基本单速率三色监管器
单速率三色监管器概述
单速率三色监管器为有保证的流量定义带宽限制和最大突发大小，为峰值流量定义第二个突发大小。当服务根据数据包长度而不是峰值到达率构建时，单速率三色监管器最有用。
单速率三色管制根据以下配置的流量标准计量流量流：
承诺信息速率 （CIR） — 保证流量的带宽限制。
承诺突发大小 （CBS） — 超过 CIR 的数据突发允许的最大数据包大小。
超额突发大小 （EBS） — 峰值流量允许的最大数据包大小。
单速率三色标记（单速率 TCM）将流量分类为属于三种颜色类别之一，并根据颜色标记对数据包执行拥塞控制操作：
绿色 - 符合有保证流量（CIR 或 CBS）的带宽限制或突发大小的流量。对于绿色流量，单速率标记隐式丢失优先级
low为的数据包并传输数据包。黄色 — 超过有 保证流量（CIR 和 CBS）的带宽限制 和 突发大小，但未超过峰值流量 （EBS） 的突发大小的流量。对于黄色流量流，单速率使用隐式丢失优先级
medium-high标记数据包并传输数据包。红色 — 超过峰值流量 （EBS） 突发大小的流量，单速率标记隐式丢失优先级
high为的数据包，并可选择丢弃数据包。
如果下游发生拥塞，则丢失优先级较高的数据包更有可能被丢弃。
对于单速率和双速率三色监管器，唯一 可配置 的操作是在红色流量流中丢弃数据包。
discard M120 路由器、带增强型 III FPC 的 M320 路由器、带增强型 CFEB （CFEB-E） 的 M7i 和 M10i 路由器以及带 MPC 的 MX 系列路由器支持防火墙过滤器的三色标记监管器操作，因此无需包含logical-interface-policer语句。
另请参阅
示例：配置单速率三色监管器
此示例说明如何配置单速率三色监管器。
要求
配置此示例之前，不需要除设备初始化之外的特殊配置。
概述
单速率三色监管器根据带宽限制和突发大小限制（用于保证流量）以及第二个突发大小限制（用于超额流量）来计量流量。符合保证流量限制的流量归类为绿色，不符合流量分为两类：
不超过超额流量突发大小的不合格流量被归类为黄色。
超过超出流量突发大小的不合格流量被归类为红色。
每个类别都与一个操作相关联。对于绿色流量，数据包被隐式设置为丢失优先级值， low 然后传输。对于黄色流量，数据包被隐式设置为丢失优先级值， medium-high 然后传输。对于红色流量，数据包被隐式设置为丢失优先级值， high 然后传输。如果监管器配置包含可选 action 语句 （action loss-priority high then discard），则红色流中的数据包将被丢弃。
您只能将三色监管器作为防火墙过滤器监管器应用于第 3 层流量。您可以从无状态防火墙过滤器术语引用监管器，然后将过滤器应用于协议级别逻辑接口的输入或输出。
拓扑学
在此示例中，您将颜色感知的单速率三色监管器应用于逻辑接口 ge-2/0/5.0上的输入 IPv4 流量。引用监管器的 IPv4 防火墙过滤器术语不应用任何数据包过滤。滤波器仅用于将三色监管器应用于接口。
您可以将监管器配置为将流量速率限制为 40 Mbps 的带宽限制和 100 KB 的突发大小限制，但对于黄色流量，还允许超出 200 KB 的突发大小限制。只有超过峰值突发大小限制的不合格流量才会被归类为红色。在此示例中，您将配置三色监管器操作 ，该操作 loss-priority high then discard将覆盖将红色流量 high 隐式标记为丢失优先级。
配置
下面的示例要求您在各个配置层级中进行导航。有关导航 CLI 的信息，请参见 在配置模式下使用 CLI 编辑器。
要配置此示例，请执行以下操作：
CLI 快速配置
要快速配置此示例，请将以下配置命令复制到文本文件中，删除所有换行符，然后将命令粘贴到层次结构级别的 CLI [edit] 中。
set firewall three-color-policer srTCM1-ca single-rate color-aware set firewall three-color-policer srTCM1-ca single-rate committed-information-rate 40m set firewall three-color-policer srTCM1-ca single-rate committed-burst-size 100k set firewall three-color-policer srTCM1-ca single-rate excess-burst-size 200k set firewall three-color-policer srTCM1-ca action loss-priority high then discard set firewall family inet filter filter-srtcm1ca-all term 1 then three-color-policer single-rate srTCM1-ca set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af set interfaces ge-2/0/5 unit 0 family inet address 10.20.130.1/24 set interfaces ge-2/0/5 unit 0 family inet filter input filter-srtcm1ca-all
配置单速率三色监管器
分步过程
要配置单速率三色监管器：
启用三色监管器的配置。
[edit] user@host# edit firewall three-color-policer srTCM1-ca
配置单速率三色监管器的颜色模式。
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate color-aware
配置单速率保证流量限制。
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate committed-information-rate 40m user@host# set single-rate committed-burst-size 100k
配置用于对不符合流量进行分类的单速率突发大小限制。
[edit firewall three-color-policer srTCM1-ca] user@host# set single-rate excess-burst-size 200k
（可选）为不符合的流量配置操作。
[edit firewall three-color-policer srTCM1-ca] user@host# set action loss-priority high then discard
对于三色监管器，唯一可配置的操作是在红色流量流中丢弃数据包。在此示例中，红色流量流中的数据包已隐式标记为
high数据包丢失优先级 （PLP） 级别，因为流量超过了由单个速率限制（由committed-information-rate 40m语句指定）和较大的突发大小限制（由excess-burst-size 200k语句指定）定义的速率限制。由于包含可选action语句，因此此示例执行更严厉的操作，即丢弃红色流量中的数据包。
结果
输入 show firewall 配置命令，确认分层监管器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
配置引用监管器的 IPv4 无状态防火墙过滤器
分步过程
要配置引用监管器的标准无状态防火墙过滤器，请执行以下操作：
启用 IPv4 标准无状态防火墙过滤器的配置。
[edit] user@host# edit firewall family inet filter filter-srtcm1ca-all
指定引用监管器的过滤器术语。
[edit firewall family inet filter filter-srtcm1ca-all] user@host# set term 1 then three-color-policer single-rate srTCM1-ca
请注意，该术语未指定任何匹配条件。防火墙过滤器将所有数据包传递到监管器。
结果
通过输入 show firewall 配置模式命令确认防火墙过滤器的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show firewall
family inet {
filter filter-srtcm1ca-all {
term 1 {
then {
three-color-policer {
single-rate srTCM1-ca;
}
}
}
}
}
three-color-policer srTCM1-ca {
action {
loss-priority high then discard;
}
single-rate {
color-aware;
committed-information-rate 40m;
committed-burst-size 100k;
excess-burst-size 200k;
}
}
将过滤器应用于逻辑接口
分步过程
要将过滤器应用于逻辑接口，请执行以下操作：
（仅限 MX 系列路由器）（可选）将逻辑接口
ge-2/0/5.0上的所有传入数据包重新分类为有保证的转发，而不考虑任何预先存在的分类。[edit] user@host# set class-of-service interfaces ge-2/0/5 unit 0 forwarding-class af
分类器名称可以是已配置的分类器或默认分类器之一。
启用逻辑接口的配置。
[edit] user@host# edit interfaces ge-2/0/5 unit 0 family inet
配置 IP 地址。
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set address 10.20.130.1/24
将筛选器作为输入筛选器引用。
[edit interfaces ge-2/0/5 unit 0 family inet] user@host# set filter input filter-srtcm1ca-all
结果
通过输入 show class-of-service 和 show interfaces 配置模式命令确认接口的配置。如果命令输出未显示预期的配置，请重复此过程中的说明以更正配置。
[edit]
user@host# show class-of-service
interfaces {
ge-2/0/5 {
unit 0 {
forwarding-class af;
}
}
}
[edit]
user@host# show interfaces
ge-2/0/5 {
unit 0 {
family inet {
filter {
input filter-srtcm1ca-all;
}
address 10.20.130.1/24;
}
}
}
如果完成设备配置，请从配置模式输入 commit。
验证
确认配置工作正常。
显示应用于逻辑接口的防火墙过滤器
目的
验证防火墙过滤器是否已应用于逻辑接口上的 IPv4 输入流量。
操作
show interfaces对逻辑接口ge-2/0/5.0使用操作模式命令，并指定detail模式。Protocol inet命令输出的部分显示逻辑接口的 IPv4 信息。在该部分中，该 Input Filters 字段显示应用于逻辑接口上的 IPv4 输入流量的防火墙过滤器的名称。
user@host> show interfaces ge-2/0/5.0 detail
Logical interface ge-2/0/5.0 (Index 105) (SNMP ifIndex 556) (Generation 170)
Flags: Device-Down SNMP-Traps 0x4004000 Encapsulation: ENET2
Traffic statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Local statistics:
Input bytes : 0
Output bytes : 0
Input packets: 0
Output packets: 0
Transit statistics:
Input bytes : 0 0 bps
Output bytes : 0 0 bps
Input packets: 0 0 pps
Output packets: 0 0 pps
Protocol inet, MTU: 1500, Generation: 242, Route table: 0
Flags: Sendbcast-pkt-to-re
Input Filters: filter-srtcm1ca-all
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.20.130/24, Local: 10.20.130.1, Broadcast: 10.20.130.255,
Generation: 171
Protocol multiservice, MTU: Unlimited, Generation: 243, Route table: 0
Policer: Input: __default_arp_policer__