフェイスに適用すると、2 つの PFE に対してポリサーが設定されているため、合計帯域幅は 200 Mbps になります。

• メンバーリンクxe-1/0/0(fpc1-pfe0)、et-2/0/1(fpc2-pfe1)、xe-2/0/18:0(fpc2-pfe2)を持つAEインターフェイスに設定された帯域幅制限100 Mbpsのポリサー。ここでは、1つのメンバーリンクがこのFPC上のFPC1とPFE0に属しています。残りの2つのメンバーリンクはFPC2に属しますが、PFEが異なります。ポリサーを AE インターフェイスに適用すると、3 つの PFE に対してポリサーが設定されているため、合計帯域幅は 300 Mbps になります。

• 単一のPFE(fpc1-pfe0)上にメンバーリンクxe-1/0/0およびxe-1/0/1を持つAEインターフェイス上に設定された帯域幅制限100 mbpsのポリサー。ここでは、メンバー リンクは FPC1 と同じ PFE に属しています。ポリサーを AE インターフェイスに適用すると、PFE ごとにポリサーが設定されるため、合計帯域幅は 100 Mbps になります。

ポリサーに名前を付けて構成した後、1 つ以上のファイアウォール フィルターでアクションとして指定して使用できます。

ポリサーのタイプ

スイッチは、次の 3 種類のポリサーをサポートします。

• シングルレート 2 カラー マーカー - 2 カラー ポリサー(または資格なしで使用する場合は「ポリサー」)がトラフィック ストリームを計測し、設定された帯域幅とバーストサイズ制限に従って、パケットを PLP(パケット損失の優先度)の 2 つのカテゴリーに分類します。指定した PLP で帯域幅とバースト サイズ制限を超えるパケットをマークするか、単に廃棄することができます。

  このタイプのポリサーは、イングレスまたはエグレス ファイアウォールで指定できます。

  注:

  2 カラー ポリサーは、ポート(物理インターフェイス)レベルでトラフィックを計測する場合に最も役立ちます。

• シングルレート3カラーマーカー—このタイプのポリサーは、 RFC2697のシングル レートスリーカラーマーカーで、差別化されたサービス(DiffServ)環境向けの確実転送(AF)ホップごとの動作(PHB)分類システムの一部として定義されています。このタイプのポリサーは、設定された認定情報レート(CIR)と、認定バースト サイズ(CBS)および超過バースト サイズ(EBS)という 1 つのレートに基づいてトラフィックを計測します。CIR は、ビットがスイッチに許可される平均レートを指定します。CBS は通常のバースト サイズをバイト単位で指定し、EBS は最大バースト サイズをバイト単位で指定します。EBS は CBS 以上である必要があり、どちらも 0 にすることはできません。

  このタイプのポリサーは、イングレスまたはエグレス ファイアウォールで指定できます。

  注:

  シングルレート3カラーマーカー(TCM)は、サービスがピーク到着率ではなくパケット長に従って構造化されている場合に最も役立ちます。

• ツー レート スリー カラー マーカー—このタイプのポリサーは、RFC 2698、 A Two Rate Three Color Marker で、差別化サービス環境向けのホップ単位の保証転送動作分類システムの一部として定義されています。このタイプのポリサーは、CIR とピーク情報レート(PIR)とそれに関連するバースト サイズである CBS とピーク バースト サイズ(PBS)の 2 つのレートに基づいてトラフィックをメーターします。PIR は、ビットがネットワークに許可される最大レートを指定し、CIR 以上である必要があります。

  このタイプのポリサーは、イングレスまたはエグレス ファイアウォールで指定できます。

  注:

  ツー レート スリー カラー ポリサーは、サービスがパケット長ではなく到着レートに従って構造化されている場合に最も役立ちます。

これらの各ポリサーの種類にメータリング結果を適用する方法については、 表 1 を参照してください。

ポリサーのアクション

ポリサーのアクションは暗黙的または明示的であり、ポリサーのタイプによって異なります。暗黙的とは 、Junos OSが損失の優先度を自動的に割り当てることを意味します。 表 1 では、ポリサーのアクションについて説明します。

表 1: ポリサーのアクション

ポリサー	マーキング	暗黙的なアクション	設定可能なアクション
シングルレート2色	緑(準拠)	低損失優先度の割り当て	なし
	赤(不適合)	なし	捨てる
シングルレート3色	緑(準拠)	低損失優先度の割り当て	なし
	黄色(CIRとCBSの上)	中高損失の優先度を割り当てる	なし
	赤(EBS の上)	高損失優先度の割り当て	捨てる
ツーレートスリーカラー	緑(準拠)	低損失優先度の割り当て	なし
	黄色(CIRとCBSの上)	中高損失の優先度を割り当てる	なし
	赤(PIRとPBSの上)	高損失優先度の割り当て	捨てる

注:

エグレス ファイアウォールフィルターでポリサーを指定した場合、サポートされるアクションは discard のみです。

ポリサー カラー

1 レートおよび 2 レートの 3 カラー ポリサーは、次の 2 つのモードで動作できます。

• 色覚異常—色覚異常モードでは、3 色ポリサーは、検査対象のすべてのパケットが以前にマーキングまたは計測されていないと想定します。言い換えれば、3色のポリサーは、パケットが持っていたかもしれない以前の色付けに対して「盲目」です。

• カラー認識—カラー認識モードでは、3カラーポリサーは、検査されたすべてのパケットが以前にマーキングまたはメータリングされていると仮定します。つまり、3 色のポリサーは、パケットが以前に持っていた可能性のある色を「認識」しています。カラー認識モードでは、3 カラー ポリサーはパケットの PLP を増やすことはできますが、減らすことはできません。たとえば、カラー対応の 3 カラー ポリサーが中程度の PLP マーキングを持つパケットを計測する場合、PLP レベルを高に上げることはできますが、PLP レベルを低くすることはできません。

フィルター固有のポリサー

ポリサーをフィルター固有に設定することができます。つまり、ポリサーが何回参照されても、Junos OSはポリサーインスタンスを1つだけ作成します。一部の QFX スイッチでは、レート制限が集約されて適用されるため、1 Gbps を超えるトラフィックを破棄するようにポリサーを設定し、そのポリサーを 3 つの異なる条件で参照する場合、フィルターで許容される合計帯域幅は 1 Gbps になります。ただし、フィルタ固有のポリサーの動作は、ポリサーを参照するファイアウォール フィルタ用語が TCAM にどのように保存されるかによって影響を受けます。フィルター固有のポリサーを作成し、それを複数のファイアウォール フィルター用語で参照する場合、用語が異なる TCAM スライスに格納されている場合、ポリサーは予想よりも多くのトラフィックを許可します。例えば、1 Gbps を超えるトラフィックを廃棄するようにポリサーを設定し、そのポリサーを 3 つの異なる用語で参照し、3 つの別々のメモリ スライスに格納する場合、フィルターで許容される総帯域幅は 1 Gbps ではなく 3 Gbps になります。(この動作はQFX10000スイッチでは発生しません)。

この予期しない動作の発生を防ぐには、 作成するファイアウォール フィルターの数 の計画に記載されている TCAM スライスに関する情報を使用して構成ファイルを整理し、特定のフィルター固有のポリサーを参照するすべてのファイアウォール フィルター条件が同じ TCAM スライスに保存されるようにします。

ポリサーに推奨される命名規則

3 カラー ポリサーを設定する場合は命名規則 policertypeTCM#-color type 、2 カラー ポリサーを設定するには policer# を使用することを推奨します。TCM は 3 色マーカー を表します。ポリサーは多数存在する可能性があり、機能するには正しく適用する必要があるため、単純な命名規則を使用すると、ポリサーを適切に適用しやすくなります。たとえば、最初に設定されたシングル レートのカラー認識 3 カラー ポリサーの名前は srTCM1-ca になります。2 番目に構成された 2 レート、色覚異常の 3 色は、 trTCM2-cb という名前になります。この命名規則の要素について、以下で説明します。

• SR(シングルレート)

• TR(ツーレート)

• TCM(トリコロールマーキング)

• 1 または 2 (マーカーの数)

• CA (カラー認識)

• CB(色覚異常)

ポリサーカウンター

一部の QFX スイッチでは、設定する各ポリサーに、ポリサーに指定されたレート制限を超えるパケットの数をカウントする暗示的なカウンターが含まれています。同じフィルター内または異なるフィルター内で、同じポリサーを複数の条件で使用すると、暗黙的なカウンターは、これらすべての条件でポリシングされるすべてのパケットをカウントし、合計量を提供します。(これはQFX10000スイッチには適用されません)。影響を受けるスイッチの条件ごとに個別のパケット数を取得する場合は、次のオプションを使用します。

• 各条件に固有のポリサーを設定します。

• ポリサーを 1 つだけ設定しますが、各条件に一意の明示的なカウンターを使用します。

ポリサー アルゴリズム

ポリシングでは、 トークンバケットアルゴリズムを使用して、平均帯域幅に制限を強制しながら、指定された最大値までのバーストを許可します。リーキーバケットアルゴリズムよりも柔軟性が高く、パケットの破棄を開始する前に一定量のバースト性トラフィックを許可します。

注:

バースト性トラフィックが少ない環境では、QFX5200すべてのマルチキャスト パケットを 2 つ以上のダウンストリーム インターフェイスに複製できない場合があります。これはライン レート バーストでのみ発生し、トラフィックが一貫していれば問題は発生しません。さらに、この問題は、1 ギガビットのトラフィック フローでパケット サイズが 6k を超える場合にのみ発生します。

サポートされるポリサーの数はいくつですか?

QFX10000スイッチは、8K ポリサー(すべてのポリサー タイプ)をサポートしています。QFX5100 および QFX5200 スイッチは、1535 個のイングレス ポリサーと 1024 個のエグレス ポリサーをサポートします(ファイアウォール フィルター条件ごとに 1 つのポリサーを想定)。QFX5110スイッチは、6144 個のイングレス ポリサーと 1024 個のエグレス ポリサーをサポートします(ファイアウォール フィルター条件ごとに 1 つのポリサーを想定)。

QFX3500およびQFX3600スタンドアロンスイッチとQFabricノードデバイスは、以下の数のポリサーをサポートします(ファイアウォールフィルター条件ごとに1つのポリサーを想定)。

• イングレスファイアウォールフィルターで使用される2色のポリサー: 767

• イングレスファイアウォールフィルターで使用される3色ポリサー: 767

• エグレスファイアウォールフィルターで使用される2色のポリサー: 1022

• エグレスファイアウォールフィルターで使用される3色ポリサー: 512

ポリサーはエグレスファイアウォールフィルターを制限できる

一部のスイッチでは、設定したエグレスポリサーの数が、許可されるエグレスファイアウォールフィルターの総数に影響を与えることがあります。すべてのポリサーには、1024エントリのTCAMで2つのエントリを占める2つの暗黙的なカウンターがあります。これらは、ファイアウォール フィルターの用語でアクション修飾子として構成されているカウンターなど、カウンターに使用されます。(ポリサーのタイプに関係なく、1つはグリーンパケットに使用され、もう1つは非グリーンパケットに使用されるため、ポリサーは2つのエントリを消費します)。TCAMがいっぱいになると、カウンターを含む条件を持つエグレスファイアウォールフィルターをこれ以上コミットできなくなります。例えば、512 個のエグレス ポリサー(2 色、3 色、または両方のポリサー タイプの組み合わせ)を設定してコミットすると、カウンターのすべてのメモリ エントリーが使い果たされます。構成ファイルの後半で、カウンターを含む条件を持つ追加のエグレス ファイアウォール フィルターを挿入した場合、カウンターに使用できるメモリ領域がないため、これらのフィルターのどの条件 も コミットされません。

その他の例を次に示します。

• 合計512のポリサーを含み、カウンターを含まないエグレスフィルターを設定するとします。構成ファイルの後半に、10 個の条件を持つ別のエグレス フィルターを含め、そのうちの 1 つにカウンター アクション修飾子を設定します。カウンターに十分な TCAM スペースがないため、このフィルターのどの条件もコミットされません。

• 合計500のポリサーを含むエグレスフィルターを設定すると、1000のTCAMエントリーが占有されるとします。構成ファイルの後半で、次の 2 つのエグレス フィルターを含めます。

  • 20 個の項と 20 個のカウンターでフィルター A。すべてのカウンターに十分なTCAMスペースがあるため、このフィルターのすべての条件がコミットされます。

  • フィルター B はフィルター A の後にあり、5 つの項と 5 つのカウンターがあります。すべてのカウンターに十分なメモリ領域がないため、このフィルターのどの条件もコミットされません。(5 つの TCAM エントリが必要ですが、使用可能は 4 つだけです)。

この問題を防ぐには、カウンターアクションを含むエグレスファイアウォールフィルター条件が、ポリサーを含む用語よりも構成ファイルの早い位置に配置されるようにします。この状況では、暗黙的なカウンターのための十分なTCAMスペースがない場合でも、Junos OSはポリサーをコミットします。たとえば、次のことを想定します。

• カウンターアクションを含む1024個のエグレスファイアウォールフィルター条件があります。

• 構成ファイルの後半には、10語のエグレスフィルターがあります。どの条件にもカウンターはありませんが、1 つの用語にはポリサー アクション修飾子があります。

ポリサーの暗黙的なカウンターのための十分なTCAMスペースがない場合でも、10語でフィルターを正常にコミットできます。ポリサーはカウンターなしでコミットされます。