Cisco CAR 實現方法和機制

一、什麼是CAR
CAR是Committed Access Rate的簡寫,意思是:承諾訪問速率。
1.CAR的作用
CAR主要有兩個作用:對一個端口或子端口(subinterface)的進出流量速率按某個標準上限進行限制;對流量進行分類,劃分出不同的QoS優先級。
2.CAR的適用範圍
CAR只能對IP包起作用,對非IP流量不能進行限制,另外CAR只能在支持CEF交換(Cisco Express Forward)的路由器或交換機上使用。所以只有Cisco 2600系列以上的型號纔可以使用CAR。以下這些interface上也不能使用CAR:
Fast EtherChannel interface
Tunnel Interface
PRI interface
3.CAR的運作機制
CAR可以看成是數據包分類識別(packet classification)和流量控制(access rate limiting)的結合。其工作流程可以從下圖指出:
第一步的Traffic Matching是首先從數據流中識別出感興趣的流量。所謂感興趣的流量,是指用戶希望對其進行流量控制的數據包類型。用戶可以選擇以下幾種不同的方式來進行流量識別:
(1)全部的IP流量,這樣可以把所有的IP流量採用統一的流量控制策略。
(2)基於IP前綴,此種方式是通過rate-limit access list來定義的。
(3)QoS 分組
(4)MAC地址,此種方式通過rate-limit  access list來定義。
(5)IP access list,可通過standard或extended access list來定義。
在第一步採用上述方法識別到了感興趣的流量後,進行第二步的流量衡量(traffic measurement)。CAR採用一種名爲token bucket的機制來進行流量衡量。見下圖:
圖中的token可以看成是第一步的traffic matching所識別到的感興趣流量,該種流量的數據包進入一個bucket(桶)內,該bucket的深度則由用戶定義,在進入該token bucket後,以用戶希望控制的流量速率(此流量速率並非該類流量的實際速率,而是用戶希望該類流量的速率上限)離開該bucket,執行下一部操作(conform action)。在這裏,對於實際流量速率的不同,可以看到會有兩種情況發生:
(1)實際流量小於或等於用戶希望速率,這樣,明顯地,token離開bucket的實際速率將和其來到的速率一樣,bucket內可以看作是空的。流量不會超過用戶的希望值。
(2)實際流量大於用戶希望速率。這樣,token進入bucket的速率比其離開bucket的速率快,這樣在一段時間內,token將填滿該bucket,繼續到來的token將溢出(excess)bucket,則CAR採取相應的動作(一般是丟棄或將其IP前綴改變以改變該token的優先級)。這樣就保證了數據流量速率保證在用戶定義的希望值內。
二、如何配置CAR
一般來說,CAR比較適合部署在網絡的邊緣部分,我們的一般做法也是在分關路由器上部署CAR。配置CAR主要包括以下幾部分:
1.確定“感興趣”的流量類型,主要通過下列方式確定:
(1)所有的IP流量
(2)基於IP前綴
(3)基於QoS分組
(4)基於MAC地址
(5)基於standard或extended的IP access list
一般最常用的是第五種方式。用戶可以使用standard ip access list來確定哪些進行訪問(被訪問)的IP的流量需要進行rate-limit,也可以用extended ip access list來確定哪些訪問(被訪問)的IP的協議類型流量(如HTTP,FTP)需要進行rate-limit。例如我們想限制用戶到內部網站上瀏覽網頁的速度,則可以採用如下的access list來定義流量:
access-list 101 permit tcp any eq www any
這裏值得注意的一點是在配置時要配成any eq www any而不是any any eq www。因爲主要的流量不是用戶向http server發送的請求(這類請求流量的源端口號爲隨機,目的端口號爲80),而是http server收到用戶的請求後發給用戶方的網頁內容的流量(這部分流量的源端口號爲80,目的端口號爲發起方的端口號),如果在這個小細節上不加註意則不能對下載的流量進行有效的限制。
2.在相應的端口配置rate-limit:
一般的寫法是:
interface X
rate-limit {input|output} [access-group number ] bps burst-normal burst-max conform-action action exceed-action action
命令解釋如下:
interface: 用戶希望進行流量控制的端口,可以是Ethernet也可以是serial口,但是不同類型的interface在下面的input output上選擇有所不同,需要注意一下。
Input|output:用戶希望限制輸入或輸出的流量。還是以限制瀏覽網頁爲例子,如果在以太網端口配置,則該流量爲output;如果在serial端口配置,則該流量爲input。
Access-group number: number是前面用戶用access list定義流量的access list號碼。
Bps:用戶希望該流量的速率上限,單位是bps。
Burst-normal burst-max:這個是指token bucket的大小,一般採用8000,16000,32000這些值,視乎bps值的大小而定。
Conform-action :在速率限制以下的流量的處理策略。
Exceed-action:超過速率限制的流量的處理策略。
Action:處理策略,包括以下幾種:
  • Transmit:傳輸
  • Drop:丟棄
  • Set precedence and transmit:修改IP前綴然後傳輸
  • Set QoS group and transmit:將該流量劃入一個QoS group內傳輸
  • Continue:不動作,看下一條rate-limit命令中有無流量匹配和處理策略,如無,則transmit
  • Set precedence and continue:修改IP前綴然後continue
  • Set QoS group and continue:劃入QoS group然後continue
這裏需要指出的是,在一個interface內,可以配置多條rate-limit命令,如果action裏面有continue,則順序執行下一條rate-limit命令,若某種流量在continue之後沒有被某條rate-limit命令丟棄,則它將進行傳輸。一個端口最多可配20條rate-limit命令。
那麼對於我們進行http限制的例子,相應的配置爲:
interface e0
rate-limit output access-group 101 128000 16000 16000 conform-action transmit exceed-action drop
這裏我們把下載的流量定義在128Kbps,token bucket的大小爲16000字節。如果把token bucket定得太小(如4000),則用戶端的速率將顯得不夠平滑。
三、如何檢查CAR是否在相應端口起了作用
採用命令show interface XX rate-limit可以檢查端口XX的CAR實際效果,見如下實例:
Fddi2/1/0
Input
matches: access-group 101
params: 80000000 bps, 72000 limit, 72000 extended limit
conformed 0 packets, 0 bytes; action: set-prec-transmit 5
exceeded 0 packets, 0 bytes; action: set-prec-transmit 0
last packet: 4738036ms ago, current burst: 0 bytes
last cleared 01:02:05 ago, conformed 0 bps, exceeded 0 bps
matches: all traffic
params: 50000000 bps, 64000 limit, 64000 extended limit
conformed 0 packets, 0 bytes; action: set-prec-transmit 5
exceeded 0 packets, 0 bytes; action: set-prec-transmit 0
last packet: 4738036ms ago, current burst: 0 bytes
last cleared 01:00:22 ago, conformed 0 bps, exceeded 0 bps
Output
matches: all traffic
params: 80000000 bps, 80000 limit, 80000 extended limit
conformed 0 packets, 0 bytes; action: transmit
exceeded 0 packets, 0 bytes; action: drop
last packet: 4809528ms ago, current burst: 0 bytes
last cleared 00:59:42 ago, conformed 0 bps, exceeded 0 bps
這裏解釋一下show interface rate-limit看到的結果。
Matches是表示該interface配置的traffic matching規則,有多個matches表示該interface配置了多條rate-limit命令,採用了多條matching規則。下面的params表示該規則定義的各項參數,xxx bps表示設定速率值,limit和extended limit表示token bucket的容量。Conformed x packets,y bytes表示對速率限制內的包數量和字節數,action表示對符合規則的包採用的處理方式;exceeded x packets這行也類似地是表示對超過速率限制的包的數量和字節數,action是其處理方式。下面的last packet是表示最新的到來數據包的是多久前到達的,current burst是當前token bucket內的數據大小,last cleared是最近一次清記數器到現在的時間,conform x bps表示速率限制內的包的實際流量速率,exceed y bps 表示超過部分的速率。
我們可以用這條命令檢查我們配置CAR的實際效果,如果發現沒有conform的流量,則一般情況下是traffic matching的規則設置有問題,又或者是在interface上的input output設得不正確。
四、CAR的其他用途
CAR除了可以象我們提供的範例所示來限制某種流量的速率之外,還可以用來抵擋某些類型的網絡***。
DOS網絡***的一個特徵是網絡中會充斥着大量帶有非法源地址的ICMP包,我們可以通過在路由器上對ICMP包通過配置CAR來設置速率上限的方法來保護網絡。
範例如下:
interface xy
rate-limit output access-group 2020 3000000 80000 80000 conform-action transmit exceed-action drop
access-list 2020 permit icmp any any echo-reply
這樣可以限制ICMP包的轉發速率和大小,減少對網絡和主機造成的破壞。
 
注:在CAR裏面會用到access-list rate-limit xx mask 0-FF (00表示不匹配任意precedence,FF表示匹配任意precedence),它的作用是通過使用掩碼來匹配被設置了優先權(0~7)的包,其使用方法有這麼幾個步驟:
一:Decide which precedence's you want to assign to this rate-limit access list(決定你要分配給rate-limit ACL的precedence)
二:Convert the precedence's into an 8-bit numbers with each bit corresponding to one
precedence. For example, an IP precedence of 0 corresponds to 00000001, 1 corresponds
to 00000010, 6 corresponds to 01000000, and 7 corresponds to 10000000.(把precedence轉換成一個8位數,每一位都對應一個precedence值,如:precedence0 對應00000001,precedence1對應00000010,precedence6對應01000000,precedence7對應10000000,仔細看不難發現其規律)
三: Add the 8-bit numbers for the selected precedence's together. For example, the
mask for precedence's 1 and 6 is 01000010.(把相應的precedence值0~7加到一起組成8位數如:1:00000010+6:01000000=01000010)
四:Convert the binary mark into the corresponding hexadecimal number.(把得到的二進制數轉換成相應的十六進制數,如:01000010=0x42)不知道大家明白沒有這裏我把原文貼出來共享:
Use the mask keyword to assign multiple IP precedence's to the same rate-limit list. To
determine the mask value, perform the following steps:
Step 1 Decide which precedence's you want to assign to this rate-limit access list.
Step 2 Convert the precedence's into an 8-bit numbers with each bit corresponding to one
precedence. For example, an IP precedence of 0 corresponds to 00000001, 1 corresponds
to 00000010, 6 corresponds to 01000000, and 7 corresponds to 10000000.
Step 3 Add the 8-bit numbers for the selected precedence's together. For example, the
mask for precedence's 1 and 6 is 01000010.
Step 4 Convert the binary mark into the corresponding hexadecimal number. For
example, 01000010 becomes 0x42. This value is used in the access-list rate-limit
command. Any packets that have an IP precedence of 1 or 6 will match this access list. A
mask of FF matches any precedence, and 00 does not match any precedence.
In this example, a mask of 07 translates to 00000111, so IP precedence 0, 1, and 2 will be
policed.

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章