(7) Comentários

Por Rafael Leão, 27/05/2010 14:09

Este post traz uma configuração fácil de ser realizada em switches Cisco, para limitação de banda, em tráfego um switch Cisco Catalyst 3750, através de Policy-Maps.

Através de parâmetros configurados na Modular QoS CLI, selecionamos um determinado tráfego, e lhe aplicamos ações, baseadas nas políticas configuradas para ele. A limitação de banda pode ocorrer de duas formas: shaping ou policing.

Shaping vs. Policing

Antes de qualquer coisa, é importante sabermos a diferença entre estes dois métodos.

- Traffic Shapping retém pacotes que excedem a banda configurada para um buffer (queueing) e gradativamente vai os transmitindo, sem que o mesmo não sejam dropados; porém este buffer demanda de memória, e é sempre aplicada em sentido outbound.

- Traffic Policing propaga bursts (limites) quando o fluxo de pacotes atinge a banda máxima, no qual ações como dropar ou remarcar os pacotes é efetuada. Não há buffer, e a aplicação da política é em sentido inbound.

Mais informações aqui*. Agora, mão na massa!!!

* É necessário CCO para visualizar este documento.

Configurando Traffic Policing

Apenas 4 etapas são necessárias para alcançarmos nosso objetivo:

1. Habilitar QoS

Como esta configuração trata-se de parâmetros QoS, é necessário habilitar este recurso globalmente no switch:

mls qos

2. Classificar o tráfego

Definimos qual tráfego passará pelas políticas de banda. Primeiro criamos uma ACL:

access-list 111 permit ip any any

Depois definimos um class-map, ao qual a ACL será vinculada.

class-map match-all 8MB
match access-group 111

3. Criar o policy-map

O policy-map irá aplicar as políticas ao tráfego classificado anteriormente no class-map. O policy-map será nomeado Policy8MB.

policy-map Policy8MB

Agora entrando no modo de configuração de policy-map, iremos selecionar um class-map, e aplicaremos as respectivas ações. Neste caso, estaremos limitando a banda a 8Mbps o tráfego definido pelo class-map 8MB.

class 8MB
police 8000000 8192 exceed-action drop

Para entendermos melhor, os comandos acima, o parâmetro 8000000 significa a largura de banda medido em bits, e o ‘exceeded-action drop’, significa que os pacotes que ultrapassarem a banda de 8Mbps, serão simplesmente dropados.

4. Ativar a política

Por final, ativamos a política na interface, lembrando que é sempre ao tráfego inbound.

interface FastEthernet1/0/23
service-policy input Policy8MB

Está feito. Agora vou apresentar alguns testes que fiz, com as ferramentas Iperf – gerador de tráfego, NetMeter – medidor de banda de adaptador de rede, e o próprio MS-DOS.

Neste lab, temos duas máquinas windows conectadas a um switch 3750, em portas FastEthernet, somente com as configurações acima aplicadas. O host 10.1.0.11 está conectado à interface Fa1/0/23, e o 10.1.0.12, à Fa1/0/24.

Observe na primeira imagem, o output feito no Iperf do lado client.

Talvez para aqueles que não estão familiarizados com essa ferramenta, fique um pouco confusa a interpretação dos logs acima… mas eu vou tentar deixar o mais claro possível!

No primeiro comando, o Iperf client (10.1.0.11) está configurado para gerar 200Mbps de tráfego para o servidor 10.1.0.12. Como pode-se ver no output acima, a ferramenta consegue gerar 68,1 Mbps, sendo a taxa de transmissão REAL entre os dois foi de 64,4 Mbps.

Após isto, foram aplicados os comandos no switch, e o mesmo teste foi feito entre os dois. O client conseguiu novamente produzir 68,1Mbps, porém, a taxa real entre os dois foi de 6,7Mbps, segundo o reporte do servidor.

Com tráfego normal, o servidor reportou banda de 64Mbps, e após a regra, 6,7Mpbs, conforme o log acima.

Agora, vejamos o gráfico da placa de rede do client, gerado pelo NetMeter.

Bom é isso… espero ter ajudado. Qualquer dúvida mandem comentários!! Abraços e até mais…

Seja o primeiro a comentar

Por André Ortega, 21/05/2010 10:23

O Secure Shell – SSH, é um protocolo que permite o acesso seguro aos equipamentos.

O SSH cria um canal criptografado entre o client e server, permitindo comunicação segura, mesmo em um meio inseguro (como a Internet, por exemplo). Para isso o SSH faz a autenticação do usuário e cria uma chave para a sessão. Quando o client conecta pela primeira vez a um determinado server (servidor linux, roteador ou switch, entre outros) o SSH cria uma chave que será o “fingerprint” para aquele server e pergunta se você deseja aceitá-la. Esta chave fica armazenada na base de dados local do client.

Atualmente podemos usar a versão 1 ou 2, devendo sempre optar pela versão 2, quando possível, pois ele possui algoritmo de criptografia foi melhorado.

Exemplo de configuração: Habilitando SSH em roteadores Cisco
BrainRT01#conf t
BrainRT01(config)#aaa new model
BrainRT01(config)#username admin secret brainwork
BrainRT01(config)#ip domain-name brainwork.com.br 
BrainRT01(config)#crypto key generate rsa modulus 1024
The name for the keys will be: BrainRT01.brainwork.com.br

% The key modulus size is 1024 bits
Generating RSA keys …
[OK]
BrainRT01(config)#ip ssh time-out 60
BrainRT01(config)#ip ssh version 2
BrainRT01(config)#ip ssh authentication-retries 3
BrainRT01(config)#ip ssh version 2
BrainRT01(config)#line vty 0 15
BrainRT01(config-line)#transport input ssh
BrainRT01(config-line)#end
BrainRT01#wr

Para verificar o funcionamento do SSH podemos utilizar o comando debug ip ssh e os shows abaixo:

BrainRT01#sh ip ssh
SSH Enabled – version 2.0
Authentication timeout: 120 secs; Authentication retries: 3
Minimum expected Diffie Hellman key size : 1024 bits
BrainRT01#show ssh
Connection      Version Encryption      State                   Username
0               1.5     3DES            Keys exchanged          admin
1               1.5     3DES            Session started         andreo
Connection Version Mode Encryption  Hmac         State                 Username
3          2.0     IN   aes256-cbc  hmac-sha1    Session started       andreo
3          2.0     OUT  aes256-cbc  hmac-sha1    Session started       andreo
BrainRT01#

Desde a versão 12.1(19)E alguns IOSs já suportam a versão 2, mas para saber seu seu software suporta o SSH v2 utilize o Cisco Software Advisor (é preciso ter CCO no site da Cisco).

Até a próxima.

Seja o primeiro a comentar

Por André Ortega, 18/05/2010 13:36

Pelo visto os últimos meses foram puxados para o pessoal de desenvolvimento da Cisco… Mais dois novos roteadores estão disponíveis, ambos na família 1900.

O 1921 e o 1905 são os mais novos integrantes da linha de produtos ISRg2, e vem juntar-se aos modelos 1941 e 1941W.

O 1921 é uma versão mais enxuta do 1941, sendo a maior diferença o fato do 1921 não possuir suporte a módulos ISM (e ser cerca de 40% mais barato).

Já o 1905 além de não suportar modulos ISM, também possui apenas um slot EHWIC (o outro vem ocupado por um módulo HWIC-1T, e pelo que consta na documentação é fixo). Com isso ele passou a ser o menor roteador Cisco com porta serial. Depois de parar de produzir o 805, o menor roteador com suporte a interfaces seriais era o 1841, posto agora ocupado pelo 1905.

Quanto ao throughput, o 1921 suporta 15 Mbps, com serviços habilitados e o 1905 suporta 10 Mbps (o 1941 suporta 25 Mbps).

Página do 1905: Cisco 1905 Integrated Services Router

Página do 1921: Cisco 1921 Integrated Services Router

Até a próxima.

Só um comentário

Por Leandro Oliveira, 08/05/2010 15:36

Sistemas virtualizados são algo muito comum nos datacenters e CPDs de todo planeta, muitos destes sistemas são constituídos de servidores com dois processadores físicos, tambem com os processadores quadcore utilizados atualmente não é surpresa que esta arquitetura dual socket tenha se consolidado. A grande preocupação encarada neste ponto é a quantidade de memória suportada por sistemas dual socket, afinal, o acesso aos bancos de memória são realizados diretamente pelo processador e existe uma limitação para isso.

Apesar de grandes inovações trazidas pelos novos processadores Intel Xeon, familia 5500, processadores 2,25 vezes mais performaticos que a geração anterior, com controladores de memória embutidos ao processador, estes ainda limitam-se ao gerenciamento de um montante de 96 Gb de RAM em alta performance ou 144 Gb de RAM em baixa performance, estes valores tem como base a quantidade de bancos de memória que os processadores podem acessar, neste caso 12 DIMMs e 18 DIMMs respectivamente.

Um dos principais diferenciais apresentados pela arquitetura Unified Computing System da Cisco, seja em servidores blade ou rack mount, é justamente a capacidade de memória suportada por estes equipamentos, apesar de composto por uma arquetetura dual socket, graças a tecnologia desenvolvida pela Cisco que leva o nome de Extended Memory Technology este servidores podem chegar a inacreditável marca de 384 Gb de RAM (um modelo mais novo possui capacidade para 512 Gb de RAM), este número só é possível pois um chipset é posicionado previamente aos bancos de memória e agrega 4 bancos de DIMM em um “único banco” para o controlador de memória do processador, ou seja, o processador acessa o chipset da Cisco que por sua vez acessa até quatro bancos de memória, isso faz com que o sistema como um todo tenha sua capacidade quadruplicada.

Mais detalhes podem ser obtidos no vídeo datasheet da solução no site da Cisco http://www.cisco.com/en/US/prod/collateral/ps10265/ps10493/ucs_memory_ext.html

Até mais…

Só um comentário

Por André Ortega, 07/05/2010 11:53

Aos nossos visitantes:

Como vocês devem ter percebido, nas últimas duas semanas o blog teve problemas. Não sei ao certo o que aconteceu (me parece que um plugin corrompeu a tabela posts), e com isso muitas coisas pararam de funcionar.

Os posts não abriam, quando um novo post era criado ele sobrescrevia o último, quando um post era deletado ao invés de sumir ele era duplicado… enfim, o blog estava capenga.

Depois de várias tentativas frustradas de recuperar a tabela, resolvemos restaurar um backup do fim do ano passado e re-postar (tá certo isso?) os posts mais recentes manualmente.

Infelizmente não foi possível recuperar os comentários de novembro/09 até maio/10, da mesma forma os usuários cadastrados no site neste período.

Ainda falta arrumar o thema, instalar plugins e outros detalhes, mas pelo menos o blog está de volta, e com todo o conteúdo a salvo.

ASSIM FAÇAM BACKUP, SEMPRE!

Até a próxima.