Policiais básicos de duas cores de taxa única

Configuração rápida da CLI

Para configurar este exemplo rapidamente, copie os seguintes comandos, cole-os em um arquivo de texto, remova qualquer quebra de linha, altere os detalhes necessários para combinar com a configuração da sua rede e, em seguida, copie e cole os comandos no CLI no nível de [edit] hierarquia.

Dispositivo R1

set interfaces ge-2/0/5 description to-Host
set interfaces ge-2/0/5 unit 0 family inet address 172.16.70.2/30
set interfaces ge-2/0/5 unit 0 family inet filter input mf-classifier
set interfaces ge-2/0/8 description to-R2
set interfaces ge-2/0/8 unit 0 family inet address 10.50.0.1/30
set interfaces lo0 unit 0 description looback-interface
set interfaces lo0 unit 0 family inet address 192.168.13.1/32
set firewall policer discard if-exceeding bandwidth-limit 700m
set firewall policer discard if-exceeding burst-size-limit 15k
set firewall policer discard then discard
set firewall family inet filter mf-classifier term t1 from protocol tcp
set firewall family inet filter mf-classifier term t1 from port 80
set firewall family inet filter mf-classifier term t1 then policer discard
set firewall family inet filter mf-classifier term t2 then accept
set protocols ospf area 0.0.0.0 interface ge-2/0/5.0 passive
set protocols ospf area 0.0.0.0 interface lo0.0 passive
set protocols ospf area 0.0.0.0 interface ge-2/0/8.0

Dispositivo R2

set interfaces ge-2/0/8 description to-R1
set interfaces ge-2/0/8 unit 0 family inet address 10.50.0.2/30
set interfaces ge-2/0/7 description to-Host
set interfaces ge-2/0/7 unit 0 family inet address 172.16.80.2/30
set interfaces lo0 unit 0 description looback-interface
set interfaces lo0 unit 0 family inet address 192.168.14.1/32
set protocols ospf area 0.0.0.0 interface ge-2/0/7.0 passive
set protocols ospf area 0.0.0.0 interface lo0.0 passive
set protocols ospf area 0.0.0.0 interface ge-2/0/8.0

Procedimento passo a passo

O exemplo a seguir exige que você navegue por vários níveis na hierarquia de configuração. Para obter informações sobre como navegar na CLI, consulte Usando o Editor de CLI no modo de configuração no Guia de usuário do Junos OS CLI.

Para configurar o dispositivo R1:

1. Configure as interfaces do dispositivo.

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-2/0/5 description to-Host
   user@R1# set ge-2/0/5 unit 0 family inet address 172.16.70.2/30
   user@R1# set ge-2/0/8 description to-R2
   user@R1# set ge-2/0/8 unit 0 family inet address 10.50.0.1/30
   user@R1# set lo0 unit 0 description looback-interface
   user@R1# set lo0 unit 0 family inet address 192.168.13.1/32
   

2. Aplique o filtro de firewall para interface ge-2/0/5 como um filtro de entrada.

   content_copy zoom_out_map

   [edit interfaces ge-2/0/5 unit 0 family inet]
   user@R1# set filter input mf-classifier
   

3. Configure o policial para limitar a taxa a uma largura de banda de 700 Mbps e uma explosão de tamanho de 15000 KBps para tráfego HTTP (porta TCP 80).

   content_copy zoom_out_map

   [edit firewall policer discard]
   user@R1# set if-exceeding bandwidth-limit 700m
   user@R1# set if-exceeding burst-size-limit 15k
   

4. Configure o policial para descartar pacotes no fluxo de tráfego vermelho.

   content_copy zoom_out_map

   [edit firewall policer discard]
   user@R1# set then discard
   

5. Configure as duas condições do firewall para aceitar todo o tráfego TCP para portar HTTP (porta 80).

   content_copy zoom_out_map

   [edit firewall  family inet filter mf-classifier]
   user@R1# set term t1 from protocol tcp
   user@R1# set term t1 from port 80
   

6. Configure a ação do firewall para limitar a taxa de tráfego DE TCP usando o policiador.

   content_copy zoom_out_map

   [edit firewall  family inet filter mf-classifier]
   user@R1# set term t1 then policer discard
   

7. Ao final do filtro de firewall, configure uma ação padrão que aceite todo o tráfego.

   Caso contrário, todo o tráfego que chega na interface e não é explicitamente aceito pelo firewall é descartado.

   content_copy zoom_out_map

   [edit firewall  family inet filter mf-classifier]
   user@R1# set term t2 then accept
   

8. Configure OSPF.

   content_copy zoom_out_map

   [edit protocols ospf]
   user@R1# set area 0.0.0.0 interface ge-2/0/5.0 passive
   user@R1# set area 0.0.0.0 interface lo0.0 passive
   user@R1# set area 0.0.0.0 interface ge-2/0/8.0
   

Procedimento passo a passo

Para configurar o dispositivo R2:

1. Configure as interfaces do dispositivo.

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-2/0/8 description to-R1
   user@R1# set ge-2/0/7 description to-Host
   user@R1# set lo0 unit 0 description looback-interface
   user@R1# set ge-2/0/8 unit 0 family inet address 10.50.0.2/30
   user@R1# set ge-2/0/7 unit 0 family inet address 172.16.80.2/30
   user@R1# set lo0 unit 0 family inet address 192.168.14.1/32
   

2. Configure OSPF.

   content_copy zoom_out_map

   [edit protocols ospf]
   user@R1# set area 0.0.0.0 interface ge-2/0/7.0 passive
   user@R1# set area 0.0.0.0 interface lo0.0 passive
   user@R1# set area 0.0.0.0 interface ge-2/0/8.0
   

Resultados

A partir do modo de configuração, confirme sua configuração entrando no show interfaces , show firewalle show protocols ospf comandos. Se a saída não exibir a configuração pretendida, repita as instruções neste exemplo para corrigir a configuração.

user@R1# show interfaces
ge-2/0/5 {
    description to-Host;
    unit 0 {
        family inet {
            filter {
                input mf-classifier;
            }
            address 172.16.70.2/30;
        }
    }
}
ge-2/0/8 {
    description to-R2;
    unit 0 {
        family inet {
            address 10.50.0.1/30;
        }
    }
}
lo0 {
    unit 0 {
        description looback-interface;
        family inet {
            address 192.168.13.1/32;
        }
    }
}

user@R1# show firewall
family inet {
    filter mf-classifier {
        term t1 {
            from {
                protocol tcp;
                port 80;
            }
            then policer discard;
        }
        term t2 {
            then accept;
        }
    }
}
policer discard {
    if-exceeding {
        bandwidth-limit 700m;
        burst-size-limit 15k;
    }
    then discard;
}

user@R1# show protocols ospf
area 0.0.0.0 {
    interface ge-2/0/5.0 {
        passive;
    }
    interface lo0.0 {
        passive;
    }
    interface ge-2/0/8.0;
}

Se você terminar de configurar o Dispositivo R1, entre no commit modo de configuração.

user@R2# show interfaces
ge-2/0/7 {
    description to-Host;
    unit 0 {
        family inet {
            address 172.16.80.2/30;
        }
    }
}
ge-2/0/8 {
    description to-R1;
    unit 0 {
        family inet {
            address 10.50.0.2/30;
        }
    }
}
lo0 {
    unit 0 {
        description looback-interface;
        family inet {
            address 192.168.14.1/32;
        }
    }
}

user@R2# show protocols ospf
area 0.0.0.0 {
    interface ge-2/0/7.0 {
        passive;
    }
    interface lo0.0 {
        passive;
    }
    interface ge-2/0/8.0;
}

Se você terminar de configurar o Dispositivo R2, entre no commit modo de configuração.

Propósito

Confirme que os contadores de firewall estão liberados.

Ação

No dispositivo R1, execute o clear firewall all comando para redefinir os contadores de firewall para 0.

user@R1> clear firewall all

Propósito

Certifique-se de que o tráfego de juros enviado seja limitado por taxa na interface de entrada (ge-2/0/5).

Ação

1. Use um gerador de tráfego para enviar 10 pacotes TCP com uma porta de origem de 80.

   A bandeira da s define a porta de origem. A bandeira -k faz com que a porta de origem permaneça estável em 80, em vez de aumentar. A bandeira -c define o número de pacotes para 10. A bandeira -d define o tamanho do pacote.

   O endereço IP de destino de 172.16.80.1 pertence ao Dispositivo Host 2 que está conectado ao dispositivo R2. O usuário no Device Host 2 solicitou uma página web do Dispositivo Host 1 (o webserver emulado pelo gerador de tráfego no Host do Dispositivo 1). Os pacotes que são limitados por taxa são enviados do Host de Dispositivo 1 em resposta à solicitação do Host do Dispositivo 2.

   Nota:

   Neste exemplo, o número de policiais é reduzido a um limite de largura de banda de 8 Kbps e um limite de tamanho de explosão de 1500 KBps para garantir que alguns pacotes sejam descartados durante este teste.

   content_copy zoom_out_map

   [root@host]#  hping 172.16.80.1  -c 10 -s 80  -k -d 300
   
   
   [User@Host]#  hping 172.16.80.1 -c 10 -s 80 -k -d 350
   HPING 172.16.80.1 (eth1 172.16.80.1): NO FLAGS are set, 40 headers + 350 data bytes
   len=46 ip=172.16.80.1 ttl=62 DF id=0 sport=0 flags=RA seq=0 win=0 rtt=0.5 ms
   .
   .
   .
   --- 172.16.80.1 hping statistic ---
   10 packets transmitted, 6 packets received, 40% packet loss
   round-trip min/avg/max = 0.5/3000.8/7001.3 ms

2. No dispositivo R1, verifique os contadores de firewall usando o show firewall comando.

   content_copy zoom_out_map

   user@R1> show firewall
   
   
   User@R1# run show firewall         
   
   Filter: __default_bpdu_filter__                                
   
   Filter: mf-classifier                                          
   Policers:
   Name                                                Bytes              Packets
   discard-t1                                          1560               4

Significado

Nas Etapas 1 e 2, a saída de ambos os dispositivos mostra que 4 pacotes foram descartados Isso significa que havia pelo menos 8 Kbps de tráfego verde (porta HTTP em contrato 80) e que a opção de estouro de 1500 KBps para tráfego de http fora de contrato foi excedida.

Procedimento passo a passo

Para configurar a interface lógica VLAN de tag única:

1. Habilite a configuração da interface Fast Ethernet.

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces fe-0/1/1
   

2. Habilite o enquadramento de VLAN de tag única.

   content_copy zoom_out_map

   [edit interfaces fe-0/1/1]
   user@host# set vlan-tagging
   

3. Vincule os IDs VLAN às interfaces lógicas.

   content_copy zoom_out_map

   [edit interfaces fe-0/1/1]
   user@host# set unit 0 vlan-id 100
   user@host# set unit 1 vlan-id 101
   

4. Configure o IPv4 nas interfaces lógicas VLAN de tag única.

   content_copy zoom_out_map

   [edit interfaces fe-0/1/1]
   user@host# set unit 0 family inet address 10.20.15.1/24
   user@host# set unit 1 family inet address 10.20.240.1/24
   

Resultados

Confirme a configuração da VLAN inserindo o comando de show interfaces modo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.

[edit]
user@host# show interfaces
fe-0/1/1 {
    vlan-tagging;
    unit 0 {
        vlan-id 100;
        family inet {
            address 10.20.15.1/24;
        }
    }
    unit 1 {
        vlan-id 101;
        family inet {
            address 10.20.240.1/24;
        }
    }
}

Procedimento passo a passo

Para configurar os três policiais:

1. Habilite a configuração de um policiador de duas cores que descarta pacotes que não estejam em conformidade com uma largura de banda de 1 Mbps e uma explosão de 5000 bytes.

   Nota:

   Você aplica este policial diretamente a todo o tráfego de entrada IPv4 na interface lógica VLAN de tag única, para que os pacotes não sejam filtrados antes de serem submetidos a limitações de taxa.

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall policer p-all-1m-5k-discard
   

2. Configure o primeiro policial.

   content_copy zoom_out_map

   [edit firewall policer p-all-1m-5k-discard]
   user@host# set if-exceeding bandwidth-limit 1m
   user@host# set if-exceeding burst-size-limit 5k
   user@host# set then discard
   

3. Habilite a configuração de um policiador de duas cores que descarta pacotes que não estejam em conformidade com uma largura de banda especificada como "10 por cento" e um tamanho de explosão de 500.000 bytes.

   Você aplica este policiador apenas no tráfego FTP na interface lógica VLAN de tag única.

   Você aplica este policiador como ação de um termo de filtro de firewall IPv4 que combina com pacotes FTP do TCP.

   content_copy zoom_out_map

   [edit firewall policer p-all-1m-5k-discard]
   user@host# up
    
   [edit]
   user@host# edit firewall policer p-ftp-10p-500k-discard
   

4. Configure limites e ações de policiamento.

   content_copy zoom_out_map

   [edit firewall policer p-ftp-10p-500k-discard]
   user@host# set if-exceeding bandwidth-percent 10
   user@host# set if-exceeding burst-size-limit 500k
   user@host# set then discard
   

   Como o limite de largura de banda é especificado em porcentagem, o filtro de firewall que faz referência a esse policiador deve ser configurado como um filtro específico da interface.

   Nota:

   Se você quisesse que este policial limitasse a 10% da taxa de modelagem configurada pela interface lógica (em vez de 10% da taxa de mídia de interface física), você precisaria incluir a logical-bandwidth-policer declaração no nível de [edit firewall policer p-all-1m-5k-discard] hierarquia. Esse tipo de policiador é chamado de policial de largura de banda lógica.

5. Habilite a configuração do roteador de filtro de firewall IPv4 para pacotes ICMP.

   content_copy zoom_out_map

   [edit firewall policer p-ftp-10p-500k-discard]
   user@host# up
    
   [edit]
   user@host# edit firewall policer p-icmp-500k-500k-discard
   

6. Configure limites e ações de policiamento.

   content_copy zoom_out_map

   [edit firewall policer p-icmp-500k-500k-discard]
   user@host# set if-exceeding bandwidth-limit 500k
   user@host# set if-exceeding burst-size-limit 500k
   user@host# set then discard
   

Resultados

Confirme a configuração dos policiais entrando no comando do show firewall modo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.

[edit]
user@host# show firewall
policer p-all-1m-5k-discard {
    if-exceeding {
        bandwidth-limit 1m;
        burst-size-limit 5k;
    }
    then discard;
}
policer p-ftp-10p-500k-discard {
    if-exceeding {
        bandwidth-percent 10;
        burst-size-limit 500k;
    }
    then discard;
}
policer p-icmp-500k-500k-discard {
    if-exceeding {
        bandwidth-limit 500k;
        burst-size-limit 500k;
    }
    then discard;
}

Procedimento passo a passo

Para configurar o filtro de firewall IPv4:

1. Habilite a configuração do filtro de firewall IPv4.

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall family inet filter filter-ipv4-with-limits
   

2. Configure o filtro de firewall como específico da interface.

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits]
   user@host# set interface-specific
   

   O filtro de firewall deve ser específico da interface porque um dos policiais mencionados está configurado com um limite de largura de banda expresso como um valor percentual.

3. Habilite a configuração de um termo de filtro para limitar a taxa de pacotes FTP.

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits]
   user@host# edit term t-ftp
    
   [edit firewall family inet filter filter-ipv4-with-limits term t-ftp]
   user@host# set from protocol tcp
   user@host# set from port [ ftp ftp-data ]
   

   As mensagens FTP são enviadas pela porta TCP 20 (ftp) e recebidas pela porta TCP 21 (ftp-data).

4. Configure o termo filtro para combinar com pacotes FTP.

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits term t-ftp]
   user@host# set then policer p-ftp-10p-500k-discard
   

5. Habilite a configuração de um termo de filtro para limitar a taxa de pacotes ICMP.

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits term t-ftp]
   user@host# up
    
   [edit firewall family inet filter filter-ipv4-with-limits]
   user@host# edit term t-icmp
   

6. Configure o termo filtro para pacotes ICMP

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits term t-icmp]
   user@host# set from protocol icmp
   user@host# set then policer p-icmp-500k-500k-discard
   

7. Configure um termo de filtro para aceitar todos os outros pacotes sem policiamento.

   content_copy zoom_out_map

   [edit firewall family inet filter filter-ipv4-with-limits term t-icmp]
   user@host# up
    
   [edit firewall family inet filter filter-ipv4-with-limits]
   user@host# set term catch-all then accept
   

Resultados

Confirme a configuração do filtro de firewall entrando no comando do show firewall modo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.

[edit]
user@host# show firewall
family inet {
    filter filter-ipv4-with-limits {
        interface-specific;
        term t-ftp {
            from {
                protocol tcp;
                port [ ftp ftp-data ];
            }
            then policer p-ftp-10p-500k-discard;
        }
        term t-icmp {
            from {
                protocol icmp;
            }
            then policer p-icmp-500k-500k-discard;
        }
        term catch-all {
            then accept;
        }
    }
}
policer p-all-1m-5k-discard {
    if-exceeding {
        bandwidth-limit 1m;
        burst-size-limit 5k;
    }
    then discard;
}
policer p-ftp-10p-500k-discard {
    if-exceeding {
        bandwidth-percent 10;
        burst-size-limit 500k;
    }
    then discard;
}
policer p-icmp-500k-500k-discard {
    if-exceeding {
        bandwidth-limit 500k;
        burst-size-limit 500k;
    }
    then discard;
}

Procedimento passo a passo

Para aplicar os três policiais na VLAN:

1. Habilite a configuração do IPv4 na interface lógica.

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces fe-0/1/1 unit 1 family inet
   

2. Aplique o filtro de firewall dos policiais na interface.

   content_copy zoom_out_map

   [edit interfaces fe-0/1/1 unit 1 family inet]
   user@host# set filter input filter-ipv4-with-limits
   

3. Aplique o interface policer na interface.

   content_copy zoom_out_map

   [edit interfaces fe-0/1/1 unit 1 family inet]
   user@host# set policer input p-all-1m-5k-discard
   

   Os pacotes de entrada fe-0/1/1.0 são avaliados contra o policiador de interface antes de serem avaliados contra os roteadores de filtro de firewall. Para obter mais informações, veja Operações de filtro de ordem de policiamento e firewall.

Resultados

Confirme a configuração da interface entrando no comando do show interfaces modo de configuração. Se a saída de comando não exibir a configuração pretendida, repita as instruções neste procedimento para corrigir a configuração.

[edit]
user@host# show interfaces
fe-0/1/1 {
    vlan-tagging;
    unit 0 {
        vlan-id 100;
        family inet {
            address 10.20.15.1/24;
        }
    }
    unit 1 {
        vlan-id 101;
        family inet {
            filter {
                input filter-ipv4-with-limits;
            }
            policer {
                input p-all-1m-5k-discard;
            }
            address 10.20.240.1/24;
        }
    }
}

Se você terminar de configurar o dispositivo, entre no commit modo de configuração.

Propósito

Verifique se o policiador de interface é avaliado quando os pacotes são recebidos na interface lógica.

Ação

Use o comando de show interfaces policers modo operacional para interface fe-0/1/1.1lógica. A seção de saída de comando para a coluna e Input Policer a Proto coluna mostra que o policiador p-all-1m-5k-discard é avaliado quando os pacotes são recebidos na interface lógica.

user@host> show interfaces policers fe-0/1/1.1
Interface       Admin Link Proto Input Policer         Output Policer
fe-0/1/1.1      up    up        
                           inet  p-all-1m-5k-discard-fe-0/1/1.1-inet-i

Neste exemplo, o policiador de interface é aplicado apenas ao tráfego de interface lógica na direção de entrada.

Propósito

Verifique o número de pacotes avaliados pelo policiador de interface.

Ação

Use o comando do show policer modo operacional e especifique opcionalmente o nome do policiador. A saída de comando exibe o número de pacotes avaliados por cada policiador configurado (ou pelo policiador especificado), em cada direção.

user@host> show policer p-all-1m-5k-discard-fe-0/1/1.1-inet-i
Policers:
Name                                                Bytes              Packets
p-all-1m-5k-discard-fe-0/1/1.1-inet-i                 200                    5

Propósito

Verifique se o filtro filter-ipv4-with-limits de firewall é aplicado ao tráfego de entrada IPv4 na interface fe-0/1/1.1lógica.

Ação

Use o comando de show interfaces statistics modo operacional para interface fe-0/1/1.1lógica e inclua a opção detail . Sob a Protocol inet seção da seção de saída de comando, a e Policer as Input Filters linhas exibem os nomes do filtro e do policiador aplicados à interface lógica na direção de entrada.

user@host> show interfaces statistics fe-0/1/1.1 detail
  Logical interface fe-0/1/1.1 (Index 83) (SNMP ifIndex 545) (Generation 153)
    Flags: SNMP-Traps 0x4000 VLAN-Tag [ 0x8100.100 ]  Encapsulation: ENET2
    Traffic statistics:
     Input  bytes  :                    0
     Output bytes  :                   46
     Input  packets:                    0
     Output packets:                    1
    Local statistics:
     Input  bytes  :                    0
     Output bytes  :                   46
     Input  packets:                    0
     Output packets:                    1
    Transit statistics:
     Input  bytes  :                    0                    0 bps
     Output bytes  :                    0                    0 bps
     Input  packets:                    0                    0 pps
     Output packets:                    0                    0 pps
    Protocol inet, MTU: 1500, Generation: 176, Route table: 0
      Flags: Sendbcast-pkt-to-re
      Input Filters: filter-ipv4-with-limits-fe-0/1/1.1-i
      Policer: Input: p-all-1m-5k-discard-fe-0/1/1.1-inet-i
      Addresses, Flags: Is-Preferred Is-Primary
        Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
        Generation: 169

Neste exemplo, os dois policiais de filtro de firewall são aplicados apenas ao tráfego de interface lógica na direção de entrada.

Propósito

Verifique o número de pacotes avaliados pelos policiais do filtro de firewall.

Ação

Use o comando de show firewall modo operacional para o filtro que você aplicou à interface lógica.

[edit]
user@host> show firewall filter filter-ipv4-with-limits-fe-0/1/1.1-i

Filter: filter-ipv4-with-limits-fe-0/1/1.1-i                              
Policers:
Name                                                Bytes              Packets
p-ftp-10p-500k-discard-t-ftp-fe-0/1/1.1-i               0                    0
p-icmp-500k-500k-discard-t-icmp-fe-0/1/1.1-i            0                    0

A saída de comando exibe os nomes dos policiais (p-ftp-10p-500k-discard e p-icmp-500k-500k-discard), combinados com os nomes dos termos do filtro (t-ftp e t-icmp, respectivamente) sob os quais a ação do policiador é especificada. As linhas de saída específicas do policiador exibem o número de pacotes compatíveis com o termo filtro. Este é apenas o número de contagens de pacotes fora de especificação (fora de especificação), nem todos os pacotes policiados pelo policial.