16.4. Настройка ограничения трафика CPU

Назначение

Ограничение трафика, предназначенного для процессора, необходимо для его защиты от вредоносного трафика или от всплесков, которые могут негативно повлиять на работу Control Plane коммутатора.

Описание

Ограничение трафика процессора обеспечивает двухуровневую защиту процессора:

  • Ограничение трафика 1 уровня выполняется отдельно для каждого типа трафика, пересылаемого на CPU.

  • Ограничение трафика 2 уровня выполняется суммарно для всех типов трафика, пересылаемого на CPU.

Благодаря двухуровневой защите может быть ограничена скорость передачи каждого PDU на процессор, а также скорость передачи любых PDU на процессор.

Типы трафика, передаваемые на CPU:

Тип

Описание

ARP

Протокол разрешения адресов

BPDU

Блок данных протокола моста

DHCP

Протокол динамической настройки сетевого узла

EAPOL

Расширяемый протокол аутентификации по локальной сети

ERPS

Защитное переключение Ethernet-кольца

FWD-to-CPU

Пакеты, передающиеся на CPU

ICMP-Redirect

Сообщение перенаправления ICMP

IGMP

IGMP Snooping Protocol

IP-Option

Пакеты с параметрами IP

IPDA

IP Destination to Router-self

SSH

Пакеты протокола SSH

TELNET

Пакеты протокола Telnet

MLAG

Пакеты протокола MLAG

TCP

Пакеты протокола TCP

LDP

Протокол распределения меток

MACSA-Mismatch

Защита порта для изученного Source MAC

MCAST-RPF-Fail

Multicast-рассылка с отказом RPF или первый multicast-пакет

MPLS-TTL-Fail

Пакет MPLS с ошибкой TTL

IP-MTU-Fail

IP-пакет с ошибкой MTU

OSPF

Пакеты протокола OSPF

PIM

Пакеты протокола PIM

PORT-Security-Discard

Защита порта при превышении максимального числа FDB

RIP

Пакеты протокола RIP

SFLOW-Egress

Отобранный исходящий поток

SFLOW-Ingress

Отобранный входящий поток

SLOW-Protocol

Пакеты Slow Protocol включая EFM, LACP, SYNCE

SMART-Link

Пакеты протокола Smart Link

UCAST-TTL-Fail

Юникаст-пакеты с ошибкой TTL

UDLD

Пакеты протокола UDLD

VLAN-Security-Discard

Защита VLAN при превышении максимального числа FDB

VRRP

Пакеты протокола VRRP

BFD-Learning

Пакеты BFD-Learning

Dot1x-MAC-Bypass

Пакеты обхода MAC-авторизации

BGP

Пакеты протокола BGP

Egress-TTL-Fail

Ошибка TTL исходящего пакета

ICMPv6

Пакеты протокола ICMPv6

L2Protocol-Tunnel

L2-пакет туннельного протокола

Loopback-Detection

Пакеты обнаружения обратной петли

Mirror-To-CPU

Зеркалированные на CPU пакеты

NDP

Пакеты протокола NDP

Tunnel-GRE-Keepalive

Ответный пакетTunnel GRE keepalive

Настройки по умолчанию для трафика, передаваемого на CPU:

Тип трафика

Скорость (PPS)

Класс

ARP

256

1

BPDU

64

3

DHCP

128

0

EAPOL

128

0

ERPS

128

3

FWD-to-CPU

64

0

ICMP-Redirect

128

0

IGMP

128

2

IP-Option

512

0

IPDA

1000

0

SSH

64

3

TELNET

64

3

MLAG

1000

1

TCP

64

2

LDP

512

1

MACSA-Mismatch

128

0

Mcast-RPF-Fail

128

1

MPLS-TTL-Fail

64

0

IP-MTU-Fail

64

0

OSPF

256

1

PIM

128

1

Port-Security-Discard

128

0

RIP

64

1

SFlow-Egress

128

0

SFlow-Ingress

128

0

Slow-Protocol

256

1

Smart-Link

128

2

UCast-TTL-Fail

64

0

UDLD

128

3

VLAN-Security-Discard

128

0

VRRP

512

1

BFD-Learning

128

1

Dot1x-MAC-Bypass

64

2

BGP

256

1

Egress-TTL-Fail

64

0

ICMPv6

64

2

L2Protocol-Tunnel

1000

0

Loopback-Detection

64

3

Mirror-to-CPU

1000

0

NDP

64

2

Tunnel-GRE-Keepalive

64

0

Настройка

Шаг 1: Вход в режим “Global config”

Switch# configure terminal

Шаг 2: Настройка ограничений для всех протоколов

По умолчанию значение общей скорости равно 2000, единица измерения - PPS (пакеты в секунду). Изменение общей скорости:

Switch(config)# cpu-traffic-limit total rate 3000

Шаг 3: Настройка ограничений для отдельных протоколов

Настройка ограничений для анонсов RIP:

Switch(config)# cpu-traffic-limit reason rip rate 500

Шаг 4: Установка класса для трафика

Switch(config)# cpu-traffic-limit reason rip class 3

Диапазон значений класса трафика – от 0 до 3. Большее число указывает на более высокий приоритет.

Шаг 5: Выход из режима “Global config”

Switch(config)# end

Шаг 6: Проверка

Вывод конфигурации ограничения трафика процессора, в режиме “Privileged EXEC”:

Switch# show cpu traffic-limit
reason                     rate (pps)   class
dot1x-mac-bypass           64            2
bpdu                       64            3
slow-protocol              256           1
eapol                      128           0
erps                       128           3
smart-link                 128           2
udld                       128           3
loopback-detection         64            3
arp                        256           1
dhcp                       128           0
rip                        500           3
ldp                        512           1
ospf                       256           1
pim                        128           1
bgp                        256           1
vrrp                       512           1
ndp                        64            2
icmpv6                     64            2
ssh                        64            3
telnet                     64            3
mlag                       1000          1
tcp                        64            2
ipda                       1000          0
icmp-redirect              128           0
mcast-rpf-fail             128           1
macsa-mismatch             128           0
port-security-discard      128           0
vlan-security-discard      128           0
egress-ttl-fail            64            0
ip-mtu-fail                64            0
bfd-learning               128           1
ptp                        512           2
ip-option                  512           0
tunnel-gre-keepalive       64            0
ucast-ttl-fail             64            0
mpls-ttl-fail              64            0
igmp                       128           2
sflow-ingress              128           0
sflow-egress               128           0
fwd-to-cpu                 64            0
l2protocol-tunnel          1000          0
mirror-to-cpu              1000          0
Total rate:                3000 (pps)

Вывод статистики трафика процессора, в режиме “Privileged EXEC”:

Switch# show cpu traffic-statistics receive all 
statistics rate time is 5 second(s)
reason           count(packets)    rate(pps)
dot1x-mac-bypass       0               0          
bpdu                   0               0          
slow-protocol          0               0          
eapol                  0               0          
erps                   0               0          
smart-link             0               0          
udld                   0               0          
loopback-detection     0               0          
arp                    0               0          
dhcp                   0               0          
rip                    0               0          
ldp                    0               0          
ospf                   0               0          
pim                    0               0          
bgp                    0               0          
vrrp                   0               0          
rsvp                   0               0          
ndp                    0               0          
icmpv6                 0               0          
ssh                    0               0          
telnet                 0               0          
mlag                   0               0          
tcp                    0               0          
ipda                   0               0          
icmp-redirect          0               0          
mcast-rpf-fail         0               0          
macsa-mismatch         0               0          
port-security-discard  0               0          
vlan-security-discard  0               0          
egress-ttl-fail        0               0          
ip-mtu-fail            0               0          
bfd-learning           0               0          
ptp                    0               0          
ip-option              0               0          
tunnel-gre-keepalive   0               0          
ucast-ttl-fail         0               0          
mpls-ttl-fail          0               0          
igmp                   0               0          
sflow-ingress          0               0          
sflow-egress           0               0          
fwd-to-cpu             0               0          
l2protocol-tunnel      0               0          
mirror-to-cpu          0               0          
mpls-tp-pwoam          0               0          
other                  0               0          
Total                  0               0