Ações de contagem e policiamento específicas de prefixo

Contagem e policiamento separados para cada faixa de endereço IPv4

A contagem e o policiamento específicos de prefixo permitem que você configure um termo de filtro de firewall IPv4 que corresponda a um endereço de origem ou destino, aplica um policiador de duas cores de taxa única como o termo ação, mas associa o pacote combinado com uma instância específica de contador e policiador com base na origem ou destino no cabeçalho do pacote. Você pode criar implicitamente um contador ou instância policial separada para um único endereço ou para um grupo de endereços.

A contagem e o policiamento específicos de prefixo usam uma configuração de ação específica para prefixo que especifica o nome do policiador que você deseja aplicar, se a contagem específica de prefixo deve ser habilitada e um intervalo de prefixo de endereço de origem ou destino.

A faixa de prefixo especifica entre 1 e 16 bits de conjunto sequencial de uma máscara de endereço IPv4. O comprimento da faixa de prefixo determina o tamanho do contador e do conjunto de policiais, que consiste em apenas 2 ou até 65.536 instâncias de contador e policial. A posição dos bits da faixa de prefixo determina a indexação de pacotes combinados com filtros no conjunto de instâncias.

Para aplicar uma ação específica de prefixo ao tráfego em uma interface, você configura um termo de filtro de firewall que corresponde a endereços de origem ou destino e, em seguida, você aplica o filtro de firewall na interface. O fluxo de tráfego filtrado é limitado por taxa usando instâncias de contador e policiamento específicas de prefixo que são selecionadas por pacote com base na origem ou endereço de destino no cabeçalho do pacote filtrado.

Configuração de ação específica para prefixo

Para configurar uma ação específica de prefixo, você especifica as seguintes informações:

• Nome de ação específico para prefixo — Nome que pode ser mencionado como ação de um termo de filtro de firewall padrão IPv4 que corresponde a pacotes em endereços de origem ou destino.

• Nome do policiador — Nome de um policiador de duas cores de taxa única para o qual você deseja criar implicitamente instâncias específicas de prefixo.

  Nota:

  Para interfaces Ethernet agregadas, você pode configurar uma ação específica de prefixo que faz referência a um policiador de interface lógica (também chamado de policiador agregado). Você pode fazer referência a esse tipo de ação específica de prefixo a partir de um filtro de firewall padrão IPv4 e, em seguida, aplicar o filtro no nível agregado da interface.

• Opção de contagem — opção de incluir se você quiser ativar contadores específicos de prefixo.

• Opção específica para o filtro — opção de incluir se você quiser que um único contador e um policial sejam compartilhados em todos os termos no filtro de firewall. Diz-se que uma ação específica de prefixo que opera dessa forma opera no modo específico do filtro. Se você não habilitar essa opção, a ação específica de prefixo opera no modo específico do termo , o que significa que um contador separado e um conjunto de policiadores são criados para cada termo de filtro que faz referência à ação específica de prefixo.

• Comprimento do prefixo do endereço de origem — comprimento do prefixo do endereço, de 0 a 32, para ser usado com um pacote combinado no endereço de origem.

• Comprimento do prefixo do endereço de destino — comprimento do prefixo do endereço, de 0 a 32, a ser usado com um pacote combinado no endereço de destino.

• Comprimento do prefixo de sub-rede — comprimento do prefixo da sub-rede, de 0 a 32, para ser usado com um pacote combinado no endereço de origem ou destino.

Você deve configurar comprimentos de prefixo de endereço de origem e destino a serem de 1 a 16 bits mais longos do que o comprimento do prefixo da sub-rede. Se você configurar comprimentos de prefixo de endereço de origem ou destino a mais de 16 bits além do comprimento de prefixo de sub-rede configurado, ocorre um erro ao tentar confirmar a configuração.

Tamanho e indexação de conjuntos de contadores e policiais

O número de ações específicas de prefixo (contadores ou policiais) criadas implicitamente para uma ação específica de prefixo é determinada pela duração do prefixo do endereço e pelo comprimento do prefixo da sub-rede:

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

Tabela 1 mostra exemplos de contador e policiador definir tamanho e indexação.

Comprimento de prefixo da ação e comprimento de prefixo dos endereços em pacotes filtrados

Tabela 2 descreve a relação entre o comprimento do prefixo especificado na ação específica do prefixo e o comprimento do prefixo dos endereços combinado com o termo do filtro de firewall que faz referência à ação específica do prefixo.

Cenário 1: Termo do filtro de firewall corresponde a vários endereços

O exemplo completo, Exemplo: Configuração de contagem e policiamento específicos de prefixomostra o caso mais simples de ações específicas de prefixo, em que um filtro de firewall de um único termo é combinado em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, este cenário descreve uma configuração na qual um filtro de firewall de um único termo corresponde a dois endereços de origem IPv4. Além disso, a condição adicional corresponde a um endereço de origem com um comprimento de prefixo diferente do comprimento de prefixo de sub-rede definido na ação específica do prefixo. Neste caso, a condição adicional corresponde à /16 sub-rede do endereço 10.11.0.0fonte.

Os pacotes combinados com filtros que são passados para o índice de ação específico de prefixo no balcão e ao policiador definem de tal forma que as instâncias de contagem e policiamento são compartilhadas por pacotes que contêm endereços de origem em todo o balcão e 10.11.0.0/16 sub-redes da 10.10.10.0/24 seguinte forma:

• O primeiro contador e o policiador no conjunto são indexados por pacotes com endereços 10.10.10.0 de origem e 10.11.x.0, onde x variam de 0 até 255.

• O segundo contador e o policiador no conjunto são indexados por pacotes com endereços 10.10.10.1 de origem e 10.11.x.1, onde x variam de 0 até 255.

• O 256º (último) contador e policiador no conjunto são indexados por pacotes com endereços 10.10.10.255 de origem e 10.11.x.255, onde x varia de 0 até 255.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall sem estado padrão IPv4 que faz referência à ação específica do prefixo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-24-32-256 {
            policer 1Mbps-policer;
            subnet-prefix-length 24;
            source-prefix-length 32;
        }
        filter limit-source-two-24-16 {
            term one {
                from {
                    source-address {
                        10.10.10.0/24;
                        10.11.0.0/16;
                    }
                }
                then prefix-action psa-1Mbps-per-source-24-32-256;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-two-24-16;
                }
                address 10.39.1.1/16;
            }
        }
    }
}

Cenário 2: O prefixo de sub-rede é mais longo que o prefixo na condição de correspondência do filtro

O exemplo completo mostra Exemplo: Configuração de contagem e policiamento específicos de prefixoo caso mais simples de ações específicas de prefixo, em que o filtro de firewall de prazo único é combinado em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, este cenário descreve uma configuração na qual a ação específica do prefixo define um comprimento de prefixo de sub-rede que é mais longo do que o prefixo do endereço de origem combinado com o filtro de firewall. Neste caso, a ação específica do prefixo define um valor de prefixo de sub-rede, enquanto o filtro de 25firewall é igual a um endereço de origem na /24 sub-rede.

Os pacotes combinados com filtros que são passados para o índice de ação específico de prefixo no balcão e no policiamento definem de tal forma que as instâncias de contagem e policiamento são compartilhadas por pacotes que contêm qualquer um dos dois endereços de origem dentro da 10.10.10.0/24 sub-rede:

• O primeiro contador e o policiador no conjunto são indexados por pacotes com endereços 10.10.10.0 de origem e 10.10.10.128.

• O segundo contador e o policiador no conjunto são indexados por pacotes com endereços 10.10.10.1 de origem e 10.10.10.129.

• O 128º (último) contador e policial no conjunto são indexados por pacotes com endereços 10.10.10.127 de origem e 10.10.10.255.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall sem estado padrão IPv4 que faz referência à ação específica do prefixo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-25-32-128 {
            policer 1Mbps-policer;
            subnet-prefix-length 25;
            source-prefix-length 32;
        }
        filter limit-source-one-24 {
            term one {
                from {
                    source-address {
                        10.10.10.0/24;
                    }
                }
                then prefix-action psa-1Mbps-per-source-25-32-128;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-one-24;
                }
                address 10.39.1.1/16;
            }
        }
    }
}

Cenário 3: Sub-redeO 128º contador e prefixo do policiador é mais curto que o prefixo na condição de correspondência do filtro de firewall

O exemplo completo mostra Exemplo: Configuração de contagem e policiamento específicos de prefixoo caso mais simples de ações específicas de prefixo, em que o filtro de firewall de prazo único é combinado em um endereço com um comprimento de prefixo que é o mesmo que o comprimento de prefixo de sub-rede especificado na ação específica do prefixo. Ao contrário do exemplo, este cenário descreve uma configuração na qual a ação específica do prefixo define um comprimento de prefixo de sub-rede que é mais curto que o prefixo do endereço de origem combinado com o filtro de firewall. Neste caso, o termo filtro corresponde à /25 sub-rede do endereço 10.10.10.0de origem.

Os pacotes combinados que são passados para o índice de ação específico de prefixo na metade inferior do balcão e conjunto de policiais apenas:

• O primeiro contador e o policiador no conjunto são indexados por pacotes com endereço 10.10.10.0fonte.

• O segundo contador e o policiador no conjunto são indexados por pacotes com endereço 10.10.10.1 fonte e 10.10.10.129.

• O 128º contador e o policial no conjunto são indexados por pacotes com endereço 10.10.10.127fonte.

• A metade superior do conjunto (instâncias numeradas de 128 a 255) não são indexadas por pacotes passados para a ação específica de prefixo a partir deste filtro de firewall específico.

A configuração a seguir mostra as declarações para configurar o policiador de duas cores de taxa única, a ação específica de prefixo que faz referência ao policiador e o filtro de firewall sem estado padrão IPv4 que faz referência à ação específica do prefixo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-24-32-256 {
            policer 1Mbps-policer;
            subnet-prefix-length 24;
            source-prefix-length 32;
        }
        filter limit-source-one-25 {
            term one {
                from {
                    source-address {
                        10.10.10.0/25;
                    }
                }
                then prefix-action psa-1Mbps-per-source-24-32-256;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-one-25;
                }
                address 10.39.1.1/16;
            }
        }
    }
}