Konfigurationsbeispiel für die Bandbreitenverwaltung des VPN 3000 Concentrator

Einführung

In diesem Dokument werden die erforderlichen Schritte zur Konfiguration der Bandbreitenmanagementfunktion im Cisco VPN 3000 Concentrator für folgende Aufgaben beschrieben:

• Site-to-Site (LAN-to-LAN)-VPN-Tunnel

• VPN-Tunnel für Remote-Zugriff

Hinweis: Bevor Sie Remote-Zugriff oder Site-to-Site-VPN-Tunnel konfigurieren, müssen Sie zuerst eine Standardbandbreitenrichtlinie für den VPN 3000-Concentrator konfigurieren.

Es gibt zwei Elemente des Bandbreitenmanagements:

• Bandwidth Policing (Bandbreitenüberwachung): Limitiert die maximale Rate für getunnelten Datenverkehr. Der VPN Concentrator überträgt den eingehenden Datenverkehr unter diese Rate und verwirft den Datenverkehr, der diese Rate überschreitet.

• Bandbreitenreservierung - Legt eine Mindestbandbreite für getunnelten Datenverkehr beiseite. Mit dem Bandbreitenmanagement können Sie Gruppen und Benutzern Bandbreite gerecht zuweisen. Dadurch wird verhindert, dass bestimmte Gruppen oder Benutzer den Großteil der Bandbreite beanspruchen.

Das Bandbreitenmanagement gilt nur für getunnelten Datenverkehr (Layer 2 Tunnel Protocol [L2TP], Point to Point Tunneling Protocol [PPTP], IPSec) und wird meist auf die öffentliche Schnittstelle angewendet.

Die Funktion Bandbreitenmanagement bietet administrative Vorteile für den Remote-Zugriff und Site-to-Site-VPN-Verbindungen. Die VPN-Tunnel für den Remote-Zugriff verwenden Bandwidth Policing, sodass Breitbandbenutzer nicht die gesamte Bandbreite nutzen. Umgekehrt kann der Administrator die Bandbreitenreservierung für Site-to-Site-Tunnel konfigurieren, um jedem Remote-Standort eine Mindestbandbreite zu garantieren.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

• Cisco VPN 3000 Concentrator mit Software-Versionen 4.1.x und höher

Hinweis: Die Funktion Bandbreitenmanagement wurde in Version 3.6 eingeführt.

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions.

Konfigurieren einer Standard-Bandbreitenrichtlinie für den VPN 3000-Konzentrator

Bevor Sie die Bandbreitenverwaltung in den LAN-zu-LAN-Tunneln oder in den Remote-Zugriffstunneln konfigurieren können, müssen Sie die Bandbreitenverwaltung auf der öffentlichen Schnittstelle aktivieren. In dieser Beispielkonfiguration wird eine Standardbandbreitenrichtlinie konfiguriert. Diese Standardrichtlinie wird auf Benutzer/Tunnel angewendet, für die keine Bandbreitenmanagementrichtlinie auf die Gruppe angewendet wurde, der sie im VPN-Concentrator angehören.

1. Um eine Richtlinie zu konfigurieren, wählen Sie Konfiguration > Richtlinienmanagement > Datenverkehrsmanagement > Bandbreitenrichtlinien aus, und klicken Sie auf Hinzufügen.

   

   Nachdem Sie auf Hinzufügen geklickt haben, wird das Fenster Ändern angezeigt.

   

2. Legen Sie diese Parameter im Fenster Ändern fest.

   • Policy Name (Richtlinienname): Geben Sie einen eindeutigen Richtliniennamen ein, mit dem Sie sich die Richtlinie merken können. Die maximale Länge beträgt 32 Zeichen. In diesem Beispiel wird der Name 'Default' als Richtlinienname konfiguriert.

   • Bandbreitenreservierung - Aktivieren Sie das Kontrollkästchen Bandbreitenreservierung, um eine Mindestbandbreite für jede Sitzung zu reservieren. In diesem Beispiel ist 56 Kbit/s Bandbreite für alle VPN-Benutzer reserviert, die nicht zu einer Gruppe gehören, für die das Bandbreitenmanagement konfiguriert ist.

   • Policing: Aktivieren Sie das Kontrollkästchen Policing, um die Richtlinienvergabe zu aktivieren. Geben Sie einen Wert für die Policing-Rate ein, und wählen Sie die Maßeinheit aus. Der VPN Concentrator überträgt Datenverkehr, der sich unterhalb der Regelungsrate bewegt, und verwirft den gesamten Datenverkehr, der über die Regelungsrate hinausgeht. 96 Kbit/s sind für das Bandwidth Policing konfiguriert. Die normale Burst-Größe ist die Menge an momentantem Burst, die der VPN Concentrator jederzeit senden kann. Verwenden Sie folgende Formel, um die Burst-Größe festzulegen:

     (Policing Rate/8) * 1.5

     Mit dieser Formel beträgt die Burst Rate 18.000 Byte.

3. Klicken Sie auf Übernehmen.

4. Wählen Sie Konfiguration > Schnittstellen > Öffentliche Schnittstelle, und klicken Sie auf die Registerkarte Bandbreite, um die Standardbandbreitenrichtlinie auf eine Schnittstelle anzuwenden.

5. Aktivieren Sie die Option Bandbreitenverwaltung.

6. Geben Sie die Verbindungsrate an.

   Die Verbindungsrate ist die Geschwindigkeit der Netzwerkverbindung über das Internet. In diesem Beispiel wird eine T1-Verbindung zum Internet verwendet. Folglich ist 1544 Kbit/s die konfigurierte Verbindungsrate.

7. Wählen Sie eine Richtlinie aus der Dropdown-Liste Bandbreitenrichtlinie aus.

   Die Standardrichtlinie wurde für diese Schnittstelle zuvor konfiguriert. Die hier angewendete Richtlinie ist eine Standardbandbreitenrichtlinie für alle Benutzer dieser Schnittstelle. Diese Richtlinie wird auf Benutzer angewendet, für die keine Bandbreitenmanagementrichtlinie auf ihre Gruppe angewendet wurde.

   

Konfigurieren der Bandbreitenverwaltung für Site-to-Site-Tunnel

Führen Sie diese Schritte aus, um die Bandbreitenverwaltung für Site-to-Site-Tunnel zu konfigurieren.

1. Wählen Sie Konfiguration > Richtlinienmanagement > Datenverkehrsmanagement > Bandbreitenrichtlinien aus, und klicken Sie auf Hinzufügen, um eine neue LAN-zu-LAN-Bandbreitenrichtlinie zu definieren.

   In diesem Beispiel wurde eine Richtlinie namens "L2L_tunnel" mit einer Bandbreitenreservierung von 256 Kbit/s konfiguriert.

   

2. Wenden Sie die Bandbreitenrichtlinie auf den vorhandenen LAN-to-LAN-Tunnel im Dropdown-Menü Bandwidth Policy (Bandbreitenrichtlinie) an.

   

Konfigurieren der Bandbreitenverwaltung für Remote-VPN-Tunnel

Führen Sie diese Schritte aus, um die Bandbreitenverwaltung für Remote-VPN-Tunnel zu konfigurieren.

1. Wählen Sie Konfiguration > Richtlinienmanagement > Datenverkehrsmanagement > Bandbreitenrichtlinien aus, und klicken Sie auf Hinzufügen, um eine neue Bandbreitenrichtlinie zu erstellen.

   In diesem Beispiel wird eine Richtlinie mit dem Namen "RA_tunnels" mit einer Bandbreitenreservierung von 8 Kbit/s konfiguriert. Das Traffic-Policing wird mit einer Regelungsrate von 128 Kbit/s und einer Burst-Größe von 24.000 Byte konfiguriert.

   

2. Um die Bandbreitenrichtlinie auf eine VPN-Gruppe für den Remote-Zugriff anzuwenden, wählen Sie Konfiguration > Benutzerverwaltung > Gruppen aus, wählen Sie Ihre Gruppe aus, und klicken Sie auf Bandbreitenrichtlinien zuweisen.

   

3. Klicken Sie auf die Schnittstelle, auf der Sie die Bandbreitenverwaltung für diese Gruppe konfigurieren möchten.

   In diesem Beispiel ist "Ethernet2 (Public)" die ausgewählte Schnittstelle für die Gruppe. Um eine Bandbreitenrichtlinie auf eine Gruppe einer Schnittstelle anzuwenden, muss die Bandbreitenverwaltung auf dieser Schnittstelle aktiviert sein. Wenn Sie eine Schnittstelle auswählen, auf der die Bandbreitenverwaltung deaktiviert ist, wird eine Warnmeldung angezeigt.

   

4. Wählen Sie die Bandbreitenrichtlinie für die VPN-Gruppe für diese Schnittstelle aus.

   Die zuvor definierte RA_tunnels-Richtlinie wird für diese Gruppe ausgewählt. Geben Sie einen Wert für die Mindestbandbreite ein, die für diese Gruppe reserviert werden soll. Der Standardwert für die Bandbreitenaggregation ist 0. Die Standardmesseinheit ist bps. Wenn die Gruppe die verfügbare Bandbreite der Schnittstelle gemeinsam nutzen soll, geben Sie 0 ein.

   

Überprüfen

Wählen Sie Monitoring > Statistics > Bandwidth Management im VPN 3000 Concentrator aus, um das Bandbreitenmanagement zu überwachen.

Fehlerbehebung

Um Probleme zu beheben, während die Bandbreitenverwaltung im VPN 3000-Konzentrator implementiert ist, aktivieren Sie die folgenden beiden Ereignisklassen unter Configuration > System > Events > Classes:

• BMGT (mit "Severity to Log" (Zu protokollierender Schweregrad): 1-9)

• BMGTDBG (Protokollschweregrad: 1-9)

Dies sind einige der häufigsten Ereignisprotokollmeldungen:

• Die Fehlermeldung Aggregate Reservation wird bei Änderung einer Bandbreitenrichtlinie in den Protokollen angezeigt.

  1 08/14/2002 10:03:10.840 SEV=4 BMGT/47 RPT=2 
  The Policy [ RA_tunnels ] with Reservation [ 8000 bps ] being 
  applied to Group [ipsecgroup ] on Interrface [ 2 ] exceeds 
  the Aggregate Reservation [ 0 bps ] configured for that group.

  Wenn diese Fehlermeldung angezeigt wird, kehren Sie zu den Gruppeneinstellungen zurück, und deaktivieren Sie die Anwendung der Richtlinie 'RA_tunnel' aus der Gruppe. Bearbeiten Sie den 'RA_tunnel' mit den richtigen Werten, und wenden Sie die Richtlinie dann wieder auf die spezifische Gruppe an.

• Schnittstellenbandbreite kann nicht gefunden werden.

  11 08/14/2002 13:03:58.040 SEV=4 BMGTDBG/56 RPT=1 
  Could not find interface bandwidth policy 0 for group 1 interface 2.

  Sie erhalten diesen Fehler möglicherweise, wenn die Bandbreitenrichtlinie auf der Schnittstelle nicht aktiviert ist und Sie versuchen, sie auf den LAN-to-LAN-Tunnel anzuwenden. In diesem Fall wenden Sie eine Richtlinie auf die öffentliche Schnittstelle an, wie im Abschnitt Konfigurieren einer Standard-Bandbreitenrichtlinie für den VPN 3000-Konzentrator beschrieben.

Zugehörige Informationen

• Support-Seite für Cisco VPN Concentrator der Serie 3000
• Cisco VPN Client Support-Seite der Serie 3000
• IPSec-Support-Seite
• Technischer Support - Cisco Systems