Configuración de filtros y políticas de firewall MPLS
Puede configurar un filtro de firewall MPLS para contar paquetes según los bits EXP para la etiqueta MPLS de nivel superior en un paquete. También puede configurar policias para LSP MPLS.
En las siguientes secciones se analizan los filtros y políticas de firewall MPLS:
Configuración de filtros de firewall MPLS
Puede configurar un filtro de firewall MPLS para contar paquetes según los bits EXP para la etiqueta MPLS de nivel superior en un paquete. A continuación, puede aplicar este filtro a una interfaz específica en la entrada o salida. También puede configurar un agente de policía para el filtro MPLS para que ordene (es decir, límite de velocidad) el tráfico de la interfaz a la que se adjunta el filtro. No puede aplicar filtros de firewall MPLS a interfaces de circuito cerrado.
Puede configurar las siguientes condiciones de coincidencia para filtros MPLS en el [edit firewall family mpls filter filter-name term term-name from] nivel jerárquico:
explabel
Estas exp condiciones de coincidencia pueden aceptar bits EXP en el intervalo del 0 al 7. Puede configurar las siguientes opciones:
Un solo bit EXP, por ejemplo,
exp 3;Varios bits EXP; por ejemplo,
exp 0, 4;Un rango de bits EXP; por ejemplo,
exp [0-5];
La label condición de coincidencia puede aceptar un rango de valores de 0 a 1048575.
Si no especifica un criterio de coincidencia (es decir, no configura la instrucción y usa solo la from instrucción con la thencount palabra clave acción), se contarán todos los paquetes MPLS que pasan por la interfaz en la que se aplica el filtro.
También puede configurar cualquiera de las siguientes palabras clave de acción en el [edit firewall family mpls filter filter-name term term-name then] nivel jerárquico:
acceptcountdiscardpolicerthree-color-policer
Ejemplos: Configuración de filtros de firewall MPLS
Los siguientes ejemplos ilustran cómo puede configurar un filtro de firewall MPLS y, luego, aplicarlo a una interfaz. Este filtro está configurado para contar paquetes MPLS con bits EXP establecidos en 0 o 4.
A continuación se muestra una configuración para un filtro de firewall MPLS:
[edit firewall]
family mpls {
filter expf {
term expt0 {
from {
exp 0,4;
}
then {
count counter0;
accept;
}
}
}
}
Configuración de policias para LSP
La política de LSP de MPLS le permite controlar la cantidad de tráfico reenviado a través de un LSP en particular. El control de políticas ayuda a garantizar que la cantidad de tráfico reenviado a través de un LSP nunca supere la asignación de ancho de banda solicitada. La política de LSP se admite en LSP regulares, LSP configurados con ingeniería de tráfico compatible con DiffServ y LSP multiclase. Puede configurar varios agentes de políticas para cada LSP multiclase. En el caso de los LSP regulares, cada agente de policía de LSP se aplica a todo el tráfico que atraviesa los LSP. Las limitaciones de ancho de banda del agente de policía se hacen efectivas tan pronto como la suma total del tráfico que atraviesa el LSP supera el límite configurado.
Puede configurar los policias LSP de ingeniería de tráfico con conciencia de DiffServ y LSP multiclase en un filtro. El filtro se puede configurar para distinguir entre los diferentes tipos de clase y aplicar el agente de policía correspondiente a cada tipo de clase. Los policiadores distinguen entre tipos de clase basados en los bits EXP.
Puede configurar los policias LSP bajo el family any filtro. El family any filtro se utiliza porque el agente de policía se aplica al tráfico que entra en el LSP. Este tráfico puede ser de diferentes familias: IPv6, MPLS, entre otros. No necesita saber qué tipo de tráfico entra en el LSP, siempre y cuando las condiciones de coincidencia se apliquen a todos los tipos de tráfico.
Limitaciones de LSP Policer
Al configurar los policias LSP de MPLS, tenga en cuenta las siguientes limitaciones:
Los policiares LSP solo se admiten para los LSP de paquetes.
Los policiares LSP solo se admiten para los próximos saltos de unidifusión. No se admiten los próximos saltos de multidifusión.
Los policias LSP no se admiten en interfaces agregadas.
El policiador LSP se ejecuta antes de cualquier filtro de salida.
El tráfico procedente del motor de enrutamiento (por ejemplo, tráfico de ping) no toma la misma ruta de reenvío que el tráfico de tránsito. No se puede policiar este tipo de tráfico.