例：物理インターフェイスでの集約トラフィック用の物理インターフェイスポリサーの設定
この例では、物理インターフェイス ポリサーとしてシングルレート ツー カラー ポリサーを設定する方法を示します。
要件
この例を設定する前に、デバイス初期化以外の特別な設定を行う必要はありません。
概要
物理インターフェイス ポリサーは、インターフェイスが異なるルーティング インスタンスに属している場合でも、物理インターフェイスに設定されたすべてのプロトコル ファミリーと論理インターフェイスを含む集約トラフィックのレート制限を指定します。
物理インターフェイス ポリサーをレイヤー 3 の入力または出力トラフィックに適用できるのは、特定のプロトコル ファミリー( family any 用ではない)用に設定され、物理 インターフェイス フィルターとして設定されたステートレス ファイアウォール フィルターからポリサーを参照することによってのみです。レート制限したいパケットのタイプを選択する一致条件でフィルター条件を設定し、一致したパケットに適用するアクションとして物理インターフェイスポリサーを指定します。
物理インターフェイス ポリサー/フィルターは、リスト フィルターではサポートされていません。
トポロジー
この例の物理インターフェイス ポリサー shared-policer-A は、レートを 10,000,000 bps に制限し、500,000 バイトのトラフィックの最大バーストを許可し ます。不適合フローのパケットを破棄するようにポリサーを設定しますが、代わりに、転送クラス、パケット損失の優先度(PLP)レベル、またはその両方で不適合トラフィックを再マーキングするようにポリサーを設定することもできます。
ポリサーを使用して IPv4 トラフィックのレート制限を可能にするには、IPv4 物理インターフェイス フィルターからポリサーを参照します。この例では、以下の一致条件のいずれかを満たすポリサー IPv4 パケットを渡すようにフィルターを設定します。
-
TCP経由で受信したパケットで、IP優先度フィールドが
critical-ecp(0xa0)、immediate(0x40)、またはpriority(0x20) -
TCP経由で受信したパケットで、IP優先度フィールドが
internet-control(0xc0)またはroutine(0x00)のパケット
また、他のプロトコル ファミリーの物理インターフェイス フィルターからポリサーを参照することもできます。
設定
次の例では、設定階層のいくつかのレベルに移動する必要があります。CLIのナビゲーションについては、 設定モードでのCLIエディターの使用を参照してください。
この例を設定するには、以下のタスクを実行します。
- CLIクイック構成
- 物理インターフェイスでの論理インターフェイスの設定
- 物理インターフェイス ポリサーの設定
- IPv4物理インターフェイスフィルターの設定
- 物理インターフェイス ポリサーを参照するための IPv4 物理インターフェイス フィルターの適用
CLIクイック構成
この例をすばやく設定するには、次の設定コマンドをテキスト ファイルにコピーし、改行を削除してから、 [edit] 階層レベルの CLI にコマンドを貼り付けます。
set interfaces so-1/0/0 unit 0 family inet address 192.168.1.1/24 set interfaces so-1/0/0 unit 0 family vpls set interfaces so-1/0/0 unit 1 family mpls set firewall policer shared-policer-A physical-interface-policer set firewall policer shared-policer-A if-exceeding bandwidth-limit 100m burst-size-limit 500k set firewall policer shared-policer-A then discard set firewall family inet filter ipv4-filter physical-interface-filter set firewall family inet filter ipv4-filter term tcp-police-1 from precedence [ critical-ecp immediate priority ] set firewall family inet filter ipv4-filter term tcp-police-1 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-1 then policer shared-policer-A set firewall family inet filter ipv4-filter term tcp-police-2 from precedence [ internet-control routine ] set firewall family inet filter ipv4-filter term tcp-police-2 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-2 then policer shared-policer-A set interfaces so-1/0/0 unit 0 family inet filter input ipv4-filter
物理インターフェイスでの論理インターフェイスの設定
ステップバイステップでの手順
物理インターフェイスに論理インターフェイスを設定するには:
論理インターフェイスの設定を有効にします。
[edit] user@host# edit interfaces so-1/0/0
論理ユニット 0 でプロトコル ファミリーを設定します。
[edit interfaces so-1/0/0] user@host# set unit 0 family inet address 192.168.1.1/24 user@host# set unit 0 family vpls
論理ユニット 1 でプロトコルファミリーを設定します。
[edit interfaces so-1/0/0] user@host# set unit 1 family mpls
結果
show interfaces 設定モード コマンドを入力して、ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
物理インターフェイス ポリサーの設定
ステップバイステップでの手順
物理インターフェイス ポリサーを設定するには:
2 色ポリサーの設定を有効にします。
[edit] user@host# edit firewall policer shared-policer-A
2 色ポリサーのタイプを設定します。
[edit firewall policer shared-policer-A] user@host# set physical-interface-policer
不適合なトラフィックフロー内のパケットに対するトラフィック制限とアクションを設定します。
[edit firewall policer shared-policer-A] user@host# set if-exceeding bandwidth-limit 100m burst-size-limit 500k user@host# set then discard
物理インターフェイス フィルターの場合、不適合トラフィック フロー内のパケットに対して設定できるアクションは、パケットの廃棄、転送クラスの割り当て、PLP 値の割り当て、または転送クラスと PLP 値の両方の割り当てです。
結果
show firewall 設定モード コマンドを入力して、ポリサーの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。
[edit]
user@host# show firewall
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
IPv4物理インターフェイスフィルターの設定
ステップバイステップでの手順
IPv4 物理インターフェイス ポリサーの用語のアクションとして物理インターフェイス ポリサーを設定するには:
特定のプロトコルファミリーで、標準のステートレスファイアウォールフィルターを設定します。
[edit] user@host# edit firewall family inet filter ipv4-filter
family any用の物理インターフェイスファイアウォールフィルターを設定することはできません。物理インターフェイス ポリサーをアクションとして適用できるように、 フィルターを物理インターフェイス フィルターとして設定します。
[edit firewall family inet filter ipv4-filter] user@host# set physical-interface-filter
最初の条件を設定して、TCP経由で受信したIPv4パケットをIP優先度フィールド
critical-ecp、immediate、またはpriorityと照合し、物理インターフェイスポリサーをフィルターアクションとして適用します。[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-1 from precedence [ critical-ecp immediate priority ] user@host# set term tcp-police-1 from protocol tcp user@host# set term tcp-police-1 then policer shared-policer-A
最初の条件を設定して、TCP経由で受信したIPv4パケットをIP優先度フィールド
internet-controlまたはroutineと照合し、物理インターフェイスポリサーをフィルターアクションとして適用します。[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-2 from precedence [ internet-control routine ] user@host# set term tcp-police-2 from protocol tcp user@host# set term tcp-police-2 then policer shared-policer-A
結果
show firewall 設定モード コマンドを入力して、ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。
[edit]
user@host# show firewall
family inet {
filter ipv4-filter {
physical-interface-filter;
term tcp-police-1 {
from {
precedence [ critical-ecp immediate priority ];
protocol tcp;
}
then policer shared-policer-A;
}
term tcp-police-2 {
from {
precedence [ internet-control routine ];
protocol tcp;
}
then policer shared-policer-A;
}
}
}
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
物理インターフェイス ポリサーを参照するための IPv4 物理インターフェイス フィルターの適用
ステップバイステップでの手順
物理インターフェイス フィルターを適用して、物理インターフェイス ポリサーを参照するには:
論理インターフェイスで IPv4 の設定を有効にします。
[edit] user@host# edit interfaces so-1/0/0 unit 0 family inet
IPv4物理インターフェイスフィルターを入力方向に適用します。
[edit interfaces so-1/0/0 unit 0 family inet] user@host# set filter input ipv4-filter
結果
show interfaces 設定モード コマンドを入力して、ファイアウォール フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
}
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
デバイスの設定が完了したら、設定モードから commit を入力します。
検証
設定が正常に機能していることを確認します。
インターフェイスに適用されたファイアウォールフィルターの表示
目的
ファイアウォールフィルター ipv4-filter が、論理インターフェイス so-1/0/0.0でIPv4入力トラフィックに適用されていることを確認します。
アクション
論理インターフェイスso-1/0/0.0には show interfaces statistics operational mode コマンドを使用し、detail オプションを含めます。コマンド出力の Protocol inet セクションの Input Filters フィールドには、ファイアウォール フィルター ipv4-filter が入力方向に適用されていることがわかります。
user@host> show interfaces statistics so-1/0/0 detail
Logical interface so-1/0/0.0 (Index 79) (SNMP ifIndex 510) (Generation 149)
Flags: Hardware-Down Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP
Protocol inet, MTU: 4470, Generation: 173, Route table: 0
Flags: Sendbcast-pkt-to-re, Protocol-Down
Input Filters: ipv4-filter
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.39/16, Local: 10.39.1.1, Broadcast: 10.39.255.255, Generation: 163
論理インターフェイスでポリサーが処理したパケット数の表示
目的
論理インターフェイスを通過するトラフィック フローと、論理インターフェイスでパケットを受信したときにポリサーが評価されることを確認します。
アクション
論理インターフェイスに適用したフィルターの show firewall operational mode コマンドを使用します。
user@host> show firewall filter ipv4-filter Filter: ipv4-filter Policers: Name Packets shared-policer-A-tcp-police-1 32863 shared-policer-A-tcp-police-2 3870
コマンド出力には、ポリサーの名前(shared-policer-A)、ポリサーアクションが指定されているフィルター条件(police-1)の名前、およびフィルター条件に一致したパケットの数が表示されます。これは仕様外(仕様外)のパケット数に過ぎず、ポリサーがポリサーによってポリシングするすべてのパケットではありません。