ASA QoS (Calidad de Servicio en el ASA)

Introduccin
El propsito de este artculo es instruir a los administradores del ASA en la
funcionalidad de QoS (Calidad de servicio). Explicaremos brevemente los tipos
de Calidad de servicio (QoS) que se soportan y proporcionaremos un par de
eemplos que muestren cmo utili!arlos.
Regulacin del trfco (Trafc Policing)
"uc#as veces es necesario limitar la cantidad total de tr$fico cuando
excede cierto lmite. %e esa manera el anc#o de banda no es consumido
por un usuario o una aplicacin confi&urando restricciones de tr$fico para
preservarlo. El fire'all puede tirar el tr$fico entrante y saliente a una
interfa!. (ay opciones para tirar o permitir el tr$fico excedente en el
fire'all.
Modelado de trfco (Trafc Shaping)
El modelado de tr$fico o traffic s#apin& fue introducido en ASA ).*.+ y
tambi,n se soporta en las versiones -.. y -./. Cuando el tr$fico excede
ciertos lmites es mandado a una cola y enviado cuando este se encuentre
por debao del umbral confi&urado. Con est$ opcin no se tirar$n los
paquetes que excedan el umbral y trabaa meor para aquellas aplicaciones
que son sensibles a la p,rdida de paquetes.
Prioridad de encolamiento (Priority Queueing)
Es la capacidad de dar prioridad a los paquetes. 0stas pueden ser
aplicaciones sensibles a la latencia como la vo!. El fire'all puede #acer
solamente el 1lo' latency queuein&1 (22Q)3 a diferencia de los routers que
pueden proporcionar mecanismos m$s sofisticados para asi&nar
prioridades (45Q3 C645Q etc).
NOTA 1: El usuario tiene que tener en cuenta que al tr$fico entrante no se
le puede proporcionar muc#os cambios3 pues los paquetes #an entrado ya
la interfa!3 lo que si&nifica que #a utili!ado el anc#o de banda disponible.
Existe una ventaa del policin& cuando se confi&ura a un valor un poco
menor que el anc#o de banda disponible y es que si comen!amos a tirar los
paquetes antes de saturar el enlace de 7C83 se conver&e al valor de la
velocidad de transmisin ptima. Sin embar&o3 esto es dificil de alcan!ar
dado que existen fluos m9ltiples que pasan a trav,s del tubo.
NOTA 2: 8riority Queuein& debe ser utili!ado con policin& o el modelado
de tr$fico (7raffic S#apin&). A menos que el enlace que tiene confi&urado
22Q est, saturado3 no se les dar$ prioridad a los paquetes . :eneralmente
las interfaces del ASA pueden ser /.."bps o /:bps o m$s3 as que la
saturacin de estos enlaces no es al&o que suceda a menudo.
NOTA 3: Se aconsea aplicar priority queuein& en ambos sitios para
aplicaciones que est,n corriendo entre dos sitios. Si slo se da prioridad a
un lado3 el tr$fico de retorno podra ser retrasado y como consecuencia
tener el mismo efecto que no dando prioridad en absoluto.
Trafc policing con Prioridad
Se asume que tenemos un ASA que est$ corriendo tr$fico de vo! sobre un t9nel
;8<. = se le quiere dar prioridad a este. 7ambi,n queremos re&ular el tr$fico
;8< que no es vo! y el resto de tr$fico 7C8.
%i&amos que el anc#o de banda disponible de la interfa! exterior es /"bps.
Queremos dedicar >..?bps para el ;8<. /..?bps ser$n &aranti!ados para la vo!
(*..?bps para el tr$fico de la <@<Avo! ;8<)3 B..?bps para tr$fico 7C8 y
*..?bps para todo lo dem$s. 7ambi,n se debe asumir que el tr$fico de vo! est$
marcado con la bandera con el campo del dscp ef (pues es el valor por defecto
para la mayora de los casos). El nombre del &rupo de t9nel es tunnelA&rp/.
ASA(config)# priority-queue outside
ASA(config)# access-list tcp-traffic-acl permit tcp any any
ASA(config)# class-map tcp-traffic-class
ASA(config-cmap)# match access-list tcp-traffic-acl
ASA(config)# class-map TG1-voice-class
ASA(config-cmap)# match tunnel-group tunnel-grp1
ASA(config-cmap)# match dscp ef
ASA(config-cmap)# class-map TG1-rest-class
ASA(config-cmap)# match tunnel-group tunnel-grp1
ASA(config-cmap)# match flow ip destination-address
ASA(config)# policy-map police-priority-policy
ASA(config-pmap)# class tcp-traffic-class
ASA(config-pmap-c)# police output !!!!!
ASA(config-pmap-c)# class TG1-voice-class
ASA(config-pmap-c)# priority
ASA(config-pmap-c)# class TG1-rest-class
ASA(config-pmap-c)# police output "!!!!!
ASA(config-pmap-c)# class class-default
ASA(config-pmap-c)# police output "!!!!!
ASA(config-pmap-c)# service-policy police-priority-policy interface
outside
Modelado de trfco con Prioridad
Se asume que tenemos el mismo ASA que en el caso anterior. A#ora queremos
modelar todo el tr$fico y dar prioridad a la vo! que va sobre el ;8<. Es decir3
moldearemos todo el tr$fico a C..?bps3 daremos prioridad a la vo! y
&aranti!aremos /..?bps para esta. Dna ve! m$s asumimos que el tr$fico de vo!
est$ marcado con el campo de %SC8 ef y el nombre del &rupo de t9nel es tunnelA
&rp/.
ASA(config)# priority-queue outside
ASA(config)# class-map TG1-voice-class
ASA(config-cmap)# match tunnel-group tunnel-grp1
ASA(config-cmap)# match dscp ef
ASA(config-cmap)# policy-map priority-policy
ASA(config-pmap)# class TG1-voice-class
ASA(config-pmap-c)# priority
ASA(config-pmap-c)# policy-map shape-priority-policy
ASA(config-pmap)# class class-default
ASA(config-pmap-c)# shape average #!!!!!
ASA(config-pmap-c)# service-policy priority-policy
ASA(config-pmap-c)# service-policy shape-priority-policy interface
outside
Viendo la etad!tica de QoS
8ara ver las estadsticas3 el usuario puede eecutat los si&uientes comandos 1
s#o' 1 (los eemplos abao no se relacionan con los arriba).
8ara las estadsticas del 1policin&1E
ASA# show service-policy police
Glo$al policy%
Service-policy% glo$al&fw&policy
'nterface outside%
Service-policy% qos
(lass-map% $rowse
police 'nterface outside%
cir )!!! $ps* $c 1!!! $ytes
conformed 1!!) pac+ets* 1")"11! $ytes, actions%
transmit
e-ceeded .## pac+ets* )"1.) $ytes, actions% drop
conformed )!! $ps* e-ceed !1) $ps
(lass-map% cmap"
police 'nterface outside%
cir "!!!!! $ps* $c /0!! $ytes
conformed 1010# pac+ets* "!)1.1!! $ytes, actions%
transmit
e-ceeded )10 pac+ets* 00!011 $ytes, actions% drop
conformed 1#101 $ps* e-ceed "/!/ $ps
8ara las estadsticas de 1prioriti!ation1E
ASA# show service-policy priority
Glo$al policy%
Service-policy% glo$al&fw&policy
'nterface outside%
Service-policy% qos
(lass-map% TG1-voice-class
2riority%
'nterface outside% aggregate drop !* aggregate
transmit #/1/
8ara las estadsticas del 1s#apin&1 (o modelado)E
ASA# show service-policy shape
'nterface outside%
Service-policy% shape
(lass-map% class-default
3ueueing
queue limit ). pac+ets
(queue depth4total drops4no-$uffer drops) !4!4!
(p+ts output4$ytes output) !4!
shape (average) cir "!!!!!!* $c 1)!!!* $e 1)!!!
Service-policy% voip
(lass-map% voip
3ueueing
queue limit ). pac+ets
(queue depth4total drops4no-$uffer drops) !4!4!
(p+ts output4$ytes output) !4!
(lass-map% class-default
queue limit ). pac+ets
(queue depth4total drops4no-$uffer drops) !4!4!
(p+ts output4$ytes output) !4!