Multifield Classifier 例: マルチフィールド分類の設定

ステップバイステップでの手順

ポリサーを構成して、優先転送トラフィックと確実転送トラフィックのレート制限を行うには:

1. 優先転送トラフィックのトラフィック制限を定義します。

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall policer ef-policer
   
   [edit firewall policer ef-policer]
   user@host# set if-exceeding bandwidth-limit 300k
   user@host# set if-exceeding burst-size-limit 50k
   user@host# set then loss-priority high
   user@host# set then forwarding-class expedited-forwarding
   

2. 確実な転送トラフィック用のポリサーを設定します。

   content_copy zoom_out_map

   [edit firewall policer ef-policer]
   user@host# up
    
   [edit firewall]
   user@host# edit policer af-policer
    
   [edit firewall policer af-policer]
   user@host# set if-exceeding bandwidth-limit 300k
   user@host# set if-exceeding burst-size-limit 50k
   user@host# set then loss-priority high
   user@host# set then forwarding-class assured-forwarding
   

結果

show firewall 設定モード コマンドを入力して、ポリサーの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。

[edit]
user@host# show firewall
policer af-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class assured-forwarding;
    }
}
policer ef-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class expedited-forwarding;
    }
}

ステップバイステップでの手順

ポリシングを追加で適用するマルチフィールド分類フィルタを設定するには:

1. IPv4トラフィックのファイアウォールフィルター条件の設定を有効にします。

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall family inet filter mfc-filter 
   

2. 送信元アドレスで一致するように最初の条件を設定し、一致したパケットを分類します。

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term isp1-customers from source-address 10.1.1.0/24
   user@host# set term isp1-customers from source-address 10.1.2.0/24
   user@host# set term isp1-customers then loss-priority low
   user@host# set term isp1-customers then forwarding-class expedited-forwarding
   

3. 異なる送信元アドレスで一致するように 2 番目の条件を設定し、一致したパケットをポリシングします。

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term isp2-customers from source-address 10.1.3.0/24
   user@host# set term isp2-customers from source-address 10.1.4.0/24
   user@host# set term isp2-customers then policer ef-policer
   

4. 3 番目の条件を設定して、他のすべてのパケットを異なるトラフィック制限とアクションのセットに対してポリシングします。

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term other-customers then policer af-policer
   

結果

show firewall コンフィギュレーション モード コマンドを入力して、フィルターの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。

[edit]
user@host# show firewall
family inet {
    filter mfc-filter {
        term isp1-customers {
            from {
                source-address 10.1.1.0/24;
                source-address 10.1.2.0/24;
            }
            then {
                loss-priority low;
                forwarding-class expedited-forwarding;
            }
        }
        term isp2-customers {
            from {
                source-address 10.1.3.0/24;
                source-address 10.1.4.0/24;
            }
            then {
                policer ef-policer;
            }
        }
        term other-customers {
            then {
                policer af-policer;
            }
        }
    }
}
policer af-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then discard;
}
policer ef-policer {
    if-exceeding {
        bandwidth-limit 200k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class expedited-forwarding;
    }
}

ステップバイステップでの手順

マルチフィールド分類フィルタリングとポリシングを論理インターフェイスに適用するには:

1. 論理インターフェイスで IPv4 の設定を有効にします。

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces ge-1/2/0 unit 0 family inet
   

2. 論理インターフェイスのIPアドレスを設定します。

   content_copy zoom_out_map

   [edit interfaces ge-1/2/0 unit 0 family inet ]
   user@host# set address 192.168.1.1/24
   

3. 論理インターフェイス入力にファイアウォールフィルターを適用します。

   content_copy zoom_out_map

   [edit interfaces ge-1/2/0 unit 0 family inet ]
   user@host# set filter input mfc-filter
   

   注:

   ポリサーはフィルターの前に実行されるため、入力ポリサーが論理インターフェイスでも設定されている場合、インターフェイスに関連付けられたマルチフィールド分類器の転送クラスとPLPを使用することはできません。

結果

show interfaces 設定モード コマンドを入力して、インターフェイスの設定を確認します。コマンドの出力結果に意図した設定内容が表示されない場合は、この手順の手順を繰り返して設定を修正します。

[edit]
user@host# show interfaces
ge-1/2/0 {
    unit 0 {
        family inet {
            filter {
                input mfc-filter;
            }
            address 192.168.1.1/24;
        }
    }
}

デバイスの設定が完了したら、設定モードから commit を入力します。

目的

論理インターフェイスを通過するトラフィック フローと、論理インターフェイスでパケットを受信したときにポリサーが評価されることを確認します。

アクション

論理インターフェイスに適用したフィルターの show firewall operational mode コマンドを使用します。

user@host> show firewall filter rate-limit-in
Filter: rate-limit-in                                          
Policers:
Name                                              Packets 
ef-policer-isp2-customers                           32863
af-policer-other-customers                           3870

コマンド出力には、ファイアウォール フィルター rate-limit-inによって適用されたポリサーと、フィルター条件に一致したパケットの数が一覧表示されます。

ポリサー名は、ポリサーがアクションとして参照されるファイアウォールフィルター条件の名前と連結されて表示されます。

CLIクイック構成

この例を迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、設定モードから commit を入力します。

デバイスR1

set interfaces ge-1/0/1 description to-host
set interfaces ge-1/0/1 unit 0 family inet filter input mf-classifier
set interfaces ge-1/0/1 unit 0 family inet address 172.16.50.2/30
set interfaces ge-1/0/9 description to-R2
set interfaces ge-1/0/9 unit 0 family inet address 10.30.0.1/30
set class-of-service forwarding-classes class BE-data queue-num 0
set class-of-service forwarding-classes class Premium-data queue-num 1
set class-of-service forwarding-classes class Voice queue-num 2
set class-of-service forwarding-classes class NC queue-num 3
set firewall family inet filter mf-classifier term BE-data from protocol tcp
set firewall family inet filter mf-classifier term BE-data from port 80
set firewall family inet filter mf-classifier term BE-data then forwarding-class BE-data
set firewall family inet filter mf-classifier term Premium-data from protocol tcp
set firewall family inet filter mf-classifier term Premium-data from port 12345
set firewall family inet filter mf-classifier term Premium-data then forwarding-class Premium-data
set firewall family inet filter mf-classifier term accept-all-else then accept

デバイスR2

set interfaces ge-1/0/9 description to-R1
set interfaces ge-1/0/9 unit 0 family inet address 10.30.0.2/30

ステップバイステップでの手順

次の例では、設定階層内のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、Junos OS CLIユーザーガイドの 設定モードでCLIエディターを使用する を参照してください。

Device R1を設定するには：

1. デバイスインターフェイスを設定します。

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-1/0/1 description to-host
   user@R1# set ge-1/0/1 unit 0 family inet address 172.16.50.2/30
   user@R1# set ge-1/0/9 description to-R2
   user@R1# set ge-1/0/9 unit 0 family inet address 10.30.0.1/30
   

2. カスタム転送クラスおよび関連するキュー番号を設定します。

   content_copy zoom_out_map

   [edit class-of-service forwarding-classes]
   user@R1# set BE-data queue-num 0
   user@R1# set Premium-data queue-num 1
   user@R1# set Voice queue-num 2
   user@R1# set NC queue-num 3
   

3. 送信元ポート80のTCPトラフィック(HTTPトラフィック)を、キュー0に関連付けられたBEデータ転送クラスに配置するファイアウォールフィルター条件を設定します。

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term BE-data from protocol tcp
   user@R1# set term BE-data from port 80
   user@R1# set term BE-data then forwarding-class BE-data
   

4. 送信元ポートが12345のTCPトラフィックを、キュー1に関連付けられたプレミアムデータ転送クラスに配置するファイアウォールフィルター条件を設定します。

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term Premium-data from protocol tcp
   user@R1# set term Premium-data from port 12345
   user@R1# set term Premium-data then forwarding-class Premium-data
   

5. ファイアウォールフィルターの最後に、他のすべてのトラフィックを受け入れるデフォルトの条件を設定します。

   それ以外の場合、インターフェイスに到着し、ファイアウォールフィルターによって明示的に受け入れられないすべてのトラフィックは破棄されます。

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term accept-all-else then accept
   

6. ファイアウォールフィルターを入力フィルターとしてge-1/0/1インターフェイスに適用します。

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-1/0/1 unit 0 family inet filter input mf-classifier
   

結果

設定モードから、 show interfaces、 show class-of-service、 show firewall コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。

user@R1# show interfaces
ge-1/0/1 {
    description to-host;
    unit 0 {
        family inet {
            filter {
                input mf-classifier;
            }
            address 172.16.50.2/30;
        }
    }
}
ge-1/0/9 {
    description to-R2;
    unit 0 {
        family inet {
            address 10.30.0.1/30;
        }
    }
}

user@R1# show class-of-service
forwarding-classes {
    class BE-data queue-num 0;
    class Premium-data queue-num 1;
    class Voice queue-num 2;
    class NC queue-num 3;
}

user@R1# show firewall
family inet {
    filter mf-classifier {
        term BE-data {
            from {
                protocol tcp;
                port 80;
            }
            then forwarding-class BE-data;
        }
        term Premium-data {
            from {
                protocol tcp;
                port 12345;
            }
            then forwarding-class Premium-data;
        }
        term accept-all-else {
            then accept;
        }
    }
}

デバイスの設定が完了したら、設定モードから commit を入力します。

目的

転送クラスが正しく設定されていることを確認します。

アクション

デバイスR1から、 show class-of-service forwardng-classes コマンドを実行します。

user@R1> show class-of-service forwarding-class

Forwarding class                       ID      Queue  Restricted queue  Fabric priority  Policing priority   SPU priority
  BE-data                               0       0          0             low                normal            low    
  Premium-data                          1       1          1             low                normal            low    
  Voice                                 2       2          2             low                normal            low    
  NC                                    3       3          3             low                normal            low  

意味

出力には、構成されたカスタム分類子設定が表示されます。

目的

対象のトラフィックが、予期されたキューから送信されていることを確認します。

アクション

1. デバイスR1の発信インターフェイスのインターフェイス統計情報をクリアします。

   content_copy zoom_out_map

   user@R1> clear interfaces statistics ge-1/0/9

2. トラフィックジェネレーターを使用して、50個のTCPポート80パケットをデバイスR2または他のダウンストリームデバイスに送信します。

3. デバイスR1で、キューカウンターを確認します。

   キュー カウンターは、受信インターフェイスではなく、ダウンストリームの出力インターフェイスでチェックすることに注意してください。

   content_copy zoom_out_map

   user@R1> show interfaces extensive ge-1/0/9 | find "Queue counters"
   
     Queue counters:       Queued packets  Transmitted packets      Dropped packets
       0                               50                   50                    0
       1                                0                   57                    0
       2                                0                    0                    0
       3                                0                    0                    0

4. トラフィックジェネレーターを使用して、50個のTCPポート12345パケットをデバイスR2または他のダウンストリームデバイスに送信します。

   content_copy zoom_out_map

   [root@host]#  hping 172.16.60.1  -c 50 -s 12345  -k 

5. デバイスR1で、キューカウンターを確認します。

   content_copy zoom_out_map

   user@R1> show interfaces extensive ge-1/0/9 | find "Queue counters"
    
     Queue counters:       Queued packets  Transmitted packets      Dropped packets
       0                               50                   50                    0
       1                               50                   57                    0
       2                                0                    0                    0
       3                                0                    0                    0

意味

出力は、パケットが正しく分類されていることを示しています。TCP パケットでポート 80 が使用されると、キュー 0 がインクリメントされます。ポート 12345 を使用すると、キュー 1 がインクリメントされます。