close

keyboard_arrow_left

Table of Contents Expand all

play_arrow 了解和配置 Junos 路由策略
- play_arrow 概述
- play_arrow 使用匹配条件、操作、术语和表达式评估路由策略
- play_arrow 使用策略链和子例程评估复杂案例
- play_arrow 将路由过滤器和前缀列表配置为匹配条件
- play_arrow 将 AS 路径配置为匹配条件
- play_arrow 将社区配置为匹配条件
- play_arrow 通过 BGP 路由抖动操作提高网络稳定性
- play_arrow 使用源类使用情况和目标类使用情况操作跟踪流量使用情况
- play_arrow 使用条件路由策略避免流量路由威胁
- play_arrow 通过将流量转发到丢弃接口来防范 DoS 攻击
- play_arrow 使用动态路由策略缩短提交时间
  - 了解动态路由策略
  - 示例：配置动态路由策略
- play_arrow 应用路由策略前的测试
  - 了解路由策略测试
  - 示例：使用复杂的正则表达式测试路由策略
play_arrow 配置防火墙过滤器
play_arrow 配置流量监管器
play_arrow 配置语句和操作命令
play_arrow 故障排除
- play_arrow 知识库
  - https://kb.juniper.net/

list Table of Contents

keyboard_arrow_right

机器翻译对您有帮助吗?

Go to English page

免责声明:

我们将使用第三方机器翻译软件翻译本页面。瞻博网络虽已做出相当大的努力提供高质量译文，但无法保证其准确性。如果对译文信息的准确性有任何疑问，请参阅英文版本. 可下载的 PDF 仅提供英文版.

应用监管器

date_range 18-Jan-25

arrow_backward

arrow_forward

应用监管器概述

监管器允许您在特定接口或第 2 层虚拟专用网络（VPN）上执行简单的流量监管，而无需配置防火墙过滤器。要应用监管器，请包含以下 policer 语句：

policer {
    arp policer-template-name;
    input policer-template-name;
    output policer-template-name;
}

您可以在以下层次结构级别包含这些语句：

[edit interfaces interface-name unit logical-unit-number family family]
[edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family]

在语句中family，协议族可以是 ccc、 inet、 inet6mpls、 tcc或 vpls。

在语句中 arp ，列出接口上收到地址解析协议（ARP）数据包时要评估的一个监管器模板的名称。缺省情况下，将安装一个 ARP 监管器，该监管器在您配置 family inet 语句的所有以太网接口之间共享。如果您希望对 ARP 数据包进行更严格或更宽松的监管，可以配置特定于接口的监管器并将其应用于接口。您可以像在层次结构级别配置 [edit firewall policer] 任何其他监管器一样配置 ARP 监管器。如果将此监管器应用于接口，则会覆盖默认 ARP 数据包监管器。如果删除此监管器，默认监管器将再次生效。

您可以在接口上的每个协议家族上配置不同的监管器，每个家族有一个输入监管器和一个输出监管器。应用监管器时，您可以仅为家族协议配置家族ccc、inetinet6tccmplsvpls或，以及一个 ARP 监管器。inet 每次引用监管器时，都会在该接口的数据包转发组件上安装监管器的单独副本。
如果同时对接口应用监管器和防火墙过滤器，则在输入防火墙过滤器之前评估输入监管器，在输出防火墙过滤器之后评估输出监管器。在语句中 input ，列出接口上接收数据包时要评估的一个监管器模板的名称。在语句中 output ，列出在接口上传输数据包时要评估的一个监管器模板的名称。
对于通过跨多个 FPC 的聚合以太网（AE）接口在 MX 系列路由器上终止的用户，总体用户速率可能会超过配置的速率，因为在监管器中配置的限制单独应用于 AE 捆绑包中的每个接口。因此，例如，如果您打算让三成员 AE 接口上的监管器强制执行 a bandwidth-limit of 600m，则需要在监管器中配置，bandwidth-limit200m以考虑 AE 中的三个接口（即，每个接口 200 Mbps，总计 600Mbps）。
如果将监管器应用于接口 lo0，它将应用于路由引擎接收或传输的数据包。
在 T 系列、M120 和 M320 平台上，如果接口位于同一 FPC 上，则过滤器或监管器不会对进出接口的流量总和进行操作。

应用聚合监管器

默认情况下，如果将监管器应用于同一逻辑接口上的多个协议家族，则监管器会单独限制每个协议家族的流量。例如，同时对 IPv4 和 IPv6 流量应用了 50 Mbps 带宽限制的监管器将允许接口接受 50 Mbps 的 IPv4 流量和 50 Mbps 的 IPv6 流量。如果应用聚合监管器，则监管器将只允许接口接收 50 Mbps 的 IPv4 和 IPv6 流量组合。

要配置聚合监管器，请在层次结构级别包含 logical-interface-policer 语句 [edit firewall policer policer-template-name] ：

content_copy zoom_out_map
[edit firewall policer policer-template-name]
logical-interface-policer;

要将监管器视为聚合，必须包含以下语句，将其 policer 应用于单个逻辑接口上的多个协议家族：

policer {
    arp policer-template-name;
    input policer-template-name;
    output policer-template-name;
}

您可以在以下层次结构级别包含这些语句：

[edit interfaces interface-name unit logical-unit-number family family]
[edit logical-systems logical-system-name interfaces interface-name unit logical-unit-number family family]

在语句中family，协议族可以是 ccc、 inet、 inet6mpls、 tcc或 vpls。

您未应用监管器的协议家族不受监管器的影响。例如，如果将单个逻辑接口配置为接受 MPLS、IPv4 和 IPv6 流量，并且仅将逻辑接口监管器 policer1 应用于 IPv4 和 IPv6 协议家族，则 MPLS 流量不受约束 policer1。

如果应用于 policer1 其他逻辑接口，则监管器有两个实例。这意味着，即使同一逻辑接口监管器应用于同一物理接口端口上的多个逻辑接口，Junos OS 也会单独监管不同逻辑接口上的流量，而不是作为聚合进行监管。

示例：应用聚合监管器

配置两个逻辑接口监管器：aggregate_police1 和 aggregate_police2。应用于 aggregate_police1 逻辑接口 fe-0/0/0.0上接收的 IPv4 和 IPv6 流量。应用于 aggregate_police2 在逻辑接口 fe-0/0/0.0 上接收的 CCC 和 MPLS 流量。此配置会导致软件仅创建的一个 aggregate_police1 实例和一个实例 aggregate_police2。

应用于 aggregate_police1 在另一个逻辑接口 fe-0/0/0.1上接收的 IPv4 和 IPv6 流量。此配置会导致软件创建的新 aggregate_police1实例，一个实例应用于单元 0，另一个实例应用于单元 1。

content_copy zoom_out_map
[edit firewall]
policer aggregate_police1 {
    logical-interface-policer;
    if-exceeding {
        bandwidth-limit 100m;
        burst-size-limit 500k;
    }
    then {
        discard;
    }
}
policer aggregate_police2 {
    logical-interface-policer;
    if-exceeding {
        bandwidth-limit 10m;
        burst-size-limit 200k;
    }
    then {
        discard;
    }
}
[edit interfaces fe-0/0/0]
unit 0 {
    family inet {
        policer {
            input aggregate_police1;
        }
    }
    family inet6 {
        policer {
            input aggregate_police1;
        }
    }
    family ccc {
        policer {
            input aggregate_police2;
        }
    }
    family mpls {
        policer {
            input aggregate_police2;
        }
    }
}
unit 1 {
    family inet {
        policer {
            input aggregate_police1;
        }
    }
    family inet6 {
        policer {
            input aggregate_police1;
        }
    }
}

在增强型智能排队 PIC 上应用分层监管器

带有增强型智能排队（IQE） PIC 的 M40e、M120 和 M320 边缘路由器以及 T 系列核心路由器支持入口方向的分层监管器，并允许您将高级和聚合（高级加正常）流量级别的分层监管器应用于接口。分层监管器在配置的物理接口和数据包转发引擎之间提供交叉功能。

在开始之前，有一些适用于分层监管器的常规限制：

只能为逻辑接口或物理接口配置一种类型的监管器。例如，不允许同一逻辑接口的同一方向的分层监管器和常规监管器。
不允许对监管器进行链接，即将监管器同时应用于端口和该端口的逻辑接口。
如果没有 BA 分类，则每个接口限制为 64 个监管器，为每个 DLCI 提供一个监管器。
只能在物理或逻辑接口上应用一种监管器。
监管器应独立于 BA 分类。如果没有 BA 分类，则接口上的所有流量都将根据配置被视为 EF 或非 EF。采用 BA 分类时，一个接口最多可支持 64 个监管器。同样，此处的接口可以是物理接口或逻辑接口（例如 DLCI）。
使用 BA 分类时，杂项流量（与任何 BA 分类 DSCP/EXP 位 不匹配 的流量）将作为非 EF 流量进行监管。不会为此流量安装单独的监管器。

分层监管器概述
分层监管特征

分层监管器概述

分层监管使用两个令牌存储桶，一个用于聚合（非 EF）流量，另一个用于高级（EF）流量。哪些流量是 EF，哪些是非 EF 由服务等级配置决定。从逻辑上讲，分层监管是通过链接两个监管器来实现的。

图 1：分层监管器

在的图 1示例中，EF 流量由高级监管器监管，非 EF 流量由聚合监管器监管。这意味着，对于 EF 流量，超出规格的操作将为高级监管器配置的操作，但规范内 EF 流量仍将使用聚合监管器中的令牌。

但 EF 流量永远不会提交到聚合监管器的不规范操作。此外，如果高级监管器的超出规格操作未设置为丢弃，则这些超出规格的数据包将不会使用聚合监管器中的令牌。聚合监管器仅对非 EF 流量进行策略处理。如您所见，如果所有令牌都被非 EF 流量使用，然后您获得突发 EF 流量，则聚合监管器令牌存储桶可能会变为负数。但这将是很短的时间，在一段时间内它会平均化。例如：

高级监管器： 带宽 2 Mbps，OOS 操作：丢弃
聚合监管器： 带宽 10 Mbps，OOS 操作：丢弃

在上述情况下，EF 流量保证为 2 Mbps，非 EF 流量将从 8 Mbps 获取到 10 Mbps，具体取决于 EF 流量的输入速率。

分层监管特征

分层令牌存储桶功能包括：

在应用监管器之前，首先将入口流量分类为 EF 流量和非 EF 流量：
- 通过 Q 树查找进行分类
通道号选择共享令牌桶监管器：
- 双令牌存储桶监管器分为两个单存储桶监管器：
  - 监管器 1 — EF 流量
  - 监管器 2 — 非 EF 流量
共享令牌存储桶用于监管流量，如下所示：
- 监管器1 设置为 EF 速率（例如，2 Mbps）
- 监管器2 设置为聚合接口监管速率（例如，10 Mbps）。
- EF 流量将应用于监管器1。
  - 如果流量符合规范，则允许从监管者 1 和监管者 2 通过和减少流量。
  - 如果流量超出规格，则可以将其丢弃或标记为新的 FC 或丢失优先级。Policer2 不会对超出规格的 EF 流量执行任何操作。
- 非 EF 流量仅应用于监管器2。
  - 如果流量符合规范，则允许其通过并减少 Policer2。
  - 如果流量超出规格，则会将其丢弃或标有新的 FC 或设置新的丢弃优先级。
在第 2 层将端口速度速率限制为所需速率
对 EF 流量进行速率限制
对非 EF 流量进行速率限制
按颜色计数的警务掉落数

配置分层监管器

要配置分层监管器，请将语句应用于 policing-priority 正确的转发类，并为聚合和高级配置分层监管器。有关服务等级的详细信息，请参阅《适用于路由设备的 Junos OS 服务等级用户指南》。

注：

只能在 IQE PIC 上托管的 SONET 物理接口上配置分层监管器。仅支持聚合级别和高级级别。

分层监管器转发类的 CoS 配置

content_copy zoom_out_map
[edit class-of-service forwarding-classes]
class fc1 queue-num 0 priority high policing-priority premium;
class fc2 queue-num 1 priority low policing-priority normal;
class fc3 queue-num 2 priority low policing-priority normal;
class fc4 queue-num 3 priority low policing-priority normal;

有关服务等级配置和语句的详细信息，请参阅《 Junos OS 路由设备服务等级用户指南》。

分层监管器的防火墙配置

content_copy zoom_out_map
[edit firewall hierarchical-policer foo]
aggregate {
    if-exceeding {
        bandwidth-limit 70m;
        burst-size-limit 1500;
    }
    then {
    discard;
}
premium {
    if-exceeding {
        bandwidth-limit 50m;
        burst-size-limit 1500;
    }
    then {
        discard;
    }
}

您可以按如下方式应用分层监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-hierarchical-policer foo;

您还可以选择在物理端口级别应用监管器，如下所示：

content_copy zoom_out_map
[edit interfaces so-0/1/0 layer2-policer]
input-hierarchical-policer foo;

配置单速率双色监管器

您可以按如下方式配置单速率双色监管器：

content_copy zoom_out_map
[edit firewall policer foo]
    if-exceeding {
        bandwidth-limit 50m;
        burst-size-limit 1500;
    }
then {
    discard;
}

您可以按如下方式应用监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-policer foo;

您还可以选择在物理端口级别应用监管器，如下所示：

content_copy zoom_out_map
[edit interfaces so-0/1/0 layer2-policer]
input-policer foo;

配置单速率色盲监管器

本节介绍单速率色盲和颜色感知监管器。

您可以按如下方式配置单速率色盲监管器：

content_copy zoom_out_map
[edit firewall three-color-policer foo]
single-rate {
    color-blind;
    committed-information-rate 50m;
    committed-burst-size 1500;
    excess-burst-size 1500;
}

您可以按如下方式应用单速率色盲监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-three-color foo;

您可以按如下方式配置单速率颜色感知监管器：

content_copy zoom_out_map
[edit firewall three-color-policer bar]
single-rate {
    color-aware;
    committed-information-rate 50m;
    committed-burst-size 1500;
    excess-burst-size 1500;
}

您可以按如下方式应用单速率颜色感知监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-three-color foo;

您还可以选择在物理端口级别应用监管器，如下所示：

content_copy zoom_out_map
[edit interfaces so-0/1/0 layer2-policer]
input-three-color bar;

配置双速率三色标记监管器

入口管制是使用双速率三色标记（trTCM）实现的。这是通过双令牌存储桶（DTB）完成的，该存储桶保持两个速率（已提交速率和一个峰值）。出口静态监管也使用令牌桶。

令牌桶执行以下入口监管功能：

（1K） trTCM - 双令牌桶（红色、黄色和绿色标记）
管制基于第 2 层数据包大小：
- +/- 字节调整偏移后
标记是颜色感知和色盲的：
- 颜色感知需要根据以下条件通过 q 树查找设置颜色：
  - ToS
  - 经验丰富
可编程打标动作：
- 颜色（红色、黄色、绿色）
- 基于颜色和拥塞配置文件的丢弃
根据到达的通道号选择监管器：
- 通道号 LUT 产生监管器索引和队列索引
- 多个通道可以共享同一个监管器（LUT产生相同的监管器索引）
在以下级别支持入口监管和 trTCM：
- 队列
- 逻辑接口（ifl/DLCI）
- 物理接口（ifd）
- 物理端口（控制器 ifd）
- 逻辑接口、物理接口和端口的任意组合
接口速度和每秒位数的支持百分比

速率限制可以应用于入口处的选定队列和出口处的预定义队列。令牌桶在颜色感知和色盲模式下运行（由 RFC 2698 指定）。

配置色盲 trTCM

content_copy zoom_out_map
[edit firewall three-color-policer foo]
two-rate {
    color-blind;
    committed-information-rate 50m;
    committed-burst-size 1500;
    peak-information-rate 100m;
    peak-burst-size 3k;
}

您可以按如下方式应用三色双速率盲监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-three-color foo;

您还可以选择在物理端口级别应用监管器，如下所示：

content_copy zoom_out_map
[edit interfaces so-0/1/0 layer2-policer]
input-three-color foo;

配置颜色感知 trTCM

content_copy zoom_out_map
[edit firewall three-color-policer bar]
two-rate {
    color-aware;
    committed-information-rate 50m;
    committed-burst-size 1500;
    peak-information-rate 100m;
    peak-burst-size 3k;
}

您可以按如下方式应用三色双速率颜色感知监管器：

content_copy zoom_out_map
[edit interfaces so-0/1/0 unit 0 layer2-policer]
input-three-color bar;

您还可以选择在物理端口级别应用监管器，如下所示：

content_copy zoom_out_map
[edit interfaces so-0/1/0 layer2-policer]
input-three-color bar;

arrow_backward PREVIOUS 三色监管器配置概述

NEXT arrow_forward 三色监管器配置准则

路由策略、防火墙过滤器和流量监管器用户指南

在本页

机器翻译对您有帮助吗?

免责声明:

应用监管器

应用监管器概述

应用聚合监管器

应用聚合监管器

示例：应用聚合监管器

在增强型智能排队 PIC 上应用分层监管器

在增强型智能排队 PIC 上应用分层监管器

分层监管器概述

分层监管特征

配置分层监管器

配置单速率双色监管器

配置单速率色盲监管器

配置双速率三色标记监管器

Stay in touch

Helped me install or use the product
Accelerated my deployment

Discuss the product with a co-worker
Make a purchase inquiry

路由策略、防火墙过滤器和流量监管器用户指南

在本页

机器翻译对您有帮助吗?

免责声明:

应用监管器

应用监管器概述

应用聚合监管器

应用聚合监管器

示例：应用聚合监管器

在增强型智能排队 PIC 上应用分层监管器

在增强型智能排队 PIC 上应用分层监管器

分层监管器概述

分层监管特征

另请参阅

配置分层监管器

配置单速率双色监管器

配置单速率色盲监管器

配置双速率三色标记监管器

另请参阅

Stay in touch