Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konventionen

Catalyst 6500-Konfiguration

Konfiguration des Microflow Policing

Anpassen der Bandwidth Policing-Richtlinie

Whitelist-Ressourcen von Bandwidth Policing

IPv6-Microflow-Policing

Appliance-basierte (2500, 4400, 5500) Controller-Konfiguration

Modulbasierte (WiSM, WiSM2) Controller-Konfiguration

Lösungsverifizierung

Zugehörige Informationen

Einleitung

Die Bereitstellung einer Durchsatzbegrenzung für Wireless-Benutzer nach Downstream für jeden Benutzer ist auf Cisco Wireless LAN-Controllern möglich. Durch die Ergänzung der Lösung mit IOS-Microflow-Policing kann die Durchsatzbegrenzung jedoch sowohl in Upstream- als auch in Downstream-Richtung granuliert werden. Die Implementierung von Durchsatzbegrenzungen pro Benutzer reicht vom Schutz vor Bandbreitenengpässen bis hin zur Implementierung mehrstufiger Bandbreitenmodelle für den Netzwerkzugriff des Kunden. In einigen Fällen werden bestimmte Ressourcen, die von der Bandbreitenüberwachung ausgenommen sind, als Anforderung aufgeführt. Zusätzlich zur Drosselung des IPv4-Datenverkehrs der aktuellen Generation kann die Lösung die IPv6-Rate pro Benutzer begrenzen. Dies bietet Investitionsschutz.

Voraussetzungen

Anforderungen

Microflow Policing erfordert die Verwendung eines Supervisor 720 oder höher, der eine Version der Cisco IOS® Software, Version 12.2(14)SX oder höher, ausführt.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Wireless LAN-Controller

- Access Points (APs)

- Cisco Catalyst Supervisor 720 oder höher

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Catalyst 6500-Konfiguration

Konfiguration des Microflow Policing

Führen Sie diese Schritte aus:

1. Die Verwendung der Microflow Policing erfordert zunächst die Erstellung einer Zugriffskontrollliste (ACL) zur Identifizierung des Datenverkehrs, damit eine Drosselungsrichtlinie angewendet werden kann.

Hinweis: In diesem Konfigurationsbeispiel wird das Subnetz 192.168.30.x/24 für Wireless-Clients verwendet.

ip access-list extended acl-wireless-downstream

permit ip any 192.168.30.0 0.0.0.255

ip access-list extended acl-wireless-upstream

permit ip 192.168.30.0 0.0.0.255 any

2. Erstellen Sie eine Klassenzuordnung für die vorherige ACL.

class-map match-all class-wireless-downstream

match access-group name acl-wireless-downstream

class-map match-all class-wireless-upstream

match access-group name acl-wireless-upstream

3. Durch Erstellen einer Richtlinienzuordnung werden die zuvor erstellte ACL und die Klassenzuordnung mit einer bestimmten Aktion verknüpft, die auf den Datenverkehr angewendet werden soll. In diesem Fall wird der Datenverkehr in beide Richtungen auf 1 Mbit/s gedrosselt. Eine Quellflussmaske wird in der Upstream-Richtung (Client an AP) und eine Zielflussmaske in der Downstream-Richtung (AP an Client) verwendet.

policy-map police-wireless-upstream

class class-wireless-upstream

police flow mask src-only 1m 187500 conform-action transmit exceed-action drop

policy-map police-wireless-downstream

class class-wireless-downstream

police flow mask dest-only 1m 187500 conform-action transmit exceed-action drop

Weitere Informationen zum Konfigurieren der Microflow Policing finden Sie unter User-Based Rate Limiting in the Cisco Catalyst 6500.

Anpassen der Bandwidth Policing-Richtlinie

Mit der Richtlinienanweisung in der Richtlinienzuordnung werden die tatsächlichen Parameter Bandbreite (konfiguriert in Bits) und Burst-Größe (konfiguriert in Bytes) konfiguriert.

Eine gute Faustregel für die Burst-Größe ist:

Burst = (Bandwidth / 8) * 1.5

Beispiel:

Diese Leitung nutzt eine Rate von 1 Mbit/s (Bit):

police flow mask dest-only 1m 187500 conform-action transmit exceed-action drop

Diese Leitung nutzt eine Rate von 5 Mbit/s:

police flow mask dest-only 5mc 937500 conform-action transmit exceed-action drop

Whitelist-Ressourcen von Bandwidth Policing

In einigen Fällen sollten bestimmte Netzwerkressourcen von der Bandbreitenüberwachung ausgenommen werden, z. B. ein Windows Update-Server oder eine Appliance zur Statusbehebung. Neben Hosts kann Whitelisting auch verwendet werden, um ganze Subnetze von der Bandbreitenüberwachung auszunehmen.

Beispiel:

In diesem Beispiel wird der Host 192.168.20.22 bei der Kommunikation mit dem Netzwerk 192.168.30.0/24 von allen Bandbreiteneinschränkungen ausgeschlossen.

ip access-list extended acl-wireless-downstream

deny ip host 192.168.20.22 192.168.30.0 0.0.0.255

permit ip any 192.168.30.0 0.0.0.255

ip access-list extended acl-wireless-upstream

deny ip 192.168.30.0 0.0.0.255 host 192.168.20.22

permit ip 192.168.30.0 0.0.0.255 any

IPv6-Microflow-Policing

Führen Sie diese Schritte aus:

1. Fügen Sie dem Catalyst 6500 eine weitere Zugriffsliste hinzu, um den zu drosselnden IPv6-Datenverkehr zu identifizieren.

ipv6 access-list aclv6-wireless-downstream

permit ipv6 any 2001:DB8:0:30::/64

!

ipv6 access-list aclv6-wireless-upstream

permit ipv6 2001:DB8:0:30::/64 any

2. Ändern Sie die Klassenzuordnung, um die IPv6-ACL einzuschließen.

class-map match-any class-wireless-downstream

match access-group name aclv6-wireless-downstream

match access-group name acl-wireless-downstream

class-map match-any class-wireless-upstream

match access-group name aclv6-wireless-upstream

match access-group name acl-wireless-upstream

Appliance-basierte (2500, 4400, 5500) Controller-Konfiguration

Die Konfiguration ist einfach, um Microflow Policing mit einem Appliance-basierten Controller (z. B. der Serie 5508) bereitzustellen. Die Controller-Schnittstelle wird ähnlich wie jedes andere VLAN konfiguriert, während die Catalyst 6500-Service-Richtlinie auf die Controller-Schnittstelle angewendet wird.

Führen Sie diese Schritte aus:

1. Wenden Sie die Wireless-Richtlinien auf den Upstream des vom Controller eingehenden Ports an.

interface GigabitEthernet4/13

description WLC

switchport

switchport trunk allowed vlan 30

switchport mode trunk

service-policy input police-wireless-upstream

end

2. Wenden Sie Richtlinien auf die Uplink-LAN-/WAN-Ports an.

interface GigabitEthernet4/20

description WAN

switchport

switchport access vlan 20

switchport mode access

service-policy input police-wireless-downstream

end

Modulbasierte (WiSM, WiSM2) Controller-Konfiguration

Um das Microflow Policing auf dem Catalyst 6500 mit dem Wireless Service Module2 (WiSM2) zu nutzen, muss die Konfiguration so angepasst werden, dass VLAN-basierte QoS (Quality of Service) verwendet wird. Das bedeutet, dass die Microflow Policing-Richtlinie nicht direkt auf die Port-Schnittstelle angewendet wird (z. B. Gi1/0/1), sondern auf die VLAN-Schnittstelle.

Führen Sie diese Schritte aus:

1. Konfigurieren Sie das WiSM für VLAN-basierte QoS:

wism service-vlan 800

wism module 1 controller 1 allowed-vlan 30

wism module 1 controller 1 qos vlan-based

2. Wenden Sie Richtlinien auf Wireless-Upstream auf Client VLAN SVI an:

interface Vlan30

description Client-Limited

ip address 192.168.30.1 255.255.255.0

ipv6 address 2001:DB8:0:30::1/64

ipv6 enable

service-policy input police-wireless-upstream

end

3. Wenden Sie Richtlinien auf die Uplink-LAN-/WAN-Ports an.

interface GigabitEthernet4/20

description WAN

switchport

switchport access vlan 20

switchport mode access

service-policy input police-wireless-downstream

end

Lösungsverifizierung

Eine der Hauptanforderungen bei der Ratenbegrenzung pro Benutzer ist die Möglichkeit, alle Datenflüsse zu begrenzen, die von einem bestimmten Benutzer kommen und an einen bestimmten Benutzer gerichtet sind. Um sicherzustellen, dass die Microflow Policing-Lösung diese Anforderung erfüllt, wird IxChariot verwendet, um vier gleichzeitige Download-Sitzungen und vier gleichzeitige Upload-Sitzungen für einen bestimmten Benutzer zu simulieren. Dabei kann es sich um den Start einer FTP-Sitzung handeln, um das Surfen im Internet und um die Wiedergabe eines Video-Streams, während eine E-Mail mit einem großen Anhang gesendet wird, usw.

In diesem Test wird IxChariot mit dem "Throughput.scr"-Skript konfiguriert, das TCP-Datenverkehr verwendet, um die Geschwindigkeit der Verbindung mit gedrosseltem Datenverkehr zu messen. Die Microflow Policing-Lösung kann alle Datenströme auf eine Downstream-Geschwindigkeit von insgesamt 1 Mbit/s und Upstream-Geschwindigkeit von 1 Mbit/s drosseln. Darüber hinaus nutzen alle Streams etwa 25 % der verfügbaren Bandbreite (z. B. 250 Kbit/s pro Stream x 4 = 1 Mbit/s).

Hinweis: Da die Microflow Policing-Aktion auf Layer 3 ausgeführt wird, kann das Endergebnis für den TCP-Datenverkehrsdurchsatz aufgrund des Protokoll-Overheads geringer als die konfigurierte Rate sein.

Zugehörige Informationen

- Technischer Support und Dokumentation für Cisco Systeme