Ejemplo: Uso de políticas para administrar la sobresuscripción

Es posible que desee utilizar un aplicador de policía cuando una interfaz está sobresuscrita y desea controlar lo que sucederá si se produce congestión. Por ejemplo, es posible que tenga servidores conectados a un conmutador como se indica en Tabla 1.

En este ejemplo, los usuarios acceden a los servicios proporcionados por el servidor de aplicaciones de red, que solicita información al servidor de bases de datos, según corresponda. Cuando recibe una solicitud de un usuario, el servidor de aplicaciones de red se pone en contacto primero con el servidor de autenticación para comprobar las credenciales del usuario. Cuando se autentica un usuario y el servidor de aplicaciones de red proporciona el servicio solicitado, todos los paquetes enviados desde el servidor de bases de datos al servidor de aplicaciones deben transitar la interfaz 1 Gigabit Ethernet conectada al servidor de aplicaciones dos veces: una vez al ingresar al servidor de aplicaciones y otra al salir al usuario.

La secuencia de eventos para una sesión de usuario es la siguiente:

1. Un usuario se conecta al servidor de aplicaciones y solicita un servicio.

2. El servidor de aplicaciones solicita las credenciales del usuario y las transmite al servidor de autenticación.

3. Si el servidor de autenticación verifica las credenciales, el servidor de aplicaciones inicia el servicio solicitado.

4. El servidor de aplicaciones solicita los archivos necesarios para satisfacer la solicitud del usuario del servidor de base de datos.

5. El servidor de base de datos envía los archivos solicitados al servidor de aplicaciones.

6. El servidor de aplicaciones incluye los archivos solicitados en su respuesta al usuario.

El tráfico del servidor de bases de datos al servidor de aplicaciones puede congestionar la interfaz de 1 gigabit a la que está conectado el servidor de aplicaciones. Esta congestión puede impedir que el servidor responda a las solicitudes de los usuarios y cree nuevas sesiones para ellos. Puede usar la vigilancia para asegurarse de que esto no ocurra.

Para crear esta configuración de firewall, realice los pasos siguientes en el servidor de base de datos:

1. Cree un aplicador de políticas para eliminar el tráfico del servidor de bases de datos al servidor de aplicaciones si supera ciertos límites:

   content_copy zoom_out_map

   [edit firewall]
   user@switch# set policer Database-Egress-Policer if-exceeding bandwidth-limit 400 burst-size-limit 500m
   user@switch# set policer Database-Egress-Policer then discard

2. Cree un filtro para examinar el tráfico del servidor de base de datos al servidor de aplicaciones:

   content_copy zoom_out_map

   [edit firewall]
   user@switch# edit family inet filter Database-Egress-Filter
   

3. Configure el filtro para aplicar el aplicador de políticas al tráfico que sale del servidor de base de datos y destinado al servidor de aplicaciones:

   content_copy zoom_out_map

   [edit firewall family inet filter Database-Egress-Filter]
   user@switch# set term term-1 from destination-address 10.0.0.1
   user@switch# set term term-1 then policer Database-Egress-Policer

4. Si es necesario, configure un término para permitir el tráfico desde el servidor de base de datos a otros destinos (de lo contrario, la instrucción implícita deny perderá el tráfico):

   content_copy zoom_out_map

   [edit firewall family inet filter Database-Egress-Filter]
   user@switch# set term term-2 then accept
   

   Tenga en cuenta que omitir una from instrucción hace que el término coincida con todos los paquetes, que es el comportamiento deseado.

5. Instale el filtro de salida como filtro de salida en la interfaz del servidor de base de datos que está conectada al servidor de aplicaciones:

   content_copy zoom_out_map

   [edit interfaces]
   user@switch# set xe-0/0/3 unit 0 family inet filter output Database-Egress-Filter

Así es como aparecería la configuración final:

firewall {
    policer Database-Egress-Policer {
        if-exceeding {
            bandwidth-limit 400;
            burst-size-limit 500m;
        }
        then discard;
    }
    family inet {
        filter Database-Egress-Filter {
            term term-1 {
                from {
                    destination-address {
                        10.0.0.1/24;
                    }
                }
                then policer Database-Egress-Policer;
            }
            term term-2 {  # If required, include this term so that traffic from the database server to other destinations is allowed.
                then accept;
            }
        }
    }
]