Acciones de conteo y control específicos del prefijo

Conteo y control separados para cada intervalo de direcciones IPv4

El conteo y la vigilancia específicos del prefijo permiten configurar un término de filtro de firewall IPv4 que coincida con una dirección de origen o destino, aplique un aplicador de dos colores de velocidad única como acción de término, pero asocie el paquete coincidente con un contador específico y una instancia de policía según el origen o el destino en el encabezado del paquete. Puede crear implícitamente una instancia de contador o de policía independiente para una sola dirección o para un grupo de direcciones.

El conteo y la vigilancia específicos del prefijo usan una configuración de acción específica del prefijo que especifica el nombre del policía que desea aplicar, si se va a habilitar el conteo específico del prefijo y un intervalo de prefijos de dirección de origen o destino.

El intervalo de prefijos especifica entre 1 y 16 bits de conjunto secuencial de una máscara de dirección IPv4. La longitud del intervalo de prefijos determina el tamaño del conjunto de contadores y aplicadores, que consta de tan solo 2 o hasta 65.536 instancias de contador y policía. La posición de los bits del rango de prefijos determina la indexación de los paquetes coincidentes con filtro en el conjunto de instancias.

Para aplicar una acción específica del prefijo al tráfico en una interfaz, configure un término de filtro de firewall que coincida con las direcciones de origen o destino y, a continuación, aplique el filtro de firewall a la interfaz. El flujo de tráfico filtrado está limitado por velocidad mediante instancias de contador y aplicador específicas del prefijo que se seleccionan por paquete en función de la dirección de origen o destino en el encabezado del paquete filtrado.

Configuración de acciones específicas del prefijo

Para configurar una acción específica del prefijo, especifique la siguiente información:

• Nombre de acción específico del prefijo: nombre al que se puede hacer referencia como la acción de un término de filtro de firewall estándar IPv4 que coincide con paquetes en direcciones de origen o destino.

• Nombre del aplicador: nombre de un aplicador de dos colores de velocidad única para el que desea crear implícitamente instancias específicas de prefijo.

  Nota:

  En el caso de interfaces Ethernet agregadas, puede configurar una acción específica del prefijo que haga referencia a un controlador de interfaz lógica (también denominado aplicador de agregado). Puede hacer referencia a este tipo de acción específica del prefijo desde un filtro de firewall estándar IPv4 y, a continuación, aplicar el filtro en el nivel agregado de la interfaz.

• Opción de recuento: opción que se incluirá si desea activar contadores específicos de prefijo.

• Opción específica del filtro: opción que se incluye si desea que un solo contador y un solo conjunto de políticas se compartan entre todos los términos del filtro de firewall. Se dice que una acción específica del prefijo que funciona de esta manera funciona en modo específico del filtro. Si no habilita esta opción, la acción específica del prefijo funciona en el modo específico del término , lo que significa que se crea un conjunto de contador y aplicador independiente para cada término de filtro que hace referencia a la acción específica del prefijo.

• Longitud del prefijo de la dirección de origen: longitud del prefijo de dirección, del 0 al 32, que se utilizará con un paquete coincidente en la dirección de origen.

• Longitud del prefijo de la dirección de destino: longitud del prefijo de dirección, del 0 al 32, que se utilizará con un paquete coincidente en la dirección de destino.

• Longitud del prefijo de subred: longitud del prefijo de subred, del 0 al 32, que se va a utilizar con un paquete coincidente en la dirección de origen o de destino.

Debe configurar las longitudes de los prefijos de las direcciones de origen y destino para que sean de 1 a 16 bits más largas que la longitud del prefijo de subred. Si configura longitudes de prefijo de dirección de origen o destino para que sean más de 16 bits más allá de la longitud de prefijo de subred configurada, se produce un error cuando intenta confirmar la configuración.

Tamaño e indexación del conjunto de contadores y aplicadores

El número de acciones específicas del prefijo (contadores o policías) creadas implícitamente para una acción específica del prefijo viene determinado por la longitud del prefijo de dirección y la longitud del prefijo de subred:

1. Size of Counter and Policer Set = 2^(source-or-destination-prefix-length - subnet-prefix-length)

Tabla 1 muestra ejemplos de tamaño e indexación de conjuntos de contadores y controladores.

Longitud del prefijo de la acción y longitud del prefijo de las direcciones en paquetes filtrados

Tabla 2 Describe la relación entre la longitud del prefijo especificada en la acción específica del prefijo y la longitud del prefijo de las direcciones que coincide con el término de filtro de firewall que hace referencia a la acción específica del prefijo.

Escenario 1: Coincidencias de términos de filtro de firewall en varias direcciones

El ejemplo completo, Ejemplo: Configuración del conteo y la vigilancia específicos del prefijo, muestra el caso más simple de acciones específicas de prefijo, en el que un filtro de firewall de un solo término coincide en una dirección con una longitud de prefijo que es la misma que la longitud del prefijo de subred especificada en la acción específica del prefijo. A diferencia del ejemplo, este escenario describe una configuración en la que un filtro de firewall de término único coincide en dos direcciones de origen IPv4. Además, la condición adicional coincide en una dirección de origen con una longitud de prefijo que es diferente de la longitud del prefijo de subred definida en la acción específica del prefijo. En este caso, la condición adicional coincide en la /16 subred de la dirección 10.11.0.0de origen.

Los paquetes coincidentes con filtro que se pasan al índice de acción específico del prefijo en el contador y el conjunto de políticas de tal manera que los paquetes que contienen direcciones 10.10.10.0/24 de origen en las subredes y las instancias de conteo y 10.11.0.0/16 control se compartan de la siguiente manera:

• El primer contador y el aplicador de policía del conjunto se indexan por paquetes con direcciones 10.10.10.0 de origen y 10.11.x.0, donde x oscila 0 entre .255

• El segundo contador y el aplicador de políticas del conjunto están indexados por paquetes con direcciones 10.10.10.1 de origen y 10.11.x.1, donde x oscila 0 entre .255

• El contador 256 (último) y el aplicador de políticas del conjunto están indexados por paquetes con direcciones 10.10.10.255 de origen y 10.11.x.255, donde x oscila 0 entre .255

La siguiente configuración muestra las instrucciones para configurar el aplicador de dos colores de velocidad única, la acción específica del prefijo que hace referencia al aplicador y el filtro de firewall sin estado estándar IPv4 que hace referencia a la acción específica del prefijo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-24-32-256 {
            policer 1Mbps-policer;
            subnet-prefix-length 24;
            source-prefix-length 32;
        }
        filter limit-source-two-24-16 {
            term one {
                from {
                    source-address {
                        10.10.10.0/24;
                        10.11.0.0/16;
                    }
                }
                then prefix-action psa-1Mbps-per-source-24-32-256;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-two-24-16;
                }
                address 10.39.1.1/16;
            }
        }
    }
}

Escenario 2: El prefijo de subred es más largo que el prefijo en la condición de coincidencia de filtro

El ejemplo completo, Ejemplo: Configuración del conteo y la vigilancia específicos del prefijo, muestra el caso más simple de acciones específicas de prefijo, en las que el filtro de firewall de término único coincide en una dirección con una longitud de prefijo que es la misma que la longitud del prefijo de subred especificada en la acción específica del prefijo. A diferencia del ejemplo, este escenario describe una configuración en la que la acción específica del prefijo define una longitud de prefijo de subred que es mayor que el prefijo de la dirección de origen que coincide con el filtro de firewall. En este caso, la acción específica del prefijo define un valor de prefijo de subred de 25, mientras que el filtro del firewall coincide en una dirección de origen de la /24 subred.

Los paquetes coincidentes con filtros que se pasan al índice de acción específico del prefijo en el contador y el conjunto de políticas de tal manera que las instancias de conteo y control sean compartidas por paquetes que contienen cualquiera de las dos direcciones de origen dentro de la 10.10.10.0/24 subred:

• El primer contador y el aplicador de políticas del conjunto se indexan por paquetes con direcciones 10.10.10.0 de origen y 10.10.10.128.

• El segundo contador y el aplicador de políticas del conjunto se indexan por paquetes con direcciones 10.10.10.1 de origen y 10.10.10.129.

• El contador 128 (último) y el aplicador de políticas del conjunto están indexados por paquetes con direcciones 10.10.10.127 de origen y 10.10.10.255.

La siguiente configuración muestra las instrucciones para configurar el aplicador de dos colores de velocidad única, la acción específica del prefijo que hace referencia al aplicador y el filtro de firewall sin estado estándar IPv4 que hace referencia a la acción específica del prefijo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-25-32-128 {
            policer 1Mbps-policer;
            subnet-prefix-length 25;
            source-prefix-length 32;
        }
        filter limit-source-one-24 {
            term one {
                from {
                    source-address {
                        10.10.10.0/24;
                    }
                }
                then prefix-action psa-1Mbps-per-source-25-32-128;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-one-24;
                }
                address 10.39.1.1/16;
            }
        }
    }
}

Escenario 3: SubredEl prefijo contador y policía número 128 es más corto que el prefijo de la condición de coincidencia de filtro de firewall

El ejemplo completo, Ejemplo: Configuración del conteo y la vigilancia específicos del prefijo, muestra el caso más simple de acciones específicas de prefijo, en las que el filtro de firewall de término único coincide en una dirección con una longitud de prefijo que es la misma que la longitud del prefijo de subred especificada en la acción específica del prefijo. A diferencia del ejemplo, este escenario describe una configuración en la que la acción específica del prefijo define una longitud de prefijo de subred que es más corta que el prefijo de la dirección de origen que coincide con el filtro de firewall. En este caso, el término de filtro coincide en la /25 subred de la dirección 10.10.10.0de origen.

Los paquetes coincidentes que se pasan al índice de acción específico del prefijo solo en la mitad inferior del conjunto de contador y aplicador de policía:

• El primer contador y aplicador de políticas del conjunto se indexan por paquetes con dirección 10.10.10.0de origen.

• El segundo contador y el aplicador de políticas del conjunto se indexan por paquetes con dirección 10.10.10.1 de origen y 10.10.10.129.

• El contador 128 y el aplicador de políticas del conjunto están indexados por paquetes con dirección 10.10.10.127de origen.

• La mitad superior del conjunto (instancias numeradas del 128 al 255) no se indexan mediante paquetes pasados a la acción específica del prefijo desde este filtro de firewall en particular.

La siguiente configuración muestra las instrucciones para configurar el aplicador de dos colores de velocidad única, la acción específica del prefijo que hace referencia al aplicador y el filtro de firewall sin estado estándar IPv4 que hace referencia a la acción específica del prefijo:

[edit]
firewall {
    policer 1Mbps-policer {
        if-exceeding {
            bandwidth-limit 1m;
            burst-size-limit 63k;
        }
        then discard;
    }
    family inet {
        prefix-action psa-1Mbps-per-source-24-32-256 {
            policer 1Mbps-policer;
            subnet-prefix-length 24;
            source-prefix-length 32;
        }
        filter limit-source-one-25 {
            term one {
                from {
                    source-address {
                        10.10.10.0/25;
                    }
                }
                then prefix-action psa-1Mbps-per-source-24-32-256;
            }
        }
    }
}
interfaces {
    so-0/0/2 {
        unit 0 {
            family inet {
                filter {
                    input limit-source-one-25;
                }
                address 10.39.1.1/16;
            }
        }
    }
}