EN ESTA PÁGINA
Ejemplo: Configurar un agente de policía de tres colores de dos velocidades
En este ejemplo, se muestra cómo configurar un policiador de tres colores de dos velocidades.
Requisitos
La compatibilidad con policiadores de tres colores de dos velocidades varía según el dispositivo. Incluye dispositivos de firewall SRX1400, SRX3400, SRX3600, SRX5400, SRX5600 y SRX5800 que ejecutan una versión compatible de Junos OS.
No se requiere ninguna configuración especial más allá de la inicialización del dispositivo antes de configurar este ejemplo.
Descripción general
Un policía de dos velocidades de tres colores medidora un flujo de tráfico con un límite de ancho de banda y un límite de tamaño de ráfaga para el tráfico garantizado, además de un límite de ancho de banda y un límite de tamaño de ráfaga para el tráfico máximo. El tráfico que se ajuste a los límites del tráfico garantizado se categoriza como verde, y el tráfico no conforme cae en una de dos categorías:
El tráfico no conforme que no supera los límites de tráfico máximo se clasifica como amarillo.
El tráfico no conforme que supera los límites de tráfico máximo se clasifica como rojo.
Cada categoría está asociada a una acción. Para el tráfico verde, los paquetes se establecen implícitamente con un valor de prioridad de pérdida de low y, luego, se transmiten. Para el tráfico amarillo, los paquetes se establecen implícitamente con un valor de prioridad de pérdida de medium-high y, luego, se transmiten. Para el tráfico rojo, los paquetes se establecen implícitamente con un valor de prioridad de pérdida de high y, luego, se transmiten. Si la configuración del agente de policía incluye la instrucción opcional action (action loss-priority high then discard), los paquetes en un flujo rojo se descartan en su lugar.
Puede aplicar un agente de policía de tres colores al tráfico de capa 3 como solo un agente de policía de filtro de firewall. Se hace referencia al agente de policía desde un término de filtro de firewall sin estado y, luego, se aplica el filtro a la entrada o salida de una interfaz lógica en el nivel de protocolo.
Topología
En este ejemplo, se aplica un policiador de tres colores con dos velocidades y compatibles con el color al tráfico IPv4 de entrada en la interfaz fe-0/1/1.0lógica. El término del filtro de firewall IPv4 que hace referencia al agente de policía no aplica ningún filtrado de paquetes. El filtro solo se utiliza para aplicar el policia de tres colores a la interfaz.
Configure el agente de policía para que limite la velocidad del tráfico a un límite de ancho de banda de 40 Mbps y un límite de tamaño de ráfaga de 100 KB para el tráfico verde, y configura el agente de policía para que también permita un límite de ancho de banda máximo de 60 Mbps y un límite de tamaño máximo de ráfaga de 200 KB para el tráfico amarillo. Solo el tráfico no conforme que supere los límites de tráfico máximo se categoriza como rojo. En este ejemplo, se configura la acción loss-priority high then discardde policía de tres colores, que reemplaza el marcado implícito del tráfico rojo en una high prioridad de pérdida.
Configuración
El siguiente ejemplo requiere que navegue por varios niveles en la jerarquía de configuración. Para obtener más información acerca de cómo navegar por la CLI, consulte Uso del editor de CLI en modo de configuración.
Para configurar este ejemplo, realice las siguientes tareas:
- Configuración rápida de CLI
- Configurar un agente de policía de tres colores de dos velocidades
- Configurar un filtro de firewall sin estado IPv4 que hace referencia al agente de policía
- Aplicación del filtro a una interfaz lógica a nivel de familia de protocolos
Configuración rápida de CLI
Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y, luego, pegue los comandos en la CLI en el nivel de jerarquía y, luego, ingrese commit desde el [edit] modo de configuración.
set firewall three-color-policer trTCM1-ca two-rate color-aware set firewall three-color-policer trTCM1-ca two-rate committed-information-rate 40m set firewall three-color-policer trTCM1-ca two-rate committed-burst-size 100k set firewall three-color-policer trTCM1-ca two-rate peak-information-rate 60m set firewall three-color-policer trTCM1-ca two-rate peak-burst-size 200k set firewall three-color-policer trTCM1-ca action loss-priority high then discard set firewall family inet filter filter-trtcm1ca-all term 1 then three-color-policer two-rate trTCM1-ca set interfaces ge-2/0/5 unit 0 family inet address 10.10.10.1/30 set interfaces ge-2/0/5 unit 0 family inet filter input filter-trtcm1ca-all set class-of-service interfaces ge-2/0/5 forwarding-class af
Configurar un agente de policía de tres colores de dos velocidades
Procedimiento paso a paso
Para configurar un policiador de tres colores de dos velocidades:
Habilite la configuración de un policia de tres colores.
[edit] user@host# set firewall three-color-policer trTCM1-ca
Configure el modo de color del policiador de tres colores de dos velocidades.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate color-aware
Configure los límites de tráfico garantizados de dos velocidades.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate committed-information-rate 40m user@host# set two-rate committed-burst-size 100k
El tráfico que no supere ambos límites se categoriza como verde. Los paquetes en un flujo verde se establecen implícitamente con prioridad de
lowpérdida y, luego, se transmiten.Configure los límites de tráfico máximo de dos velocidades.
[edit firewall three-color-policer trTCM1-ca] user@host# set two-rate peak-information-rate 60m user@host# set two-rate peak-burst-size 200k
El tráfico no conforme que no supere ambos límites se categoriza como amarillo. Los paquetes en un flujo amarillo se establecen implícitamente con prioridad de
medium-highpérdida y, luego, se transmiten. El tráfico no conforme que supera ambos límites se clasifica como rojo. Los paquetes en un flujo rojo se establecen implícitamente con prioridad dehighpérdida.(Opcional) Configure la acción del agente de policía para el tráfico rojo.
[edit firewall three-color-policer trTCM1-ca] user@host# set action loss-priority high then discard
En el caso de los policiadores de tres colores, la única acción configurable es descartar paquetes rojos. Los paquetes rojos son paquetes a los que se les ha asignado una alta prioridad de pérdida porque superaron la velocidad máxima de información (PIR) y el tamaño máximo de ráfaga (PBS).
Resultados
Para confirmar la configuración del agente de policía, ingrese el comando del modo de show firewall configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones en este procedimiento para corregir la configuración.
[edit]
user@host# show firewall
three-color-policer trTCM1-ca {
action {
loss-priority high then discard;
}
two-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
peak-information-rate 60m;
peak-burst-size 200k;
}
}
Configurar un filtro de firewall sin estado IPv4 que hace referencia al agente de policía
Procedimiento paso a paso
Para configurar un filtro de firewall sin estado IPv4 que haga referencia al agente de policía:
Habilite la configuración de un filtro de firewall sin estado estándar IPv4.
[edit] user@host# set firewall family inet filter filter-trtcm1ca-all
Especifique el término de filtro que hace referencia al agente de policía.
[edit firewall family inet filter filter-trtcm1ca-all] user@host# set term 1 then three-color-policer two-rate trTCM1-ca
Tenga en cuenta que el término no especifica ninguna condición de coincidencia. El filtro de firewall pasa todos los paquetes al agente de policía.
Resultados
Para confirmar la configuración del filtro de firewall, ingrese el comando del modo de show firewall configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones en este procedimiento para corregir la configuración.
[edit]
user@host# show firewall
family inet {
filter filter-trtcm1ca-all {
term 1 {
then {
three-color-policer {
two-rate trTCM1-ca;
}
}
}
}
}
three-color-policer trTCM1-ca {
action {
loss-priority high then discard;
}
two-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
peak-information-rate 60m;
peak-burst-size 200k;
}
}
Aplicación del filtro a una interfaz lógica a nivel de familia de protocolos
Procedimiento paso a paso
Para aplicar el filtro a la interfaz lógica en el nivel de la familia de protocolos:
Habilite la configuración de un filtro de firewall IPv4.
[edit] user@host# edit interfaces ge-2/0/5 unit 0 family inet
Aplique el agente de policía a la interfaz lógica en el nivel de familia de protocolos.
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set address 10.10.10.1/30 user@host# set filter input filter-trtcm1ca-all
(Solo enrutadores serie MX y conmutadores serie EX) (Opcional) En el caso de los policiadores de entrada, puede configurar un clasificador fijo. Un clasificador fijo reclasifica todos los paquetes entrantes, independientemente de cualquier clasificación preexistente.
Nota:La compatibilidad de la plataforma depende de la versión de Junos OS en su implementación.
[edit] user@host# set class-of-service interfaces ge-2/0/5 forwarding-class af
El nombre del clasificador puede ser un clasificador configurado o uno de los clasificadores predeterminados.
Resultados
Confirme la configuración de la interfaz ingresando el comando de modo de show interfaces configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones en este procedimiento para corregir la configuración.
[edit]
user@host# show interfaces
ge-2/0/5 {
unit 0 {
family inet {
address 10.10.10.1/30;
filter {
input filter-trtcm1ca-all;
}
}
}
}
Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.
Verificación
Confirme que la configuración funciona correctamente.
Mostrar los filtros de firewall aplicados a la interfaz lógica
Propósito
Compruebe que el filtro de firewall se aplica al tráfico de entrada IPv4 en la interfaz lógica.
Acción
Utilice el show interfaces comando de modo operativo para la interfaz ge-2/0/5.0lógica y especifique el detail modo. La Protocol inet sección de la salida del comando muestra información de IPv4 para la interfaz lógica. En esa sección, el Input Filters campo muestra el nombre de los filtros de firewall IPv4 asociados con la interfaz lógica.
user@host> show interfaces ge-2/0/5.0 detail
Logical interface ge-2/0/5.0 (Index 105) (SNMP ifIndex 556) (Generation 170)
Flags: Device-Down SNMP-Traps 0x4004000 Encapsulation: ENET2
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Local statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Transit statistics:
Input bytes : 0 0 bps
Output bytes : 0 0 bps
Input packets: 0 0 pps
Output packets: 0 0 pps
Protocol inet, MTU: 1500, Generation: 242, Route table: 0
Flags: Sendbcast-pkt-to-re
Input Filters: filter-trtcm1ca-all
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
Generation: 171
Protocol multiservice, MTU: Unlimited, Generation: 243, Route table: 0
Policer: Input: __default_arp_policer__