Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Traffic Policing

Traffic Shaping

Priority Queueing

QoS per il traffico attraverso un tunnel VPN

QoS con VPN IPsec

Policy in un tunnel IPsec

QoS con VPN Secure Sockets Layer (SSL)

Considerazioni QoS

Esempi di configurazione

Esempio di configurazione QoS per il traffico VoIP sui tunnel VPN

Esempio di rete

Configurazione QoS basata su DSCP

QoS basato su DSCP con configurazione VPN

Configurazione QoS basata su ACL

QoS basato su ACL con configurazione VPN

Verifica

show service-policy Police

show service-policy priority

mostra forma criteri servizio

mostra statistiche coda di priorità

Risoluzione dei problemi

Ulteriori informazioni

Domande frequenti

I contrassegni QoS vengono mantenuti quando il tunnel VPN viene attraversato?

Informazioni correlate

Introduzione

Questo documento spiega come Quality of Service (QoS) funziona su Cisco Adaptive Security Appliance (ASA) e fornisce anche diversi esempi su come implementarlo in diversi scenari.

È possibile configurare la funzionalità QoS sull'appliance di sicurezza in modo da limitare la velocità del traffico di rete selezionato, sia per i singoli flussi che per i flussi del tunnel VPN, in modo da garantire che tutto il traffico riceva la sua giusta quota di larghezza di banda limitata.

La funzionalità è stata integrata con l'ID bug Cisco CSCsk06260.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di Modular Policy Framework (MPF).

Componenti usati

Le informazioni di questo documento si basano su un'appliance ASA con versione 9.2, ma è possibile usare anche le versioni precedenti.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

QoS è una funzione di rete che consente di dare priorità a determinati tipi di traffico Internet. Man mano che gli utenti di Internet aggiornano i propri punti di accesso da modem a connessioni a banda larga ad alta velocità, come DSL (Digital Subscriber Line) e cavo, aumenta la probabilità che in un determinato momento un singolo utente sia in grado di assorbire la maggior parte, se non la totalità, della larghezza di banda disponibile, riducendo così la fame degli altri utenti. Per evitare che un utente o una connessione da sito a sito utilizzi una quantità di larghezza di banda superiore a quella che può utilizzare, QoS offre una funzione di controllo che regola la larghezza di banda massima che ogni utente può utilizzare.

QoS si riferisce alla capacità di una rete di fornire un servizio migliore al traffico di rete selezionato su varie tecnologie per i migliori servizi complessivi con larghezza di banda limitata delle tecnologie sottostanti.

QoS nelle appliance di sicurezza ha come obiettivo principale la limitazione della velocità sul traffico di rete selezionato per il flusso del singolo flusso o del tunnel VPN, in modo che tutto il traffico ottenga la giusta quota di larghezza di banda limitata. Un flusso può essere definito in diversi modi. Nell'appliance di sicurezza, le funzionalità QoS possono essere applicate a una combinazione di indirizzi IP di origine e di destinazione, numeri di porta di origine e di porta di destinazione e byte del tipo di servizio (ToS) dell'intestazione IP.

Esistono tre tipi di QoS che è possibile implementare sull'appliance ASA: Policing, Shaping e Priority Queueing.

Traffic Policing

Con i criteri, il traffico che supera un limite specificato viene scartato. I criteri consentono di garantire che nessun traffico superi la velocità massima (in bit/secondo) configurata, in modo che nessun flusso di traffico o classe possa occupare l'intera risorsa. Quando il traffico supera la velocità massima, l'ASA scarta il traffico in eccesso. Il policing imposta anche la più grande singola frammentazione di traffico consentita.

Il diagramma mostra le attività del traffic policing; quando la velocità del traffico raggiunge la velocità massima configurata, il traffico in eccesso viene interrotto. Il risultato è una velocità di trasmissione che appare come un'onda a dente di sega con picchi ad andamento positivo e negativo.

Nell'esempio viene mostrato come limitare la larghezza di banda a 1 Mbps per un utente specifico nella direzione in uscita:

ciscoasa(config)# access-list WEB-LIMIT permit ip host 192.168.10.1 any

ciscoasa(config)# class-map Class-Policy

ciscoasa(config-cmap)# match access-list WEB-LIMIT

ciscoasa(config-cmap)#exit

ciscoasa(config)# policy-map POLICY-WEB

ciscoasa(config-pmap)# class Class-Policy

ciscoasa(config-pmap-c)# police output 1000000 conform-action transmit exceed-

action drop

ciscoasa(config-pmap-c)#exit

ciscoasa(config-pmap)#exit

ciscoasa(config)# service-policy POLICY-WEB interface outside

Traffic Shaping

Il Traffic Shaping viene usato per adattarsi alle velocità dei dispositivi e dei collegamenti e controlla la perdita, il ritardo variabile e la saturazione del collegamento che può causare tremolio e ritardo. Il Traffic Shaping sull'appliance di sicurezza permette al dispositivo di limitare il flusso del traffico. Questo meccanismo memorizza il traffico oltre il "limite di velocità" e tenta di inviarlo successivamente. Non è possibile configurare il shaping per determinati tipi di traffico. Il traffico con forma include il traffico che attraversa il dispositivo e il traffico che proviene dal dispositivo.

Il diagramma mostra le funzioni del traffic shaping, conserva i pacchetti in eccesso in una coda e quindi li programma per una successiva trasmissione su incrementi di tempo. Il risultato del traffic shaping è una velocità di trasmissione dei pacchetti fluida e uniforme.

Nota: Il traffic shaping è supportato solo sulle versioni ASA 5505, 5510, 5520, 5540 e 5550. I modelli multicore, ad esempio 5500-X, non supportano la modellazione.

Con il traffic shaping, il traffico che supera un certo limite viene messo in coda (nel buffer) e inviato durante la sessione successiva.

Il traffic shaping sul firewall è particolarmente utile se un dispositivo a monte impone un collo di bottiglia sul traffico di rete. Ad esempio, un'appliance ASA ha interfacce da 100 Mbit e una connessione a monte a Internet tramite modem via cavo o T1 che termina su un router. Il Traffic Shaping consente all'utente di configurare il massimo throughput in uscita su un'interfaccia (ad esempio, l'interfaccia esterna); il firewall trasmette il traffico da quell'interfaccia fino alla larghezza di banda specificata e quindi cerca di buffer del traffico eccessivo per la trasmissione in un secondo momento, quando il collegamento è meno saturo.

Il shaping viene applicato a tutto il traffico aggregato che genera l'interfaccia specificata; non è possibile scegliere di modellare solo determinati flussi di traffico.

Nota: Il shaping viene eseguito dopo la crittografia e non consente la definizione delle priorità per il pacchetto interno o i gruppi di tunnel per la VPN.

Nell'esempio seguente viene configurato il firewall per impostare su 2 Mbps tutto il traffico in uscita sull'interfaccia esterna:

ciscoasa(config-pmap)#policy-map qos_outside_policy

ciscoasa(config-pmap)# class class-default

ciscoasa(config-pmap-c)# shape average 2000000

ciscoasa(config-pmap-c)#exit

ciscoasa(config-pmap)#exit

ciscoasa(config-pmap-c)# service-policy qos_outside_policy interface outside

Priority Queueing

L'accodamento delle priorità consente di inserire una classe specifica di traffico nella coda LLQ (Low Latency Queue), che viene elaborata prima della coda standard.

Nota: Se si assegna la priorità al traffico in base a un criterio di shaping, non è possibile utilizzare i dettagli del pacchetto interno. Il firewall può solo eseguire LLQ, a differenza dei router che possono fornire code più sofisticate e meccanismi QoS (WFQ (Weighted Fair Queueing), CBWFQ (Weighted Fair Queueing) basato su classi e così via).

Il criterio QoS gerarchico fornisce un meccanismo che consente agli utenti di specificare il criterio QoS in modo gerarchico. Ad esempio, se gli utenti desiderano configurare il traffico su un'interfaccia e, inoltre, all'interno del traffico dell'interfaccia con forma, fornire una coda di priorità per il traffico VoIP, gli utenti possono specificare un criterio di traffic shaping nella parte superiore e un criterio di coda di priorità nel criterio forma. Il supporto dei criteri QoS gerarchici ha ambito limitato. L'unica opzione consentita è:

- Traffic shaping al livello superiore

- Accodamento priorità al livello successivo

Nota: Se si assegna la priorità al traffico in base a un criterio di shaping, non è possibile utilizzare i dettagli del pacchetto interno. A differenza dei router che possono fornire meccanismi QoS e code più sofisticate (WFQ, CBWFQ e così via), il firewall può solo eseguire LLQ.

In questo esempio viene usato il criterio QoS gerarchico per configurare tutto il traffico in uscita sull'interfaccia esterna su 2 Mbps, come nell'esempio di shaping, ma viene specificato anche che i pacchetti voce con valore "ef" per DSCP (Differentiated Services Code Point) e il traffico SSH (Secure Shell) devono avere la priorità.

Creare la coda di priorità sull'interfaccia per la quale si desidera abilitare la funzionalità:

ciscoasa(config)#priority-queue outsideciscoasa(config-priority-queue)#queue-limit

2048ciscoasa(config-priority-queue)#tx-ring-limit 256

Classe corrispondente a DSCP ef:

ciscoasa(config)# class-map Voice

ciscoasa(config-cmap)# match dscp ef

ciscoasa(config-cmap)# exit

Classe per la corrispondenza con il traffico TCP/22 SSH della porta:

ciscoasa(config)# class-map SSH

ciscoasa(config-cmap)# match port tcp eq 22

ciscoasa(config-cmap)# exit

Una mappa policy per assegnare le priorità al traffico voce e SSH:

ciscoasa(config)# policy-map p1_priority

ciscoasa(config-pmap)# class Voice

ciscoasa(config-pmap-c)# priority

ciscoasa(config-pmap-c)# class SSH

ciscoasa(config-pmap-c)# priority

ciscoasa(config-pmap-c)# exit

ciscoasa(config-pmap)# exit

Una mappa policy per applicare il shaping a tutto il traffico e associare le priorità al traffico voce e SSH:

ciscoasa(config)# policy-map p1_shape

ciscoasa(config-pmap)# class class-default

ciscoasa(config-pmap-c)# shape average 2000000

ciscoasa(config-pmap-c)# service-policy p1_priority

ciscoasa(config-pmap-c)# exit

ciscoasa(config-pmap)# exit

Infine, associare il criterio di shaping all'interfaccia sulla quale definire la forma e la priorità del traffico in uscita:

ciscoasa(config)# service-policy p1_shape interface outside

QoS per il traffico attraverso un tunnel VPN

QoS con VPN IPsec

Come stabilito nella RFC 2401 , i bit del tipo di servizio (ToS) nell'intestazione IP originale vengono copiati sull'intestazione IP del pacchetto crittografato in modo da poter applicare i criteri QoS dopo la crittografia. In questo modo, i bit DSCP/DiffServ possono essere utilizzati come priorità in qualsiasi punto della policy QoS.

Policy in un tunnel IPsec

Il policing può essere eseguito anche per tunnel VPN specifici. Per selezionare un gruppo di tunnel da controllare, usare il comando match tunnel-group <tunnel> nella mappa delle classi e il comando match flow ip destination.

class-map tgroup_out

match tunnel-group ipsec-tun

match flow ip destination-address

policy-map qos

class tgroup_out

police output 1000000

Il policy di input non funziona quando si usa il comando match tunnel-group; per ulteriori informazioni, vedere l'ID bug Cisco CSCth48255. Se si tenta di eseguire il controllo dell'input con l'indirizzo di destinazione IP del flusso di corrispondenza, viene visualizzato questo errore:

police input 10000000

ERROR: Input policing cannot be done on a flow destination basis

Il policy di input non sembra funzionare quando si usa match tunnel-group (Cisco bug ID CSCth48255). Se il criterio di input funziona, è necessario utilizzare una mappa di classi senza l'indirizzo di destinazione IP del flusso di corrispondenza.

class-map tgroup_in

match tunnel-group ipsec-tun

policy-map qos

class tgroup_in

police input 1000000

Se si cerca di controllare l'output su una mappa di classe che non ha l'indirizzo di destinazione IP corrispondente, si riceve:

police output 10000000

ERROR: tunnel-group can only be policed on a flow basis

È inoltre possibile eseguire QoS sulle informazioni del flusso interno utilizzando Access Control Lists (ACL), DSCP e così via. A causa del bug menzionato sopra, gli ACL sono il modo per poter eseguire subito il policy di input.

Nota: È possibile configurare un massimo di 64 mappe dei criteri su tutti i tipi di piattaforma. Utilizzare mappe di classi diverse all'interno delle mappe delle policy per segmentare il traffico.

QoS con VPN Secure Sockets Layer (SSL)

Fino alla versione 9.2, l'appliance ASA non conservava i bit del tipo ToS.

Il tunneling VPN SSL non è supportato con questa funzionalità. Per ulteriori informazioni, vedere l'ID bug Cisco CSCsl73211.

ciscoasa(config)# tunnel-group a1 type webvpn

ciscoasa(config)# tunnel-group a1 webvpn-attributes

ciscoasa(config-tunnel-webvpn)# class-map c1

ciscoasa(config-cmap)# match tunnel-group a1

ciscoasa(config-cmap)# match flow ip destination-address

ciscoasa(config-cmap)# policy-map p1

ciscoasa(config-pmap)# class c1

ciscoasa(config-pmap-c)# police output 100000

ERROR: tunnel with WEBVPN attributes doesn't support police!

ciscoasa(config-pmap-c)# no tunnel-group a1 webvpn-attributes

ciscoasa(config)# policy-map p1

ciscoasa(config-pmap)# class c1

ciscoasa(config-pmap-c)# police output 100000

ciscoasa(config-pmap-c)#

Nota: Quando gli utenti con vpn telefonica usano il client AnyConnect e il protocollo DTLS (Datagram Transport Layer Security) per crittografare il telefono, la definizione delle priorità non funziona perché AnyConnect non mantiene il flag DSCP nell'incapsulamento DTLS. Per ulteriori informazioni, fare riferimento alla richiesta di miglioramento CSCtq43909.

Considerazioni QoS

Ecco alcuni aspetti da considerare riguardo la QoS.

- È applicato attraverso il quadro di politica modulare (MPF) in modo rigoroso o gerarchico: Sorveglianza, Shaping, LLQ.

- Può influenzare solo il traffico già passato dalla scheda di interfaccia di rete (NIC, Network Interface Card) al DP (percorso dati)

- Inutile combattere i sovraccarichi (si verificano troppo presto) a meno che non vengano applicati a un dispositivo adiacente

- La policy viene applicata sull'input dopo che il pacchetto è autorizzato e sull'output prima della scheda NIC.

- Subito dopo aver riscritto un indirizzo di layer 2 (L2) sull'output

- Forma la larghezza di banda in uscita per tutto il traffico su un'interfaccia.

- Utile con larghezza di banda uplink limitata (ad esempio collegamento 1 Gigabit Ethernet (GE) a modem 10 MB)

- Non supportato sui modelli ASA558x ad alte prestazioni

- L'accodamento delle priorità potrebbe causare la diminuzione del traffico.

- Non supportato sulle interfacce 10GE sulle sottointerfacce ASA5580 o VLAN

- È possibile regolare ulteriormente le dimensioni dell'anello di interfaccia per ottenere prestazioni ottimali

Esempi di configurazione

Esempio di configurazione QoS per il traffico VoIP sui tunnel VPN

Esempio di rete

Nel documento viene usata questa impostazione di rete:

Nota: Accertarsi che i telefoni IP e gli host siano posizionati in segmenti (subnet) diversi. Questa opzione è consigliata per una buona progettazione della rete.

Nel documento vengono usate queste configurazioni:

- Configurazione QoS basata su DSCP

- QoS basato su DSCP con configurazione VPN

- Configurazione QoS basata su ACL

- QoS basato su ACL con configurazione VPN

Configurazione QoS basata su DSCP

!--- Create a class map named Voice.

ciscoasa(config)#class-map Voice

!--- Specifies the packet that matches criteria that

!--- identifies voice packets that have a DSCP value of "ef".

ciscoasa(config-cmap)#match dscp ef

!--- Create a class map named Data.

ciscoasa(config)#class-map Data

!--- Specifies the packet that matches data traffic to be passed through

!--- IPsec tunnel.

ciscoasa(config-cmap)#match tunnel-group 10.1.2.1

ciscoasa(config-cmap)#match flow ip destination-address

!--- Create a policy to be applied to a set

!--- of voice traffic.

ciscoasa(config-cmap)#policy-map Voicepolicy

!--- Specify the class name created in order to apply

!--- the action to it.

ciscoasa(config-pmap)#class Voice

!--- Strict scheduling priority for the class Voice.

ciscoasa(config-pmap-c)#priority

PIX(config-pmap-c)#class Data

!--- Apply policing to the data traffic.

ciscoasa(config-pmap-c)#police output 200000 37500

!--- Apply the policy defined to the outside interface.

ciscoasa(config-pmap-c)#service-policy Voicepolicy interface outside

ciscoasa(config)#priority-queue outside

ciscoasa(config-priority-queue)#queue-limit 2048

ciscoasa(config-priority-queue)#tx-ring-limit 256

Nota: Il valore DSCP di "ef" si riferisce all'inoltro accelerato che corrisponde al traffico VoIP-RTP.

QoS basato su DSCP con configurazione VPN

ciscoasa#show running-config

: Saved

:

ASA Version 9.2(1)

!

hostname ciscoasa

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface GigabitEthernet0

nameif inside

security-level 100

ip address 10.1.1.1 255.255.255.0

!

interface GigabitEthernet1

nameif outside

security-level 0

ip address 10.1.4.1 255.255.255.0

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

!--- This crypto ACL-permit identifies the

!--- matching traffic flows to be protected via encryption.

access-list 110 extended permit ip 10.1.1.0 255.255.255.0 172.16.1.0 255.255.255.0

access-list 110 extended permit ip 10.1.5.0 255.255.255.0 10.1.6.0 255.255.255.0

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

icmp unreachable rate-limit 1 burst-size 1

no asdm history enable

arp timeout 14400

route outside 0.0.0.0 0.0.0.0 10.1.4.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

!--- Configuration for IPsec policies.

crypto ipsec ikev1 transform-set myset esp-3des esp-sha-hmac

crypto map mymap 10 match address 110

!--- Sets the IP address of the remote end.

crypto map mymap 10 set peer 10.1.2.1

!--- Configures IPsec to use the transform-set

!--- "myset" defined earlier in this configuration.

crypto map mymap 10 set ikev1 transform-set myset

crypto map mymap interface outside

!--- Configuration for IKE policies

crypto ikev1 policy 10

!--- Enables the IKE policy configuration (config-isakmp)

!--- command mode, where you can specify the parameters that

!--- are used during an IKE negotiation.

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

!--- Use this command in order to create and manage the database of

!--- connection-specific records like group name

!--- as 10.1.2.1, IPsec type as L2L, and password as

!--- pre-shared key for IPsec tunnels.

tunnel-group 10.1.2.1 type ipsec-l2l

tunnel-group 10.1.2.1 ipsec-attributes

!--- Specifies the preshared key "cisco123" which should

!--- be identical at both peers.

ikev1 pre-shared-key *

telnet timeout 5

ssh timeout 5

console timeout 0

priority-queue outside

queue-limit 2048

tx-ring-limit 256

!

class-map Voice

match dscp ef

class-map Data

match tunnel-group 10.1.2.1

match flow ip destination-address

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

inspect sip

inspect xdmcp

policy-map Voicepolicy

class Voice

priority

class Data

police output 200000 37500

!

service-policy global_policy global

service-policy Voicepolicy interface outside

prompt hostname context

Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e

: end

Configurazione QoS basata su ACL

!--- Permits inbound H.323 calls.

ciscoasa(config)#access-list 100 extended permit tcp 172.16.1.0 255.255.255.0

10.1.1.0

255.255.255.0 eq h323

!--- Permits inbound Session Internet Protocol (SIP) calls.

ciscoasa(config)#access-list 100 extended permit tcp 172.16.1.0 255.255.255.0

10.1.1.0

255.255.255.0 eq sip

!--- Permits inbound Skinny Call Control Protocol (SCCP) calls.

ciscoasa(config)#access-list 100 extended permit tcp 172.16.1.0 255.255.255.0

10.1.1.0

255.255.255.0 eq 2000

!--- Permits outbound H.323 calls.

ciscoasa(config)#access-list 105 extended permit tcp 10.1.1.0 255.255.255.0

172.16.1.0

255.255.255.0 eq h323

!--- Permits outbound SIP calls.

ciscoasa(config)#access-list 105 extended permit tcp 10.1.1.0 255.255.255.0

172.16.1.0

255.255.255.0 eq sip

!--- Permits outbound SCCP calls.

ciscoasa(config)#access-list 105 extended permit tcp 10.1.1.0 255.255.255.0

172.16.1.0

255.255.255.0 eq 2000

!--- Apply the ACL 100 for the inbound traffic of the outside interface.

ciscoasa(config)#access-group 100 in interface outside

!--- Create a class map named Voice-IN.

ciscoasa(config)#class-map Voice-IN

!--- Specifies the packet matching criteria which

!--- matches the traffic flow as per ACL 100.

ciscoasa(config-cmap)#match access-list 100

!--- Create a class map named Voice-OUT.

ciscoasa(config-cmap)#class-map Voice-OUT

!--- Specifies the packet matching criteria which

!--- matches the traffic flow as per ACL 105.

ciscoasa(config-cmap)#match access-list 105

!--- Create a policy to be applied to a set

!--- of Voice traffic.

ciscoasa(config-cmap)#policy-map Voicepolicy

!--- Specify the class name created in order to apply

!--- the action to it.

ciscoasa(config-pmap)#class Voice-IN

ciscoasa(config-pmap)#class Voice-OUT

!--- Strict scheduling priority for the class Voice.

ciscoasa(config-pmap-c)#priority

ciscoasa(config-pmap-c)#end

ciscoasa#configure terminal

ciscoasa(config)#priority-queue outside

!--- Apply the policy defined to the outside interface.

ciscoasa(config)#service-policy Voicepolicy interface outside

ciscoasa(config)#end

QoS basato su ACL con configurazione VPN

ciscoasa#show running-config

: Saved

:

ASA Version 9.2(1)

!

hostname ciscoasa

enable password 8Ry2YjIyt7RRXU24 encrypted

names

!

interface GigabitEthernet0

nameif inside

security-level 100

ip address 10.1.1.1 255.255.255.0

!

interface GigabitEthernet1

nameif outside

security-level 0

ip address 10.1.4.1 255.255.255.0

!

interface GigabitEthernet2

nameif DMZ1

security-level 95

ip address 10.1.5.1 255.255.255.0

!

passwd 2KFQnbNIdI.2KYOU encrypted

ftp mode passive

!--- This crypto ACL-permit identifies the

!--- matching traffic flows to be protected via encryption.

access-list 110 extended permit ip 10.1.1.0 255.255.255.0 172.16.1.0 255.255.255.0

access-list 110 extended permit ip 10.1.5.0 255.255.255.0 10.1.6.0 255.255.255.0

!--- Permits inbound H.323, SIP and SCCP calls.

access-list 100 extended permit tcp 172.16.1.0 255.255.255.0 10.1.1.0

255.255.255.0 eq h323

access-list 100 extended permit tcp 172.16.1.0 255.255.255.0 10.1.1.0

255.255.255.0 eq sip

access-list 100 extended permit tcp 172.16.1.0 255.255.255.0 10.1.1.0

255.255.255.0 eq 2000

!--- Permit outbound H.323, SIP and SCCP calls.

access-list 105 extended permit tcp 10.1.1.0 255.255.255.0 172.16.1.0

255.255.255.0 eq h323

access-list 105 extended permit tcp 10.1.1.0 255.255.255.0 172.16.1.0

255.255.255.0 eq sip

access-list 105 extended permit tcp 10.1.1.0 255.255.255.0 172.16.1.0

255.255.255.0 eq 2000

pager lines 24

mtu inside 1500

mtu outside 1500

no failover

icmp unreachable rate-limit 1 burst-size 1

no asdm history enable

arp timeout 14400

access-group 100 in interface outside

route outside 0.0.0.0 0.0.0.0 10.1.4.2 1

timeout xlate 3:00:00

timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02

timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 mgcp-pat 0:05:00

timeout sip 0:30:00 sip_media 0:02:00 sip-invite 0:03:00 sip-disconnect 0:02:00

timeout uauth 0:05:00 absolute

no snmp-server location

no snmp-server contact

snmp-server enable traps snmp authentication linkup linkdown coldstart

crypto ipsec ikev1 transform-set myset esp-3des esp-sha-hmac

crypto map mymap 10 match address 110

crypto map mymap 10 set peer 10.1.2.1

crypto map mymap 10 set ikev1 transform-set myset

crypto map mymap interface outside

crypto ikev1 policy 10

authentication pre-share

encryption 3des

hash sha

group 2

lifetime 86400

tunnel-group 10.1.2.1 type ipsec-l2l

tunnel-group 10.1.2.1 ipsec-attributes

ikev1 pre-shared-key *

telnet timeout 5

ssh timeout 5

console timeout 0

priority-queue outside

!

class-map Voice-OUT

match access-list 105

class-map Voice-IN

match access-list 100

!

class-map inspection_default

match default-inspection-traffic

!

!

policy-map type inspect dns preset_dns_map

parameters

message-length maximum 512

policy-map global_policy

class inspection_default

inspect dns preset_dns_map

inspect ftp

!--- Inspection enabled for H.323, H.225 and H.323 RAS protocols.

inspect h323 h225

inspect h323 ras

inspect netbios

inspect rsh

inspect rtsp

!--- Inspection enabled for Skinny protocol.

inspect skinny

inspect esmtp

inspect sqlnet

inspect sunrpc

inspect tftp

!--- Inspection enabled for SIP.

inspect sip

inspect xdmcp

policy-map Voicepolicy

class Voice-IN

class Voice-OUT

priority

!

service-policy global_policy global

service-policy Voicepolicy interface outside

prompt hostname context

Cryptochecksum:d41d8cd98f00b204e9800998ecf8427e

: end

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Verifica

Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.

show service-policy Police

Per visualizzare le statistiche QoS per il traffic policing, usare il comando show service-policy con la parola chiave Police:

ciscoasa(config)# show ser

ciscoasa(config)# show service-policy police

Interface outside:

Service-policy: POLICY-WEB

Class-map: Class-Policy

Output police Interface outside:

cir 1000000 bps, bc 31250 bytes

conformed 0 packets, 0 bytes; actions:  transmit

exceeded 0 packets, 0 bytes; actions:  drop

conformed 0 bps, exceed 0 bps

show service-policy priority

Per visualizzare le statistiche relative ai criteri di servizio che implementano il comando priority, utilizzare il comando show service-policy con la parola chiave priority:

ciscoasa# show service-policy priority

Global policy:

Service-policy: qos_outside_policy

Interface outside:

Service-policy: qos_class_policy

Class-map: voice-traffic

Priority:

Interface outside: aggregate drop 0, aggregate transmit 9383

mostra forma criteri servizio

ciscoasa(config)# show service-policy shape

Interface outside:

Service-policy: qos_outside_policy

Class-map: class-default

shape (average) cir 2000000, bc 16000, be 16000

Queueing

queue limit 64 packets

(queue depth/total drops/no-buffer drops) 0/0/0

(pkts output/bytes output) 0/0

mostra statistiche coda di priorità

Per visualizzare le statistiche della coda di priorità per un'interfaccia, usare il comando show priority-queue statistics in modalità di esecuzione privilegiata. I risultati mostrano le statistiche sia per la coda del massimo sforzo (BE) che per LLQ. In questo esempio viene mostrato l'utilizzo del comando show priority-queue statistics per l'interfaccia esterna e l'output del comando.

ciscoasa# show priority-queue statistics outside

Priority-Queue Statistics interface outside

Queue Type = BE

Packets Dropped = 0

Packets Transmit = 0

Packets Enqueued = 0

Current Q Length = 0

Max Q Length = 0

Queue Type = LLQ

Packets Dropped = 0

Packets Transmit = 0

Packets Enqueued = 0

Current Q Length = 0

Max Q Length = 0

ciscoasa#

In questo rapporto statistico, il significato delle voci è il seguente:

- "Pacchetti scartati" indica il numero complessivo di pacchetti scartati in questa coda.

- "Trasmissione pacchetti" indica il numero complessivo di pacchetti trasmessi in questa coda.

- "Pacchetti accodati" indica il numero complessivo di pacchetti accodati in questa coda.

- "Lunghezza Q corrente" indica la profondità corrente di questa coda.

- "Lunghezza Q max" indica la profondità massima che si è mai verificata in questa coda.

Lo strumento Output Interpreter (solo utenti registrati) supporta alcuni comandi show. Usare lo strumento Output Interpreter per visualizzare un'analisi dell'output del comando show.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.

Ulteriori informazioni

Di seguito sono riportati alcuni bug introdotti dalla funzionalità Traffic Shaping:

ID bug Cisco CSCsq08550

Il traffic shaping con la coda di priorità causa un errore di traffico sull'appliance ASA

ID bug Cisco CSCsx07862

Il traffic shaping con l'accodamento della priorità causa il ritardo e la perdita dei pacchetti

ID bug Cisco CSCsq07395

L'aggiunta del criterio del servizio di shaping non riesce se il criterio è stato modificato

Domande frequenti

In questa sezione viene fornita la risposta a una delle domande più frequenti relative alle informazioni descritte in questo documento.

I contrassegni QoS vengono mantenuti quando il tunnel VPN viene attraversato?

Sì. I contrassegni QoS vengono mantenuti nel tunnel mentre attraversano le reti del provider, se quest'ultimo non li rimuove.

Suggerimento: Fare riferimento alla sezione DSCP and DiffServ Preservation del manuale CLI 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.2 per ulteriori dettagli.

Informazioni correlate

- Guida alla configurazione della CLI del firewall Cisco serie ASA, Quality of Service

- Applicazione dei criteri QoS

- Informazioni sulle funzionalità non supportate nella VPN SSL senza client

- Configurazione di QoS

- Documentazione e supporto tecnico – Cisco Systems