Ejemplo de clasificadorde múltiples campos: Configuración de la clasificación de campos múltiples

Procedimiento paso a paso

Para configurar los aplicadores de políticas para limitar la velocidad del tráfico de reenvío acelerado y reenvío asegurado:

1. Defina los límites de tráfico para el tráfico de reenvío acelerado.

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall policer ef-policer
   
   [edit firewall policer ef-policer]
   user@host# set if-exceeding bandwidth-limit 300k
   user@host# set if-exceeding burst-size-limit 50k
   user@host# set then loss-priority high
   user@host# set then forwarding-class expedited-forwarding
   

2. Configure un aplicador de políticas para el tráfico de reenvío asegurado.

   content_copy zoom_out_map

   [edit firewall policer ef-policer]
   user@host# up
    
   [edit firewall]
   user@host# edit policer af-policer
    
   [edit firewall policer af-policer]
   user@host# set if-exceeding bandwidth-limit 300k
   user@host# set if-exceeding burst-size-limit 50k
   user@host# set then loss-priority high
   user@host# set then forwarding-class assured-forwarding
   

Resultados

Confirme la configuración del aplicador de políticas introduciendo el comando de show firewall modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este procedimiento para corregir la configuración.

[edit]
user@host# show firewall
policer af-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class assured-forwarding;
    }
}
policer ef-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class expedited-forwarding;
    }
}

Procedimiento paso a paso

Para configurar un filtro de clasificación de varios campos que aplique adicionalmente la vigilancia:

1. Habilite la configuración de un término de filtro de firewall para el tráfico IPv4.

   content_copy zoom_out_map

   [edit]
   user@host# edit firewall family inet filter mfc-filter 
   

2. Configure el primer término para que coincida en las direcciones de origen y, a continuación, clasifique los paquetes coincidentes.

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term isp1-customers from source-address 10.1.1.0/24
   user@host# set term isp1-customers from source-address 10.1.2.0/24
   user@host# set term isp1-customers then loss-priority low
   user@host# set term isp1-customers then forwarding-class expedited-forwarding
   

3. Configure el segundo término para que coincida en diferentes direcciones de origen y, a continuación, examine los paquetes coincidentes.

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term isp2-customers from source-address 10.1.3.0/24
   user@host# set term isp2-customers from source-address 10.1.4.0/24
   user@host# set term isp2-customers then policer ef-policer
   

4. Configure el tercer término para vigilar todos los demás paquetes en un conjunto diferente de límites de tráfico y acciones.

   content_copy zoom_out_map

   [edit firewall family inet filter mfc-filter]
   user@host# set term other-customers then policer af-policer
   

Resultados

Confirme la configuración del filtro introduciendo el comando de show firewall modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este procedimiento para corregir la configuración.

[edit]
user@host# show firewall
family inet {
    filter mfc-filter {
        term isp1-customers {
            from {
                source-address 10.1.1.0/24;
                source-address 10.1.2.0/24;
            }
            then {
                loss-priority low;
                forwarding-class expedited-forwarding;
            }
        }
        term isp2-customers {
            from {
                source-address 10.1.3.0/24;
                source-address 10.1.4.0/24;
            }
            then {
                policer ef-policer;
            }
        }
        term other-customers {
            then {
                policer af-policer;
            }
        }
    }
}
policer af-policer {
    if-exceeding {
        bandwidth-limit 300k;
        burst-size-limit 50k;
    }
    then discard;
}
policer ef-policer {
    if-exceeding {
        bandwidth-limit 200k;
        burst-size-limit 50k;
    }
    then {
        loss-priority high;
        forwarding-class expedited-forwarding;
    }
}

Procedimiento paso a paso

Para aplicar el filtrado y la vigilancia de clasificación de varios campos a la interfaz lógica:

1. Habilite la configuración de IPv4 en la interfaz lógica.

   content_copy zoom_out_map

   [edit]
   user@host# edit interfaces ge-1/2/0 unit 0 family inet
   

2. Configure una dirección IP para la interfaz lógica.

   content_copy zoom_out_map

   [edit interfaces ge-1/2/0 unit 0 family inet ]
   user@host# set address 192.168.1.1/24
   

3. Aplique el filtro de firewall a la entrada de interfaz lógica.

   content_copy zoom_out_map

   [edit interfaces ge-1/2/0 unit 0 family inet ]
   user@host# set filter input mfc-filter
   

   Nota:

   Dado que el controlador se ejecuta antes que el filtro, si también se configura un controlador de entrada en la interfaz lógica, no puede utilizar la clase de reenvío y el PLP de un clasificador de varios campos asociado a la interfaz.

Resultados

Confirme la configuración de la interfaz introduciendo el comando de show interfaces modo de configuración. Si el resultado del comando no muestra la configuración deseada, repita las instrucciones de este procedimiento para corregir la configuración.

[edit]
user@host# show interfaces
ge-1/2/0 {
    unit 0 {
        family inet {
            filter {
                input mfc-filter;
            }
            address 192.168.1.1/24;
        }
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Propósito

Compruebe el flujo de tráfico a través de la interfaz lógica y que el aplicador de políticas se evalúa cuando se reciben paquetes en la interfaz lógica.

Acción

Utilice el comando de show firewall modo operativo para el filtro que aplicó a la interfaz lógica.

user@host> show firewall filter rate-limit-in
Filter: rate-limit-in                                          
Policers:
Name                                              Packets 
ef-policer-isp2-customers                           32863
af-policer-other-customers                           3870

El resultado del comando enumera los aplicadores aplicados por el filtro rate-limit-inde firewall y el número de paquetes que coinciden con el término del filtro.

El nombre del policía se muestra concatenado con el nombre del término del filtro de firewall en el que se hace referencia al aplicador como una acción.

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía [edit] y, luego, ingrese commit desde el modo de configuración.

Dispositivo R1

set interfaces ge-1/0/1 description to-host
set interfaces ge-1/0/1 unit 0 family inet filter input mf-classifier
set interfaces ge-1/0/1 unit 0 family inet address 172.16.50.2/30
set interfaces ge-1/0/9 description to-R2
set interfaces ge-1/0/9 unit 0 family inet address 10.30.0.1/30
set class-of-service forwarding-classes class BE-data queue-num 0
set class-of-service forwarding-classes class Premium-data queue-num 1
set class-of-service forwarding-classes class Voice queue-num 2
set class-of-service forwarding-classes class NC queue-num 3
set firewall family inet filter mf-classifier term BE-data from protocol tcp
set firewall family inet filter mf-classifier term BE-data from port 80
set firewall family inet filter mf-classifier term BE-data then forwarding-class BE-data
set firewall family inet filter mf-classifier term Premium-data from protocol tcp
set firewall family inet filter mf-classifier term Premium-data from port 12345
set firewall family inet filter mf-classifier term Premium-data then forwarding-class Premium-data
set firewall family inet filter mf-classifier term accept-all-else then accept

Dispositivo R2

set interfaces ge-1/0/9 description to-R1
set interfaces ge-1/0/9 unit 0 family inet address 10.30.0.2/30

Procedimiento paso a paso

El ejemplo siguiente requiere que navegue por varios niveles en la jerarquía de configuración. Para obtener información acerca de cómo navegar por la CLI, consulte Uso del editor de CLI en modo de configuración en la Guía del usuario de CLI de Junos OS.

Para configurar el dispositivo R1:

1. Configure las interfaces del dispositivo.

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-1/0/1 description to-host
   user@R1# set ge-1/0/1 unit 0 family inet address 172.16.50.2/30
   user@R1# set ge-1/0/9 description to-R2
   user@R1# set ge-1/0/9 unit 0 family inet address 10.30.0.1/30
   

2. Configure las clases de reenvío personalizadas y los números de cola asociados.

   content_copy zoom_out_map

   [edit class-of-service forwarding-classes]
   user@R1# set BE-data queue-num 0
   user@R1# set Premium-data queue-num 1
   user@R1# set Voice queue-num 2
   user@R1# set NC queue-num 3
   

3. Configure el término de filtro de firewall que coloca el tráfico TCP con un puerto de origen de 80 (tráfico HTTP) en la clase de reenvío de datos BE, asociada a la cola 0.

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term BE-data from protocol tcp
   user@R1# set term BE-data from port 80
   user@R1# set term BE-data then forwarding-class BE-data
   

4. Configure el término de filtro de firewall que coloca el tráfico TCP con un puerto de origen de 12345 en la clase de reenvío de datos Premium, asociada a la cola 1.

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term Premium-data from protocol tcp
   user@R1# set term Premium-data from port 12345
   user@R1# set term Premium-data then forwarding-class Premium-data
   

5. Al final del filtro de firewall, configure un término predeterminado que acepte el resto del tráfico.

   De lo contrario, se descartará todo el tráfico que llegue a la interfaz y que no sea aceptado explícitamente por el filtro del firewall.

   content_copy zoom_out_map

   [edit firewall family inet filter mf-classifier]
   user@R1# set term accept-all-else then accept
   

6. Aplique el filtro de firewall a la interfaz ge-1/0/1 como filtro de entrada.

   content_copy zoom_out_map

   [edit interfaces]
   user@R1# set ge-1/0/1 unit 0 family inet filter input mf-classifier
   

Resultados

Desde el modo de configuración, confirme la configuración introduciendo los show interfacescomandos , show class-of-service. show firewall Si el resultado no muestra la configuración deseada, repita las instrucciones en este ejemplo para corregir la configuración.

user@R1# show interfaces
ge-1/0/1 {
    description to-host;
    unit 0 {
        family inet {
            filter {
                input mf-classifier;
            }
            address 172.16.50.2/30;
        }
    }
}
ge-1/0/9 {
    description to-R2;
    unit 0 {
        family inet {
            address 10.30.0.1/30;
        }
    }
}

user@R1# show class-of-service
forwarding-classes {
    class BE-data queue-num 0;
    class Premium-data queue-num 1;
    class Voice queue-num 2;
    class NC queue-num 3;
}

user@R1# show firewall
family inet {
    filter mf-classifier {
        term BE-data {
            from {
                protocol tcp;
                port 80;
            }
            then forwarding-class BE-data;
        }
        term Premium-data {
            from {
                protocol tcp;
                port 12345;
            }
            then forwarding-class Premium-data;
        }
        term accept-all-else {
            then accept;
        }
    }
}

Cuando termine de configurar el dispositivo, ingrese commit en el modo de configuración.

Propósito

Confirme que las clases de reenvío están configuradas correctamente.

Acción

Desde el dispositivo R1, ejecute el show class-of-service forwardng-classes comando.

user@R1> show class-of-service forwarding-class

Forwarding class                       ID      Queue  Restricted queue  Fabric priority  Policing priority   SPU priority
  BE-data                               0       0          0             low                normal            low    
  Premium-data                          1       1          1             low                normal            low    
  Voice                                 2       2          2             low                normal            low    
  NC                                    3       3          3             low                normal            low  

Significado

El resultado muestra los valores del clasificador personalizado configurados.

Propósito

Asegúrese de que el tráfico de interés se envía a la cola esperada.

Acción

1. Borre las estadísticas de la interfaz en la interfaz saliente del dispositivo R1.

   content_copy zoom_out_map

   user@R1> clear interfaces statistics ge-1/0/9

2. Utilice un generador de tráfico para enviar 50 paquetes del puerto TCP 80 al dispositivo R2 o a algún otro dispositivo descendente.

3. En el dispositivo R1, compruebe los contadores de cola.

   Observe que comprueba los contadores de cola en la interfaz de salida descendente, no en la interfaz entrante.

   content_copy zoom_out_map

   user@R1> show interfaces extensive ge-1/0/9 | find "Queue counters"
   
     Queue counters:       Queued packets  Transmitted packets      Dropped packets
       0                               50                   50                    0
       1                                0                   57                    0
       2                                0                    0                    0
       3                                0                    0                    0

4. Utilice un generador de tráfico para enviar 50 paquetes del puerto TCP 12345 al dispositivo R2 o a algún otro dispositivo descendente.

   content_copy zoom_out_map

   [root@host]#  hping 172.16.60.1  -c 50 -s 12345  -k 

5. En el dispositivo R1, compruebe los contadores de cola.

   content_copy zoom_out_map

   user@R1> show interfaces extensive ge-1/0/9 | find "Queue counters"
    
     Queue counters:       Queued packets  Transmitted packets      Dropped packets
       0                               50                   50                    0
       1                               50                   57                    0
       2                                0                    0                    0
       3                                0                    0                    0

Significado

El resultado muestra que los paquetes están clasificados correctamente. Cuando se utiliza el puerto 80 en los paquetes TCP, se incrementa la cola 0. Cuando se utiliza el puerto 12345, se incrementa la cola 1.