2 色および 3 色の論理インターフェイス ポリサー
論理インターフェイス(集約)ポリサーの概要
論理インターフェイス ポリサー(集約ポリサーとも呼ばれる)は、ポリサーのインスタンスを複数作成することなく、同じ論理インターフェイス上の複数のプロトコル ファミリーの入出力トラフィックに適用できるトラフィック レート制限を定義する 2 色または 3 色のポリサーです。
単一レートの 2 カラー 論理インターフェイス ポリサーを設定するには、以下の階層レベルのいずれかに logical-interface-policer ステートメントを含めます。
単一レートまたは 2 レートの 3 カラー論理インターフェイス ポリサーを設定するには、以下の階層レベルのいずれかに logical-interface-policer ステートメントを含めます。
-
[edit firewall three-color-policer name] -
[edit logical-systems logical-system-name firewall three-color-policer name]
3カラーポリサーは、論理 インターフェイスポリサーとしてのみレイヤー2トラフィックに適用できます。物理インターフェイスポリサーとしてレイヤー2トラフィックに ( ファイアウォールフィルターを介して)3カラーポリサーを適用することはできません。
論理インターフェイスポリサーをレイヤー3 トラフィックに直接適用するには、論理ユニットレベル(プロトコルファミリーに関係なく、すべてのトラフィックタイプをレート制限するため)またはプロトコルファミリーレベル(特定のプロトコルファミリーのトラフィックをレート制限するため)に適用します。ステートレスファイアウォールフィルター条件から論理インターフェイスポリサーを参照し、そのフィルターを論理インターフェイスに適用してもかまいません。
論理インターフェイスポリサーは、ユニキャストトラフィックにのみ適用できます。フラッディングされたトラフィック用のステートレスファイアウォールフィルターの設定については、ルーティングポリシー、ファイアウォールフィルター、およびトラフィックポリサーユーザーガイドの「トラフィックサンプリング、フォワーディング、および監視」セクションの「転送テーブルフィルターの適用」を参照してください。
特定のインターフェイスで論理インターフェイスポリサーを表示するには、show interfaces policers運用モードコマンドを発行します。
関連項目
例:2 カラー論理インターフェイス(集約)ポリサーの設定
この例では、単一レートの 2 カラー ポリサーを論理インターフェイス ポリサーとして設定し、論理インターフェイス上の受信 IPv4 トラフィックに適用する方法を示します。
要件
開始する前に、2カラー論理インターフェイスポリサーを適用する論理インターフェイスが、ギガビットイーサネットインターフェイス(ge-)または10ギガビットイーサネットインターフェイス(xe-)でホストされていることを確認してください。
概要
この例では、シングルレート2カラーポリサー policer_IFL を論理インターフェイスポリサーとして設定し、論理インターフェイス ge-1/3/1.0で受信するIPv4トラフィックに適用します。
トポロジー
物理インターフェイス ge-1/3/1 の入力IPv4トラフィックが、300KB のバーストサイズ制限でメディアレートの90 %に相当する帯域幅制限を超えた場合、論理インターフェイスポリサー policer_IFL 、論理インターフェイス ge-1/3/1.0上の入力IPv4トラフィックをレート制限します。PLP(パケット損失の優先度)レベルを high に設定し、パケットを best-effortとして分類することで、不適合トラフィックをマークするようにポリサーを設定します。
物理インターフェイス上の受信IPv4トラフィックレートが遅くなり、設定された制限に準拠すると、Junos OSは論理インターフェイスで受信IPv4パケットのマーキングを停止します。
設定
次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
この例を設定するには、以下のタスクを実行します。
- CLIクイックコンフィグレーション
- 論理インターフェイスの設定
- シングルレート2カラーポリサーを論理インターフェイスポリサーとして設定する
- 論理インターフェイスポリサーを適用して、論理インターフェイスで入力IPv4トラフィック
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下の設定コマンドをテキストファイルにコピーし、改行を削除してから、 [edit] 階層レベルのCLIにコマンドを貼り付けます。
set interfaces ge-1/3/1 vlan-tagging set interfaces ge-1/3/1 unit 0 vlan-id 100 set interfaces ge-1/3/1 unit 0 family inet address 10.10.10.1/30 set interfaces ge-1/3/1 unit 1 vlan-id 101 set interfaces ge-1/3/1 unit 1 family inet address 20.20.20.1/30 arp 20.20.20.2 mac 00:00:11:22:33:44 set firewall policer policer_IFL logical-interface-policer set firewall policer policer_IFL if-exceeding bandwidth-percent 90 set firewall policer policer_IFL if-exceeding burst-size-limit 300k set firewall policer policer_IFL then loss-priority high set firewall policer policer_IFL then forwarding-class best-effort set interfaces ge-1/3/1 unit 0 family inet policer input policer_IFL
論理インターフェイスの設定
ステップバイステップの手順
論理インターフェイスを設定するには:
-
インターフェイスの設定を有効にします。
[edit] user@host# edit interfaces ge-1/3/1
-
単一のタグを設定します。
[edit interfaces ge-1/3/1] user@host# set vlan-tagging
-
論理インターフェイス
ge-1/3/1.0を設定します。[edit interfaces ge-1/3/1] user@host# set unit 0 vlan-id 100 user@host# set unit 0 family inet address 10.10.10.1/30
-
論理インターフェイス
ge-1/3/1.0を設定します。[edit interfaces ge-1/3/1] user@host# set unit 1 vlan-id 101 user@host# set unit 1 family inet address 20.20.20.1/30 arp 20.20.20.2 mac 00:00:11:22:33:44
結果
show interfaces configuration mode コマンドを入力して、論理インターフェイスの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-1/3/1 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 10.10.10.1/30;
}
}
unit 1 {
vlan-id 101;
family inet {
address 20.20.20.1/30 {
arp 20.20.20.2 mac 00:00:11:22:33:44;
}
}
}
}
シングルレート2カラーポリサーを論理インターフェイスポリサーとして設定する
ステップバイステップの手順
シングルレート2カラーポリサーを論理インターフェイスポリサーとして設定するには:
-
シングルレート2カラーポリサーの設定を有効にします。
[edit] user@host# edit firewall policer policer_IFL
-
ポリサーが論理インターフェイス(集約)ポリサーであることを指定します。
[edit firewall policer policer_IFL] user@host# set logical-interface-policer
論理インターフェイスポリサーは、ポリサーが適用される論理インターフェイスの基礎となる物理インターフェイスのメディアレートの割合に基づいて、トラフィックをレート制限します。ポリサーは、ファイアウォールフィルターによって参照されるのではなく、インターフェイスに直接適用されます。
-
ポリサーのトラフィック制限を指定します。
-
帯域幅制限を指定します。
-
帯域幅制限を、8,000 ビット / 秒から50,000,000,000 ビット /秒までの絶対レートとして指定するには、
bandwidth-limit bpsステートメントを含めます。 -
帯域幅制限をインターフェイス上の物理ポート速度の割合として指定するには、
bandwidth-percent percentステートメントを含めます。
この例では、CLIコマンドと出力は、絶対レートではなくパーセンテージで指定された帯域幅制限に基づいています。
[edit firewall policer policer_IFL] user@host# set if-exceeding bandwidth-percent 90
-
-
バーストサイズ制限を1,500 バイトから100,000,000,000 バイトの範囲で指定します。これは、指定された帯域幅制限を超えるデータのバーストに許可される最大パケットサイズです。
[edit firewall policer policer_IFL] user@host# set if-exceeding burst-size-limit 300k
-
-
設定されたレート制限を超えるトラフィックに対して実行するポリサーアクションを指定します。
-
パケットを破棄するには、
discardステートメントを含めます。 -
パケットの損失優先度値を設定するには、
loss-priority (low | medium-low | medium-high | high)ステートメントを含めます。 -
パケットを転送クラスに分類するには、
forwarding-class (forwarding-class | assured-forwarding | best-effort | expedited-forwarding | network-control)ステートメントを含めます。
この例では、CLIコマンドと出力は、パケット損失優先度レベルの設定とパケットの分類の両方に基づいています。
[edit firewall policer policer_IFL] user@host# set then loss-priority high user@host# set then forwarding-class best-effort
-
結果
show firewall 設定モード コマンドを入力して、ポリサーの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show firewall
policer policer_IFL {
logical-interface-policer;
if-exceeding {
bandwidth-percent 90;
burst-size-limit 300k;
}
then {
loss-priority high;
forwarding-class best-effort;
}
}
論理インターフェイスポリサーを適用して、論理インターフェイスで入力IPv4トラフィック
ステップバイステップの手順
2カラー論理インターフェイスポリサーを入力IPv4トラフィック論理インターフェイスに適用するには:
-
論理インターフェイスの設定を有効にします。
[edit] user@host# edit interfaces ge-1/3/1 unit 0
-
ポリサーをすべてのトラフィックタイプまたは論理インターフェイス上の特定のトラフィックタイプに適用します。
-
プロトコルファミリーに関係なく、すべてのトラフィックタイプにポリサーを適用するには、
[edit interfaces interface-name unit number]階層レベルにpolicer (input | output) policer-nameステートメントを含めます。 -
特定のプロトコルファミリーのトラフィックにポリサーを適用するには、
[edit interfaces interface-name unit unit-number family family-name]階層レベルにpolicer (input | output) policer-nameステートメントを含めます。
受信パケットに論理インターフェイスポリサーを適用するには、
policer input policer-nameステートメントを使用します。論理インターフェイスポリサーを発信パケットに適用するには、policer output policer-nameステートメントを使用します。この例では、CLIコマンドと出力は、論理インターフェイス
ge-1/3/1.0でのIPv4入力トラフィックのレート制限に基づいています。[edit interfaces ge-1/3/1 unit 0] user@host# set family inet policer input policer_IFL
-
結果
show interfaces configuration mode コマンドを入力して、インターフェイスの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-1/3/1 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
policer input policer_IFL;
address 10.10.10.1/30;
}
}
unit 1 {
vlan-id 101;
family inet {
address 20.20.20.1/30 {
arp 20.20.20.2 mac 00:00:11:22:33:44;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
論理インターフェイスのトラフィック統計とポリサーの表示
目的
論理インターフェイスを通過するトラフィックフローと、論理インターフェイスでパケットが受信されたときにポリサーが評価されることを確認します。
アクション
論理インターフェイスge-1/3/1.0にはshow interfaces動作モードコマンドを使用し、detailまたはextensiveオプションを含めます。Traffic statisticsのコマンド出力セクションには、論理インターフェイス上で送受信されたバイト数とパケット数が一覧表示されます。Protocol inetサブセクションには、以下のように、入力または出力論理インターフェイスポリサーとしてポリサーpolicer_IFLをリストするPolicerフィールドが含まれています。
-
Input: policer_IFL-ge-1/3/1.0-log_int-i
-
Output: policer_IFL-ge-1/3/1.0-log_int-o
log_int-iサフィックスは入力トラフィックに適用される論理インターフェイスポリサーを示し、log_int-oサフィックスは出力トラフィックに適用される論理インターフェイスポリサーを示します。この例では、論理インターフェイスポリサーは入力トラフィックにのみ適用されます。
ポリサーの統計情報の表示
目的
ポリサーによって評価されたパケット数を確認します。
アクション
show policer動作モードコマンドを使用し、オプションでポリサーの名前を指定します。コマンド出力は、各方向に設定された各ポリサー(または指定されたポリサー)によって評価されたパケット数を表示します。ポリサーpolicer_IFLの場合、入力および出力ポリサー名は次のように表示されます。
-
policer_IFL-ge-1/3/1.0-log_int-i
-
policer_IFL-ge-1/3/1.0-log_int-o
log_int-iサフィックスは入力トラフィックに適用される論理インターフェイスポリサーを示し、log_int-oサフィックスは出力トラフィックに適用される論理インターフェイスポリサーを示します。この例では、論理インターフェイスポリサーは入力トラフィックにのみ適用されます。
例:3 色論理インターフェイス(集約)ポリサーの設定
この例では、2 レートの 3 色覚異常のポリサーを論理インターフェイス(集約)ポリサーとして設定し、サポートされている論理インターフェイスのレイヤー 2 入力トラフィックに直接ポリサーを適用する方法を示します。
要件
開始する前に、3色論理インターフェイスポリサーを適用する論理インターフェイスが、MX シリーズルーターのギガビットイーサネットインターフェイス(ge-)または10ギガビットイーサネットインターフェイス(xe-)でホストされていることを確認してください。
概要
2 レート 3 カラー ポリサーは、保証されたトラフィックの帯域幅制限とバースト サイズ制限、さらにピーク トラフィックの帯域幅とバースト サイズ制限の 2 番目のセットに照らし合わせてトラフィック フローを測定します。保証されたトラフィックの制限に準拠したトラフィックはグリーンとして分類され、不適合トラフィックは次の2つのカテゴリのいずれかに分類されます。
-
ピークトラフィックの帯域幅とバーストサイズの制限を超えない不適合トラフィックは、黄色に分類されます。
-
ピークトラフィックの帯域幅とバーストサイズの制限を超える不適合トラフィックは、赤色に分類されます。
論理インターフェイスポリサーは、ポリサーの複数のインスタンスを作成することなく、同じ論理インターフェイス上の複数のプロトコルファミリーに適用できるトラフィックレート制限ルールを定義します。
ステートレスファイアウォールフィルターでポリサーを参照してから、プロトコルファミリーレベルでフィルターを論理インターフェイスに適用するのではなく、論理ユニットレベルで論理インターフェイスに論理インターフェイスポリサーを直接適用します。
トポロジー
この例では、2レートの3カラーポリサー trTCM2-cb を色覚異常の論理インターフェイスポリサーとして設定し、論理インターフェイス ge-1/3/1.0の受信レイヤー2 トラフィックにポリサーを適用します。
3 カラー ポリサーを使用してレイヤー 2 トラフィックのレート制限を行う場合、カラー認識ポリシングはエグレス トラフィックにのみ適用できます。
ポリサーは、帯域幅制限の40Mbps とトラフィックバーストの許容量100KB に適合するトラフィック(トークンバケット式に基づく)がグリーンとして分類されるように、保証されたトラフィックレート制限を定義します。ポリシングされたトラフィックと同様に、グリーン フローのパケットは暗黙的に low 損失優先度に設定されてから送信されます。
60Mbpsの帯域幅制限と200KB のトラフィックバースト許容値(トークンバケット式に基づく)のピークトラフィック制限内に収まる不適合トラフィックは、黄色に分類されます。黄色のトラフィックフローのパケットは、暗黙的に medium-high 損失優先度に設定されてから送信されます。
ピークトラフィック制限を超える不適合トラフィックは赤色に分類されます。赤色のトラフィックフローのパケットは、暗黙のうちに high 損失優先度に設定されています。この例では、赤色のトラフィック(loss-priority high then discard)に対するオプションのポリサーアクションが設定されているため、赤色のトラフィックフローのパケットは送信されずに破棄されます。
設定
次の例では、設定階層のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
この例を設定するには、以下のタスクを実行します。
- CLIクイックコンフィグレーション
- 論理インターフェイスの設定
- 2 レート 3 カラー ポリサーを論理インターフェイス ポリサーとして設定する
- 論理インターフェイスのレイヤー 2 入力に 3 カラー ポリサーを適用する
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下の設定コマンドをテキストファイルにコピーし、改行を削除してから、 [edit] 階層レベルのCLIにコマンドを貼り付けます。
set interfaces ge-1/3/1 vlan-tagging set interfaces ge-1/3/1 unit 0 vlan-id 100 set interfaces ge-1/3/1 unit 0 family inet address 10.10.10.1/30 set interfaces ge-1/3/1 unit 1 vlan-id 101 set interfaces ge-1/3/1 unit 1 family inet address 20.20.20.1/30 arp 20.20.20.2 mac 00:00:11:22:33:44 set firewall three-color-policer trTCM2-cb logical-interface-policer set firewall three-color-policer trTCM2-cb two-rate color-blind set firewall three-color-policer trTCM2-cb two-rate committed-information-rate 40m set firewall three-color-policer trTCM2-cb two-rate committed-burst-size 100k set firewall three-color-policer trTCM2-cb two-rate peak-information-rate 60m set firewall three-color-policer trTCM2-cb two-rate peak-burst-size 200k set firewall three-color-policer trTCM2-cb action loss-priority high then discard set interfaces ge-1/3/1 unit 0 layer2-policer input-three-color trTCM2-cb
論理インターフェイスの設定
ステップバイステップの手順
論理インターフェイスを設定するには:
-
インターフェイスの設定を有効にします。
[edit] user@host# edit interfaces ge-1/3/1
-
単一のタグを設定します。
[edit interfaces ge-1/3/1] user@host# set vlan-tagging
-
論理インターフェイス
ge-1/3/1.0を設定します。[edit interfaces ge-1/3/1] user@host# set unit 0 vlan-id 100 user@host# set unit 0 family inet address 10.10.10.1/30
-
論理インターフェイス
ge-1/3/1.0を設定します。[edit interfaces ge-1/3/1] user@host# set unit 1 vlan-id 101 user@host# set unit 1 family inet address 20.20.20.1/30 arp 20.20.20.2 mac 00:00:11:22:33:44
結果
show interfaces configuration mode コマンドを入力して、論理インターフェイスの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-1/3/1 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 10.10.10.1/30;
}
}
unit 1 {
vlan-id 101;
family inet {
address 20.20.20.1/30 {
arp 20.20.20.2 mac 00:00:11:22:33:44;
}
}
}
}
2 レート 3 カラー ポリサーを論理インターフェイス ポリサーとして設定する
ステップバイステップの手順
2 レート 3 カラー ポリサーを論理インターフェイス ポリサーとして設定するには:
-
3カラーポリサーの設定を有効にします。
[edit] user@host# edit firewall three-color-policer trTCM2-cb
-
ポリサーが論理インターフェイス(集約)ポリサーであることを指定します。
[edit firewall three-color-policer trTCM2-cb] user@host# set logical-interface-policer
論理インターフェイスポリサーは、ポリサーが適用される論理インターフェイスの基礎となる物理インターフェイスのメディアレートの割合に基づいてトラフィックをレート制限し、ポリサーはファイアウォールフィルターによって参照されるのではなく、インターフェイスに直接適用されます。
-
ポリサーが 2 レートで色覚異常であることを指定します。
[edit firewall three-color-policer trTCM2-cb] user@host# set two-rate color-blind
カラー対応の3カラーポリサーは、以前のネットワークノードで構成された別のトラフィックポリサーによってパケットに設定された可能性のあるカラーマーキングが考慮され、既存のカラーマーキングがパケットの適切なポリシングアクションの決定に使用されます。
レイヤー2 で入力に適用されたこの3カラーポリサーを適用するため、ポリサーを色覚異常に設定する必要があります。
-
グリーンのトラフィックフローの分類に使用するポリサーのトラフィック制限を指定します。
[edit firewall three-color-policer trTCM2-cb] user@host# set two-rate committed-information-rate 40m user@host# set two-rate committed-burst-size 100k
-
黄色または赤色のトラフィックフローを分類するために使用する追加のポリサートラフィック制限を指定します。
[edit firewall three-color-policer trTCM2-cb] user@host# set two-rate peak-information-rate 60m user@host# set two-rate peak-burst-size 200k
-
(オプション)red トラフィック フロー内のパケットに対して設定されたポリサー アクションを指定します。
[edit firewall three-color-policer trTCM2-cb] user@host# set action loss-priority high then discard
カラー認識モードでは、3 カラー ポリサーが設定したアクションによって、パケットの PLP(パケット損失の優先度)レベルを上げることができますが、下げることはありません。例えば、カラー認識型の3カラーポリサーが、PLPマーキングが中程度のパケットを計測した場合、PLPレベルを高に上げることはできますが、PLPレベルを低に下げることはできません。
結果
show firewall 設定モード コマンドを入力して、3 色ポリサーの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show firewall
three-color-policer trTCM2-cb {
logical-interface-policer;
action {
loss-priority high then discard;
}
two-rate {
color-blind;
committed-information-rate 40m;
committed-burst-size 100k;
peak-information-rate 60m;
peak-burst-size 200k;
}
}
論理インターフェイスのレイヤー 2 入力に 3 カラー ポリサーを適用する
ステップバイステップの手順
3カラーポリサーを論理インターフェイスのレイヤー2 入力に適用するには:
-
レイヤー2論理インターフェイスポリサーの適用を有効にします。
[edit] user@host# edit interfaces ge-1/3/1 unit 0
-
3色の論理インターフェイスポリサーを論理インターフェイス入力に適用します。
[edit interfaces ge-1/3/1 unit 0] user@host# set layer2-policerinput-three-color trTCM2-cb
結果
show interfaces configuration mode コマンドを入力して、論理インターフェイスの設定を確認します。コマンド出力に意図した設定が表示されない場合は、この手順の指示を繰り返して設定を修正します。
[edit]
user@host# show interfaces
ge-1/3/1 {
vlan-tagging;
unit 0 {
vlan-id 100;
layer2-policer {
input-three-color trTCM2-cb;
}
family inet {
address 10.10.10.1/30;
}
}
unit 1 {
vlan-id 101;
family inet {
address 20.20.20.1/30 {
arp 20.20.20.2 mac 00:00:11:22:33:44;
}
}
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
論理インターフェイスのトラフィック統計とポリサーの表示
目的
論理インターフェイスを通過するトラフィックフローと、論理インターフェイスでパケットが受信されたときにポリサーが評価されることを確認します。
アクション
論理インターフェイスge-1/3/1.0にはshow interfaces動作モードコマンドを使用し、detailまたはextensiveオプションを含めます。Traffic statisticsのコマンド出力セクションには、論理インターフェイス上で送受信されたバイト数とパケット数が一覧表示され、Protocol inetセクションには次のように、入力または出力ポリサーとしてポリサーtrTCM2-cbをリストするPolicerフィールドが含まれています。
-
Input: trTCM2-cb-ge-1/3/1.0-log_int-i
-
Output: trTCM2-cb-ge-1/3/1.0-log_int-o
log_int-iサフィックスは入力トラフィックに適用される論理インターフェイスポリサーを示し、log_int-oサフィックスは出力トラフィックに適用される論理インターフェイスポリサーを示します。この例では、論理インターフェイスポリサーは入力方向にのみ適用されています。
ポリサーの統計情報の表示
目的
ポリサーによって評価されたパケット数を確認します。
アクション
show policer動作モードコマンドを使用し、オプションでポリサーの名前を指定します。コマンド出力は、各方向に設定された各ポリサー(または指定されたポリサー)によって評価されたパケット数を表示します。ポリサーtrTCM2-cbの場合、入力および出力ポリサー名は次のように表示されます。
-
trTCM2-cb-ge-1/3/1.0-log_int-i
-
trTCM2-cb-e-1/3/1.0-log_int-o
log_int-iサフィックスは入力トラフィックに適用される論理インターフェイスポリサーを示し、log_int-oサフィックスは出力トラフィックに適用される論理インターフェイスポリサーを示します。この例では、論理インターフェイスポリサーは入力トラフィックにのみ適用されます。