L’ASA prend en charge les fonctionnalités QoS suivantes :

• Régulation : pour éviter que le trafic classé ne monopolise la bande passante du réseau, vous pouvez limiter la bande passante maximale utilisée par classe. Consultez Police pour de plus amples renseignements.

• Mise en file prioritaire : pour le trafic critique qui ne peut pas tolérer la latence, comme la voix sur IP (VoIP), vous pouvez identifier le trafic pour la mise en file d’attente à faible latence (LLQ) afin qu’il soit toujours transmis avant les autres trafics. Consultez File d’attente prioritaire.

Un compartiment à jetons est utilisé pour gérer un mécanisme qui régule les données dans un flux, par exemple un contrôleur de trafic. Un compartiment de jetons n’a pas de politique de suppression ou de priorité. Au contraire, un compartiment à jetons rejette les jetons et laisse au flux le soin de gérer sa file d’attente de transmission si le flux surcharge le régulateur.

Un compartiment à jetons est une définition formelle d’un débit de transfert. Il comporte trois composants : une taille de rafale, un débit moyen et un intervalle de temps. Bien que le débit moyen soit généralement représenté sous forme de bits par seconde, deux valeurs peuvent être dérivées de la troisième par la relation indiquée comme suit :

débit moyen = taille de rafale/intervalle de temps

Voici quelques définitions de ces termes :

• Débit moyen : également appelé débit d’information validé (CIR), il spécifie la quantité de données qui peut être envoyée ou transmise par unité de temps en moyenne.

• Taille de la rafale : également appelée taille de rafale validée (Bc), elle spécifie en octets par rafale la quantité de trafic qui peut être envoyée dans une unité de temps donnée pour ne pas créer de problèmes de planification.

• Intervalle de temps : également appelé intervalle de mesure, il spécifie le quantum de temps en secondes par rafale.

Dans la métaphore du compartiment à jetons, les jetons sont placés dans le compartiment à un certain débit. Le compartiment lui-même a une capacité spécifiée. Si le compartiment se remplit à sa capacité, les jetons nouvellement entrants sont rejetés. Chaque jeton est l’autorisation pour la source d’envoyer un certain nombre de bits dans le réseau. Pour envoyer un paquet, le régulateur doit supprimer du compartiment un nombre de jetons égal en représentation à la taille du paquet.

S’il n’y a pas assez de jetons dans le compartiment pour envoyer un paquet, le paquet attend jusqu’à ce que le paquet soit rejeté ou marqué. Si le compartiment est déjà plein de jetons, les jetons entrants débordent et ne sont pas disponibles pour les futurs paquets. Ainsi, à tout moment, la plus grande rafale qu’une source peut envoyer dans le réseau est à peu près proportionnelle à la taille du compartiment.

La régulation est un moyen de s’assurer que le trafic ne dépasse pas le débit maximal (en bits/seconde) que vous avez configuré, garantissant ainsi qu’aucune classe de trafic ne peut prendre le contrôle de toute la ressource. Lorsque le trafic dépasse le débit maximal, l'ASA abandonne le trafic excédentaire. La régulation définit également la plus grande rafale de trafic autorisée.

La mise en file d’attente prioritaire LLQ vous permet de hiérarchiser certains flux de trafic (comme le trafic sensible à la latence comme la voix et la vidéo) avant d’autres trafics. La mise en file d’attente prioritaire utilise une file d’attente de priorité LLQ sur une interface (voir Configurer la file d’attente prioritaire pour une interface), tandis que tout autre trafic passe dans la file d’attente « au mieux ». Comme les files d’attente ne sont pas de capacité infinie, elles peuvent atteindre leur capacité maximale et déborder. Lorsqu’une file d’attente est remplie, tous les paquets supplémentaires ne peuvent pas entrer dans la file d’attente et sont abandonnés. C’est ce qu’on appelle abandon de file d’attente. Pour éviter que la file d’attente ne se remplisse, vous pouvez augmenter la taille du tampon de file d’attente. Vous pouvez également affiner le nombre maximal de paquets autorisés dans la file d’attente de transmission. Ces options vous permettent de contrôler la latence et la robustesse de la mise en file d’attente prioritaire. Les paquets dans la file d’attente LLQ sont toujours transmis avant les paquets dans la file d’attente au mieux.

Vous pouvez configurer chacune des fonctionnalités QoS seule si vous le souhaitez pour l’ASA. Souvent, cependant, vous configurez plusieurs fonctionnalités QoS sur l’ASA afin de pouvoir hiérarchiser certains trafics, par exemple, et empêcher d’autres trafics de provoquer des problèmes de bande passante. Vous pouvez configurer :

Mise en file prioritaire (pour un trafic spécifique) + régulation (pour le reste du trafic).

Vous ne pouvez pas configurer la mise en file d’attente prioritaire et la régulation pour le même ensemble de trafic.

Les marquages DSCP (DiffServ) sont conservés sur tout le trafic passant par l’ASA. L’ASA ne marque/remarque pas localement le trafic classé. Par exemple, vous pourriez désactiver les bits DSCP de transfert accéléré (EF) de chaque paquet pour déterminer s’il nécessite un traitement « priorité » et faire en sorte que l’ASA dirige ces paquets vers le LLQ.

Pour afficher les statistiques QoS pour la régulation du trafic, utilisez la commande show service-policy police .

hostname# show service-policy police

Global policy:
	Service-policy: global_fw_policy

Interface outside:
	Service-policy: qos
		Class-map: browse
			police Interface outside:
				cir 56000 bps, bc 10500 bytes
				conformed 10065 packets, 12621510 bytes; actions: transmit
				exceeded 499 packets, 625146 bytes; actions: drop
				conformed 5600 bps, exceed 5016 bps
		Class-map: cmap2
			police Interface outside:
				cir 200000 bps, bc 37500 bytes
				conformed 17179 packets, 20614800 bytes; actions: transmit
				exceeded 617 packets, 770718 bytes; actions: drop
				conformed 198785 bps, exceed 2303 bps

Pour afficher les statistiques des politiques de service qui mettent en œuvre la commande priority , utilisez la commande show service-policy priority.

hostname# show service-policy priority
Global policy:
	Service-policy: global_fw_policy
Interface outside:
	Service-policy: qos
		Class-map: TG1-voice
			Priority:
				Interface outside: aggregate drop 0, aggregate transmit 9383

« Aggregate drop » (abandon agrégé) désigne l’abandon agrégé dans cette interface; « Aggregate transmit » (transmission agrégée) désigne le nombre agrégé de paquets transmis dans cette interface.

Pour afficher les statistiques de file d’attente prioritaire pour une interface, utilisez la commande show priority-queue statistics . Les résultats affichent les statistiques de la file d’attente best-effort (BE) et de la file d’attente à faible latence (LLQ). L’exemple suivant montre l’utilisation de la commande show priority-queue statistics pour l’interface nommée test.

hostname# show priority-queue statistics test

Priority-Queue Statistics interface test

Queue Type        = BE
Packets Dropped   = 0
Packets Transmit  = 0
Packets Enqueued  = 0
Current Q Length  = 0
Max Q Length      = 0

Queue Type        = LLQ
Packets Dropped   = 0
Packets Transmit  = 0
Packets Enqueued  = 0
Current Q Length  = 0
Max Q Length      = 0
hostname#

Dans ce rapport statistique :

• « Paquets abandonnés » désigne le nombre total de paquets qui ont été abandonnés dans cette file d’attente.

• « Paquets transmis » désigne le nombre total de paquets qui ont été transmis dans cette file d’attente.

• « Paquets mis en file d’attente » désigne le nombre total de paquets qui ont été mis en file d’attente dans cette file d’attente.

• La « Longueur actuelle de la file d’attente » désigne la profondeur actuelle de cette file d’attente.

• La « Longueur maximale de la file d’attente » désigne la profondeur maximale jamais enregistrée dans cette file d’attente.

Dans l’exemple suivant, la commande class-map classe tout le trafic TCP non tunnelisé à l’aide d’une liste de contrôle d’accès nommée tcp_traffic :

hostname(config)# access-list tcp_traffic permit tcp any any
hostname(config)# class-map tcp_traffic
hostname(config-cmap)# match access-list tcp_traffic

Dans l’exemple suivant, d’autres critères de correspondance plus spécifiques sont utilisés pour classer le trafic vers des groupes de tunnels spécifiques liés à la sécurité. Ces critères de correspondance spécifiques précisent qu’une correspondance sur un groupe de tunnels (dans ce cas, Tunnel-Group-1, défini précédemment) est requise comme première caractéristique de correspondance pour classer le trafic pour un tunnel spécifique et qu’elle permet une ligne de correspondance supplémentaire pour classer le trafic (point de code de services différenciés IP, transfert accéléré).

hostname(config)# class-map TG1-voice
hostname(config-cmap)# match tunnel-group tunnel-grp1
hostname(config-cmap)# match dscp ef

Dans l’exemple suivant, la commande class-map classe le trafic tunnelisé et non tunnelisé en fonction du type de trafic :

hostname(config)# access-list tunneled extended permit ip 10.10.34.0 255.255.255.0
192.168.10.0 255.255.255.0
hostname(config)# access-list non-tunneled extended permit tcp any any
hostname(config)# tunnel-group tunnel-grp1 type IPsec_L2L

hostname(config)# class-map browse
hostname(config-cmap)# description "This class-map matches all non-tunneled tcp traffic."
hostname(config-cmap)# match access-list non-tunneled

hostname(config-cmap)# class-map TG1-voice
hostname(config-cmap)# description "This class-map matches all dscp ef traffic for
tunnel-grp 1."
hostname(config-cmap)# match dscp ef
hostname(config-cmap)# match tunnel-group tunnel-grp1

hostname(config-cmap)# class-map TG1-BestEffort
hostname(config-cmap)# description "This class-map matches all best-effort traffic for
tunnel-grp1."
hostname(config-cmap)# match tunnel-group tunnel-grp1
hostname(config-cmap)# match flow ip destination-address

L’exemple suivant montre une façon de réguler le trafic dans un tunnel, à condition que le trafic classé ne soit pas spécifié comme un tunnel, mais passe par le tunnel. Dans cet exemple, 192.168.10.10 est l’adresse de la machine hôte du côté privé du tunnel distant, et l’ACL est nommée « host-over-l2l ». En créant une carte de trafic (nommée « host-specific »), vous pouvez ensuite réguler la classe « host-specific » avant que la connexion LAN à LAN ne régule le tunnel. Dans cet exemple, le trafic « host-specific » est limité en débit avant le tunnel, puis le tunnel est limité en débit :

hostname(config)# access-list host-over-l2l extended permit ip any host 192.168.10.10
hostname(config)# class-map host-specific
hostname(config-cmap)# match access-list host-over-l2l

L’exemple suivant s’appuie sur la configuration développée dans la section précédente. Comme dans l’exemple précédent, il existe deux cartes de trafic nommées : tcp_traffic et TG1-voice.

hostname(config)# class-map TG1-best-effort
hostname(config-cmap)# match tunnel-group Tunnel-Group-1
hostname(config-cmap)# match flow ip destination-address

L’ajout d’une troisième carte de trafic fournit une base pour définir une politique QoS tunnelisée et non tunnelisée, comme suit, qui crée une politique QoS simple pour le trafic tunnelisé et non tunnelisé, en affectant les paquets de la carte TG1-voice à la file d’attente à faible latence et en définissant des limites de débit sur les flux de trafic tcp_traffic et TG1-best-effort.

Dans cet exemple, le débit maximal pour le trafic de la classe tcp_traffic est de 56 000 bits/seconde et une taille de rafale maximale de 10 500 octets par seconde. Pour la carte TC1-BestEffort, le débit maximal est de 200 000 bits/seconde, avec une rafale maximale de 37 500 octets/seconde. Le trafic dans la classe TC1-voice n’a pas de vitesse maximale ni de débit de rafale maximal régulés, car il appartient à une classe prioritaire.

hostname(config)# access-list tcp_traffic permit tcp any any
hostname(config)# class-map tcp_traffic
hostname(config-cmap)# match access-list tcp_traffic

hostname(config)# class-map TG1-voice
hostname(config-cmap)# match tunnel-group tunnel-grp1
hostname(config-cmap)# match dscp ef

hostname(config-cmap)# class-map TG1-BestEffort
hostname(config-cmap)# match tunnel-group tunnel-grp1
hostname(config-cmap)# match flow ip destination-address

hostname(config)# policy-map qos
hostname(config-pmap)# class tcp_traffic
hostname(config-pmap-c)# police output 56000 10500

hostname(config-pmap-c)# class TG1-voice
hostname(config-pmap-c)# priority

hostname(config-pmap-c)# class TG1-best-effort
hostname(config-pmap-c)# police output 200000 37500

hostname(config-pmap-c)# class class-default
hostname(config-pmap-c)# police output 1000000 37500

hostname(config-pmap-c)# service-policy qos global