Descripción general de los agentes de policía

Descripción general de Policer

Los agentes de policía se usan para aplicar límites al flujo de tráfico y establecer consecuencias para los paquetes que superen estos límites (por lo general, aplicando una prioridad de pérdida más alta), de modo que si los paquetes encuentran congestión descendente, se puedan descartar primero. Los agentes de policía solo se aplican a paquetes de unidifusión.

Los reguladores de políticas proporcionan dos funciones: medición y marcado. Un policía mide (mide) cada paquete en función de las velocidades de tráfico y los tamaños de ráfaga que usted configure. A continuación, pasa el paquete y el resultado de la medición al marcador, que asigna una prioridad de pérdida de paquetes que corresponde al resultado de la medición. La Figura 1 ilustra este proceso.

Figura 1: Flujo de la operación del policía de marcado tricolor

Después de asignar un nombre y configurar un aplicador de políticas, puede usarlo especificándolo como una acción en uno o varios filtros de firewall.

Tipos de policía

Un conmutador admite tres tipos de agentes de policía:

• Marcador de dos colores de velocidad única: un regulador de dos colores (o "agente de policía" cuando se usa sin calificación) mide el flujo de tráfico y clasifica los paquetes en dos categorías de prioridad de pérdida de paquetes (PLP) de acuerdo con un ancho de banda configurado y un límite de tamaño de ráfaga. Puede marcar los paquetes que exceden el ancho de banda y el límite de tamaño de ráfaga con un PLP especificado o simplemente descartarlos.

  Puede especificar este tipo de aplicador de políticas en un firewall de entrada o salida.

  Nota:

  Un regulador de políticas de dos colores es más útil para medir el tráfico a nivel de puerto (interfaz física).

• Marcador de tres colores de velocidad única: este tipo de regulador de políticas se define en RFC 2697, Un marcador de tres colores de velocidad única, como parte de un sistema de clasificación de comportamiento por salto (PHB) de reenvío seguro (AF) para un entorno de servicios diferenciados (DiffServ). Este tipo de policía mide el tráfico en función de una velocidad: la velocidad de información comprometida (CIR) configurada, así como el tamaño de ráfaga comprometido (CBS) y el tamaño de ráfaga excedente (EBS). El CIR especifica la velocidad promedio a la que se admiten los bits en el conmutador. El CBS especifica el tamaño de ráfaga habitual en bytes y el EBS especifica el tamaño máximo de ráfaga en bytes. El EBS debe ser mayor o igual que el CBS, y ninguno puede ser 0.

  Puede especificar este tipo de aplicador de políticas en un firewall de entrada o salida.

  Nota:

  Un marcador de tres colores (TCM) de velocidad única es más útil cuando un servicio está estructurado de acuerdo con la longitud del paquete y no con la tasa de llegada máxima.

• Marcador de dos velocidades y tres colores: este tipo de agente de policía se define en RFC 2698, Un marcador de dos velocidades y tres colores, como parte de un sistema de clasificación de comportamiento por salto de reenvío garantizado para un entorno de servicios diferenciados. Este tipo de policía mide el tráfico en función de dos velocidades: el CIR y la tasa de información máxima (PIR) junto con sus tamaños de ráfaga asociados, la CBS y el tamaño de ráfaga máxima (PBS). El PIR especifica la velocidad máxima a la que se admiten los bits en la red y debe ser mayor o igual que el CIR.

  Puede especificar este tipo de aplicador de políticas en un firewall de entrada o salida.

  Nota:

  Un regulador de políticas de dos velocidades y tres colores es más útil cuando un servicio está estructurado de acuerdo con las tasas de llegada y no necesariamente con la longitud del paquete.

Consulte la Tabla 1 para obtener información sobre cómo se aplican los resultados de medición para cada uno de estos tipos de reguladores de policía.

Acciones de policía

Las acciones del agente de policía son implícitas o explícitas y varían según el tipo de agente de policía. Implícito significa que Junos OS asigna la prioridad de pérdida automáticamente. En la Tabla 1 se describen las acciones de los agentes de policía.

Colores de policía

Las políticas de uno y dos colores pueden funcionar en dos modos:

• Daltonismo: en el modo daltónico, el policía de tres colores asume que todos los paquetes examinados no se han marcado o medido previamente. En otras palabras, el policía de tres colores está "ciego" a cualquier color anterior que pueda haber tenido un paquete.

• Consciente del color: en el modo de reconocimiento del color, el regulador de políticas de tres colores asume que todos los paquetes examinados se marcaron o midieron previamente. En otras palabras, el policía de tres colores es "consciente" de la coloración anterior que podría haber tenido un paquete. En el modo de reconocimiento de color, el policía de tres colores puede aumentar el PLP de un paquete, pero no puede disminuirlo. Por ejemplo, si un policía de tres colores con reconocimiento de color mide un paquete con una marca de PLP media, puede aumentar el nivel de PLP a alto, pero no puede reducir el nivel de PLP a bajo.

Reguladores de políticas específicos de filtro

Puede configurar las políticas para que sean específicas del filtro, lo que significa que Junos OS crea solo una instancia de aplicación de política, independientemente de cuántas veces se haga referencia a ella. Cuando se hace esto en determinados conmutadores, la limitación de velocidad se aplica en conjunto, por lo que si configura un aplicador de políticas para descartar el tráfico que supere 1 Gbps y hace referencia a ese aplicador de políticas en tres términos diferentes, el ancho de banda total permitido por el filtro es de 1 Gbps. Sin embargo, el comportamiento de un aplicador de políticas específico de filtro se ve afectado por la forma en que se almacenan en TCAM los términos de filtro de firewall que hacen referencia al aplicador de políticas. Si crea un aplicador de políticas específico de filtro y hace referencia a él en varios términos de filtro de firewall, el aplicador de políticas permite más tráfico del esperado si los términos se almacenan en diferentes segmentos de TCAM. Por ejemplo, si configura un aplicador de políticas para descartar el tráfico que supere 1 Gbps y hace referencia a ese aplicador de políticas en tres términos diferentes que se almacenan en tres segmentos de memoria independientes, el ancho de banda total permitido por el filtro es de 3 Gbps, no de 1 Gbps.

Para evitar que se produzca este comportamiento inesperado, utilice la información sobre los segmentos de TCAM que se presenta en Planeación del número de filtros de firewall que se van a crear para organizar el archivo de configuración de modo que todos los términos de filtro de firewall que hacen referencia a un aplicador de política específico de filtro determinado se almacenen en el mismo segmento de TCAM.

Convención de nomenclatura sugerida para policías

Recomendamos que utilice la convención policertypeTCM#-color type de nomenclatura al configurar políticas de tres colores y policer# al configurar políticas de dos colores. TCM significa marcador de tres colores. Debido a que las políticas pueden ser numerosas y deben aplicarse correctamente para funcionar, una convención de nomenclatura simple facilita la aplicación de las políticas correctamente. Por ejemplo, el primer regulador de políticas de tres colores con reconocimiento de color de velocidad única configurado se denominaría srTCM1-ca. La segunda configuración de tres colores daltónica de dos velocidades se denominaría trTCM2-cb. Los elementos de esta convención de nomenclatura se explican a continuación:

• SR (tasa única)

• TR (dos velocidades)

• TCM (marcado tricolor)

• 1 o 2 (número de marcadores)

• CA (consciente del color)

• CB (daltónico)

Contadores de policía

En algunos conmutadores, cada aplicador de políticas que configure incluye un contador implícito que cuenta el número de paquetes que superan los límites de velocidad especificados para el aplicador de políticas. Si usa el mismo regulador de políticas en varios términos, ya sea dentro del mismo filtro o en filtros diferentes, el contador implícito cuenta todos los paquetes que se controlan en todos estos términos y proporciona la cantidad total. Si desea obtener recuentos de paquetes independientes para cada término en un conmutador afectado, utilice estas opciones:

• Configure un aplicador de políticas único para cada término.

• Configure solo un aplicador de política, pero use un contador único y explícito en cada término.

Algoritmos de policía

La vigilancia utiliza el algoritmo token-bucket, el cual impone un límite en el ancho de banda promedio a la vez que permite ráfagas hasta un valor máximo especificado. Ofrece más flexibilidad que el algoritmo de depósito con fugas para permitir una cierta cantidad de tráfico con ráfagas antes de que comience a descartar paquetes.

Los policías pueden limitar los filtros de firewall de salida

En algunos conmutadores, la cantidad de políticas de salida que configure puede afectar la cantidad total de filtros de firewall de salida permitidos. Cada policía tiene dos contadores implícitos que ocupan dos entradas en un TCAM de 1024 entradas. Se utilizan para los contadores, incluidos los contadores configurados como modificadores de acción en términos de filtro de firewall. (Los reguladores de políticas consumen dos entradas porque una se usa para paquetes verdes y otra para paquetes que no son verdes, independientemente del tipo de regulador de política). Si la TCAM se llena, no puede confirmar más filtros de firewall de salida que tengan términos con contadores. Por ejemplo, si configura y confirma 512 políticas de salida (de dos colores, tres colores o una combinación de ambos tipos de políticas), se agotan todas las entradas de memoria para los contadores. Si más adelante en el archivo de configuración inserta filtros de firewall de salida adicionales con términos que también incluyen contadores, no se confirma ninguno de los términos de esos filtros porque no hay espacio de memoria disponible para los contadores.

Aquí hay algunos ejemplos adicionales:

• Suponga que configura filtros de salida que incluyen un total de 512 reguladores de políticas y ningún contador. Más adelante en el archivo de configuración, se incluye otro filtro de salida con 10 términos, 1 de los cuales tiene un modificador de acción contraria. Ninguno de los términos de este filtro se confirma porque no hay suficiente espacio TCAM para el contador.

• Suponga que configura filtros de salida que incluyen un total de 500 aplicadores de políticas, por lo que se ocupan 1000 entradas TCAM. Más adelante en el archivo de configuración, incluya los dos filtros de salida siguientes:

  • Filtro A con 20 términos y 20 contadores. Todos los términos de este filtro se confirman porque hay suficiente espacio TCAM para todos los contadores.

  • El filtro B viene después del filtro A y tiene cinco términos y cinco contadores. Ninguno de los términos de este filtro se confirma porque no hay suficiente espacio de memoria para todos los contadores. (Se requieren cinco entradas TCAM, pero solo cuatro están disponibles).

Puede evitar este problema si se asegura de que los términos de filtro de firewall de salida con acciones de contador se coloquen antes en el archivo de configuración que los términos que incluyen a los agentes de policía. En esta circunstancia, Junos OS compromete a los agentes de policía incluso si no hay suficiente espacio TCAM para los contadores implícitos. Por ejemplo, supongamos lo siguiente:

• Tiene términos de filtro de firewall de salida 1024 con acciones de contra.

• Más adelante en el archivo de configuración, tendrá un filtro de salida con 10 términos. Ninguno de los términos tiene contadores, pero uno tiene un modificador de acción de policía.

Puede confirmar correctamente el filtro con 10 términos aunque no haya suficiente espacio TCAM para los contadores implícitos del regulador de política. El policía está comprometido sin los contadores.

Comportamiento de policía específico de la plataforma

Utilice la siguiente tabla para revisar los comportamientos específicos de la plataforma para sus plataformas.