2색 및 3색 물리적 인터페이스 폴리서
물리적 인터페이스 폴리서 개요
물리적 인터페이스 폴리서는 2색 또는 3색 폴리서로, 논리적 인터페이스가 서로 다른 라우팅 인스턴스에 속하더라도 물리적 인터페이스에 구성된 모든 논리적 인터페이스 및 프로토콜 제품군의 입력 또는 출력 트래픽에 적용할 수 있는 트래픽 속도 제한을 정의합니다. 이 기능은 동일한 물리적 인터페이스에서 서로 다른 프로토콜 제품군 및 서로 다른 논리적 인터페이스에 대해 통합 폴리싱을 수행하려는 경우에 유용합니다.
예를 들어, 프로바이더 에지(PE) 라우터에 고객 에지(CE) 디바이스에 대한 동일한 링크에 구성된 각기 다른 고객에 해당하는 수많은 논리적 인터페이스가 있다고 가정해 보겠습니다. 이제 고객이 단일 물리적 인터페이스에서 특정 유형의 트래픽에 대해 한 세트의 집계 속도 제한을 적용하려고 한다고 가정해 보겠습니다. 이를 위해 단일 물리적 인터페이스 폴리서를 물리적 인터페이스에 적용하여 인터페이스에 구성된 모든 논리적 인터페이스와 해당 인터페이스가 속한 모든 라우팅 인스턴스의 속도를 제한할 수 있습니다.
단일 속도 2색 물리적 인터페이스 폴리서를 구성하려면 다음 계층 수준 중 하나에 명령문을 포함합니다 physical-interface-policer .
[edit logical-system logical-system-name firewall policer policer-name][edit routing-instances routing-instance-name firewall policer policer-name][edit logical-systems logical-system-name routing-instances routing-instance-name firewall policer policer-name]
단일 속도 또는 2 속도 3색 물리적 인터페이스 폴리서를 구성하려면 다음 계층 수준 중 하나에 문을 포함합니다 physical-interface-policer .
[edit firewall three-color-policer policer-name][edit logical-system logical-system-name firewall three-color-policer policer-name][edit routing-instances routing-instance-name firewall three-color-policer policer-name][edit logical-systems logical-system-name routing-instances routing-instance-name firewall three-color-policer policer-name]
상태 비저장 방화벽 필터 용어에서 폴리서를 참조한 다음 논리 인터페이스에 필터를 적용하여 레이어 3 트래픽에 물리적 인터페이스 폴리서를 적용합니다. 레이어 3 트래픽에 물리적 인터페이스를 인터페이스 구성에 직접 적용할 수는 없습니다.
스테이트리스 방화벽 필터 용어에서 단일 속도 2색 폴리서를 참조하려면 nonterminating 작업을 사용합니다 policer . 스테이트리스 방화벽 필터 용어에서 단일 속도 또는 2 속도 3색 폴리서를 참조하려면 nonterminating 작업을 사용합니다 three-color-policer .
물리적 인터페이스 폴리서를 참조하는 스테이트리스 방화벽 필터에는 다음 요구 사항이 적용됩니다.
지원되는 특정 프로토콜 제품군에 대해 방화벽 필터를 구성해야 합니다.
ipv4,ipv6,mpls,vpls, 또는 회로 교차 연결(ccc)이지만family any.계층 수준에서 문을 포함하여
physical-interface-filter방화벽 필터를 물리적 인터페이스 필터로[edit firewall family family-name filter filter-name]구성해야 합니다.물리적 인터페이스 필터로 정의된 방화벽 필터는 물리적 인터페이스 폴리서만 참조할 수 있습니다.
글로벌(비논리적) 시스템에 정의된 방화벽 필터는 인터페이스별 필터 인스턴스에 대한 논리적 시스템에서 사용할 수 없습니다. 좀 더 구체적으로 말하자면, 논리적 시스템에서 생성된 필터 첨부가 있는 글로벌 시스템에서 생성된 에 대한 physical-interface-filter 템플리트를 사용할 수 없습니다. 필터링이 올바르게 작동하려면 템플릿과 첨부 파일이 모두 논리적 시스템에 상주해야 합니다. 이는 논리적 시스템의 경우 필터 인스턴스 명명이 물리적 인터페이스에서 파생되지만 인터페이스별 필터 인스턴스에서는 그렇지 않기 때문입니다.
물리적 인터페이스 필터로 정의된 방화벽 필터는 명령문으로
interface-specific구성된 폴리서를 참조할 수 없습니다.방화벽 필터를 물리적 인터페이스 필터와 명령문을 포함하는
interface-specific논리적 인터페이스 필터로 구성할 수 없습니다.
참조
예: 물리적 인터페이스에서 집계 트래픽을 위한 물리적 인터페이스 폴리서 구성
이 예에서는 단일 속도 2색 폴리서를 물리적 인터페이스 폴리서로 구성하는 방법을 보여줍니다.
요구 사항
이 예를 구성하기 전에 디바이스 초기화를 제외한 특별한 구성은 필요하지 않습니다.
개요
물리적 인터페이스 폴리서는 인터페이스가 서로 다른 라우팅 인스턴스에 속하더라도 물리적 인터페이스에 구성된 모든 프로토콜 제품군과 논리적 인터페이스를 포괄하는 집계 트래픽에 대한 속도 제한을 지정합니다.
특정 프로토콜 제품군( 가 family any아님)에 대해 구성되고 물리적 인터페이스 필터로 구성된 상태 비저장 방화벽 필터에서 폴리서를 참조해야만 레이어 3 입력 또는 출력 트래픽에 물리적 인터페이스 폴리서를 적용할 수 있습니다. 속도 제한을 원하는 패킷 유형을 선택하는 일치 조건으로 필터 용어를 구성하고, 일치하는 패킷에 적용할 작업으로 물리적 인터페이스 폴리서를 지정합니다.
물리적 인터페이스 폴리서/필터는 목록 필터에 대해 지원되지 않습니다.
토폴로지
이 예에서 shared-policer-A물리적 인터페이스 폴리서는 10,000,000bps로 속도를 제한하고 500,000바이트의 최대 트래픽 버스트를 허용합니다. 부적합 흐름에서 패킷을 삭제하도록 폴리서를 구성하지만, 대신 포워딩 클래스, 패킷 손실 우선순위(PLP) 수준 또는 둘 다를 사용하여 부적합 트래픽을 다시 표시하도록 폴리서를 구성할 수 있습니다.
폴리서를 사용하여 IPv4 트래픽 속도를 제한하려면 IPv4 물리적 인터페이스 필터에서 폴리서를 참조해야 합니다. 이 예에서는 다음 일치 조건 중 하나를 충족하는 폴리서 IPv4 패킷을 전달하도록 필터를 구성합니다.
-
TCP를 통해 수신되고 IP 우선순위 필드가
critical-ecp(0xa0), (0x40)immediate또는priority(0x20)인 패킷 -
TCP를 통해 수신되고 IP 우선순위 필드
internet-control(0xc0) 또는routine(0x00)가 있는 패킷
다른 프로토콜 제품군에 대한 물리적 인터페이스 필터에서 폴리서를 참조할 수도 있습니다.
구성
다음 예는 구성 계층에서 다양한 수준의 탐색이 필요합니다. CLI 탐색에 대한 자세한 내용은 을 참조하십시오 구성 모드에서 CLI 편집기 사용.
이 예를 구성하려면 다음 작업을 수행합니다.
- CLI 빠른 구성
- 물리적 인터페이스에서 논리적 인터페이스 구성
- 물리적 인터페이스 폴리서 구성
- IPv4 물리적 인터페이스 필터 구성
- IPv4 물리적 인터페이스 필터를 적용하여 물리적 인터페이스 폴리서 참조
CLI 빠른 구성
이 예를 빠르게 구성하려면, 다음 구성 명령을 텍스트 파일에 복사하고, 줄 바꿈을 제거한 다음, 계층 수준에서 명령을 CLI에 붙여넣습니다 [edit] .
set interfaces so-1/0/0 unit 0 family inet address 192.168.1.1/24 set interfaces so-1/0/0 unit 0 family vpls set interfaces so-1/0/0 unit 1 family mpls set firewall policer shared-policer-A physical-interface-policer set firewall policer shared-policer-A if-exceeding bandwidth-limit 100m burst-size-limit 500k set firewall policer shared-policer-A then discard set firewall family inet filter ipv4-filter physical-interface-filter set firewall family inet filter ipv4-filter term tcp-police-1 from precedence [ critical-ecp immediate priority ] set firewall family inet filter ipv4-filter term tcp-police-1 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-1 then policer shared-policer-A set firewall family inet filter ipv4-filter term tcp-police-2 from precedence [ internet-control routine ] set firewall family inet filter ipv4-filter term tcp-police-2 from protocol tcp set firewall family inet filter ipv4-filter term tcp-police-2 then policer shared-policer-A set interfaces so-1/0/0 unit 0 family inet filter input ipv4-filter
물리적 인터페이스에서 논리적 인터페이스 구성
단계별 절차
물리적 인터페이스에서 논리적 인터페이스를 구성하려면 다음을 수행합니다.
논리적 인터페이스의 구성을 활성화합니다.
[edit] user@host# edit interfaces so-1/0/0
논리 유닛 0에서 프로토콜 패밀리를 구성합니다.
[edit interfaces so-1/0/0] user@host# set unit 0 family inet address 192.168.1.1/24 user@host# set unit 0 family vpls
논리 유닛 1에서 프로토콜 패밀리를 구성합니다.
[edit interfaces so-1/0/0] user@host# set unit 1 family mpls
결과
구성 모드 명령을 입력하여 방화벽 필터의 show interfaces 구성을 확인합니다. 명령 출력에 의도한 구성이 표시되지 않으면 이 절차의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
물리적 인터페이스 폴리서 구성
단계별 절차
물리적 인터페이스 폴리서를 구성하려면 다음을 수행합니다.
2색 폴리서의 구성을 활성화합니다.
[edit] user@host# edit firewall policer shared-policer-A
2색 폴리서의 유형을 구성합니다.
[edit firewall policer shared-policer-A] user@host# set physical-interface-policer
부적합 트래픽 흐름의 패킷에 대한 트래픽 제한 및 작업을 구성합니다.
[edit firewall policer shared-policer-A] user@host# set if-exceeding bandwidth-limit 100m burst-size-limit 500k user@host# set then discard
물리적 인터페이스 필터의 경우, 부적합 트래픽 흐름의 패킷에 대해 구성할 수 있는 작업은 패킷을 폐기하거나, 포워딩 클래스를 할당하거나, PLP 값을 할당하거나, 포워딩 클래스와 PLP 값을 모두 할당하는 것입니다.
결과
구성 모드 명령을 입력하여 폴리서의 show firewall 구성을 확인합니다. 명령 출력에 의도한 구성이 표시되지 않으면 이 절차의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show firewall
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
IPv4 물리적 인터페이스 필터 구성
단계별 절차
IPv4 물리적 인터페이스 폴리서의 용어에 대한 작업으로 물리적 인터페이스 폴리서를 구성하려면:
특정 프로토콜 제품군에서 표준 스테이트리스 방화벽 필터를 구성합니다.
[edit] user@host# edit firewall family inet filter ipv4-filter
에 대한
family any물리적 인터페이스 방화벽 필터를 구성할 수 없습니다.물리적 인터페이스 폴리서를 작업으로 적용할 수 있도록 필터를 물리적 인터페이스 필터로 구성합니다.
[edit firewall family inet filter ipv4-filter] user@host# set physical-interface-filter
TCP를 통해 수신된 IPv4 패킷을 IP 우선순위 필드
critical-ecp,immediate또는priority과 일치시키도록 첫 번째 용어를 구성하여 물리적 인터페이스 폴리서를 필터 동작으로 적용합니다.[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-1 from precedence [ critical-ecp immediate priority ] user@host# set term tcp-police-1 from protocol tcp user@host# set term tcp-police-1 then policer shared-policer-A
TCP를 통해 수신된 IPv4 패킷을 IP 우선순위 필드
internet-control와 일치시키거나routine및 물리적 인터페이스 폴리서를 필터 동작으로 적용하도록 첫 번째 용어를 구성합니다.[edit firewall family inet filter ipv4-filter] user@host# set term tcp-police-2 from precedence [ internet-control routine ] user@host# set term tcp-police-2 from protocol tcp user@host# set term tcp-police-2 then policer shared-policer-A
결과
구성 모드 명령을 입력하여 방화벽 필터의 show firewall 구성을 확인합니다. 명령 출력에 의도한 구성이 표시되지 않으면 이 절차의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show firewall
family inet {
filter ipv4-filter {
physical-interface-filter;
term tcp-police-1 {
from {
precedence [ critical-ecp immediate priority ];
protocol tcp;
}
then policer shared-policer-A;
}
term tcp-police-2 {
from {
precedence [ internet-control routine ];
protocol tcp;
}
then policer shared-policer-A;
}
}
}
policer shared-policer-A {
physical-interface-policer;
if-exceeding {
bandwidth-limit 100m;
burst-size-limit 500k;
}
then discard;
}
IPv4 물리적 인터페이스 필터를 적용하여 물리적 인터페이스 폴리서 참조
단계별 절차
물리적 인터페이스 필터를 적용하여 물리적 인터페이스 폴리서를 참조하도록 하려면 다음을 수행합니다.
논리적 인터페이스에서 IPv4 구성을 활성화합니다.
[edit] user@host# edit interfaces so-1/0/0 unit 0 family inet
입력 방향으로 IPv4 물리적 인터페이스 필터를 적용합니다.
[edit interfaces so-1/0/0 unit 0 family inet] user@host# set filter input ipv4-filter
결과
구성 모드 명령을 입력하여 방화벽 필터의 show interfaces 구성을 확인합니다. 명령 출력에 의도한 구성이 표시되지 않으면 이 절차의 지침을 반복하여 구성을 수정하십시오.
[edit]
user@host# show interfaces
so-1/0/0 {
unit 0 {
family inet {
filter {
input ipv4-filter;
}
address 192.168.1.1/24;
}
family vpls;
}
unit 1 {
family mpls;
}
}
디바이스 구성을 마쳤으면 구성 모드에서 commit을(를) 입력합니다.
검증
구성이 올바르게 작동하고 있는지 확인합니다.
인터페이스에 적용된 방화벽 필터 표시
목적
방화벽 필터가 ipv4-filter 논리적 인터페이스의 so-1/0/0.0IPv4 입력 트래픽에 적용되었는지 확인합니다.
작업
show interfaces statistics 논리적 인터페이스에 so-1/0/0.0대해 운영 모드 명령을 사용하고 옵션을 포함합니다detail. Protocol inet 명령 출력 Input Filters 의 섹션에서 필드는 방화벽 필터가 ipv4-filter 입력 방향으로 적용되었음을 보여줍니다.
user@host> show interfaces statistics so-1/0/0 detail
Logical interface so-1/0/0.0 (Index 79) (SNMP ifIndex 510) (Generation 149)
Flags: Hardware-Down Point-To-Point SNMP-Traps 0x4000 Encapsulation: PPP
Protocol inet, MTU: 4470, Generation: 173, Route table: 0
Flags: Sendbcast-pkt-to-re, Protocol-Down
Input Filters: ipv4-filter
Addresses, Flags: Dest-route-down Is-Preferred Is-Primary
Destination: 10.39/16, Local: 10.39.1.1, Broadcast: 10.39.255.255, Generation: 163
논리적 인터페이스에서 폴리서가 처리한 패킷 수 표시
목적
논리적 인터페이스를 통한 트래픽 흐름을 확인하고 패킷이 논리적 인터페이스에서 수신될 때 폴리서가 평가되는지 확인합니다.
작업
논리적 인터페이스에 적용한 show firewall 필터에 대해 운영 모드 명령을 사용합니다.
user@host> show firewall filter ipv4-filter Filter: ipv4-filter Policers: Name Packets shared-policer-A-tcp-police-1 32863 shared-policer-A-tcp-police-2 3870
명령 출력에는 폴리서 이름(shared-policer-A), 폴리서 작업이 지정된 필터 용어 이름(police-1) 및 필터 용어와 일치하는 패킷 수가 표시됩니다. 이는 사양을 벗어난(out-of-spec) 패킷 수의 수일 뿐이며, 폴리서에 의해 폴리싱된 모든 패킷이 아닙니다.