crypto_qos.pdf

Transcription

1 暗 号 設 定 およびQoS へのレファレンスガイド 目 次 概 要 前 提 条 件 要 件 使 用 するコンポーネント 表 記 法 IPSecプロトコル AHおよびESP IPSec による GRE トンネルの 使 用 パケットを 分 類 して 下 さい 設 定 例 入 力 ポリシー 出 力 ポリシー 制 限 および 関 連 問 題 QoS および 再 生 防 止 保 護 NBAR 二 重 アカウンティング ソフトウェア 暗 号 化 およびファーストスイッチング/CEF レガシープライオリティキューイングおよびQoS PreClassify ハードウェア 暗 号 化 およびQoS 関 連 情 報 概 要 データ 音 声 およびビデオトラフィックを 含 むためにVPNが 大 きくなると 同 時 に 異 なるトラフィックの 種 類 はネットワークで 違 っ たやり 方 で 処 理 される 必 要 があります Quality of service(qos)と 帯 域 幅 を 管 理 する 機 能 によって VPN では 音 声 やビデオ などの 時 間 依 存 型 アプリケーション 向 けの 高 度 な 伝 送 品 質 を 提 供 できるようになりました 各 パケットはペイロードの 優 先 順 位 および 時 間 感 度 を 識 別 するためにタグ 付 けされトラフィックは 配 達 優 先 順 位 に 基 づいてソートされ ルーティングされます Cisco VPNソリューションは 広 範 囲 のQoS 機 能 をサポートします この 資 料 はルータの 同 じネットワークまたはセットのCisco IOS 暗 号 化 および QoS 機 能 を 設 定 するユーザ 向 けの 単 一 のレファレン スとして 役 立 つために 編 集 されます この 文 書 によって IP Security(IPSec)や generic routing encapsulation(gre; 総 称 ルーティングカプセル 化 )トンネルが 設 定 されている 場 面 での 入 力 および 出 力 QoS ポリシーの 基 本 的 な 設 定 が 理 解 できるよう になります また この 文 書 では 設 定 タスクについても 説 明 します それはまた 制 限 および 既 知 の 問 題 でCiscoルータを 使 用 して 拡 張 IPサービスの 最 適 化 されたパフォーマンスおよび 成 功 したインプリメンテーションを 確 認 するために 情 報 を 提 供 しま す 前 提 条 件 要 件 この 文 書 をお 読 みになる 前 に 以 下 の 情 報 を 通 読 し 理 解 して 下 さい IPSec 技 術 IPSecのより 多 くの 包 括 的 なドキュメントに 関 しては IPセキュリティ(IPSec) 暗 号 化 入 門 を 参 照 して 下 さい 使 用 するコンポーネント この 文 書 は 特 定 のソフトウェアやハードウェアのバージョンに 限 定 されるものではありません 表 記 法 文 書 の 表 記 法 の 詳 細 は シスコ テクニカル ティップスの 表 記 法 を 参 照 してください

2 IPSecプロトコル IPSecプロトコルの 詳 しい 議 論 はこの 資 料 の 範 囲 を 超 えてあります ただし 外 観 はこのセクションで 提 供 されます IPSec に 関 する 詳 細 な 資 料 については この 文 書 の 関 連 情 報 のセクションを 参 照 してください IPSecはネットワーク 層 認 証 および 暗 号 化 モデルを 定 義 します それは 暗 号 化 キー 交 換 信 頼 できる 接 続 を 構 築 するためにおよび2 同 位 が 暗 号 化 された 接 続 のライフタイム 全 体 ネゴシエートし 使 用 する 認 証 および 暗 号 化 プロトコルで 構 成 されています Internet Security Association and Key Management Protocol (ISAKMP)は 暗 号 化 ポリシーをネゴシエートし IPSecピアが 共 有 するキーを 生 成 するためによくあるフレームワークを 提 供 します ISAKMP ネゴシエーションの 結 果 Security Association(SA; セキュリティ 結 合 )が 構 築 されます 以 下 の show crypto isakmp policy コマンドの 出 力 例 では SA のネゴ シエーションの 際 に 使 用 されるパラメータを 示 しています P5R0#show crypto isakmp policy Protection suite of priority 100 encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Secure Hash Standard authentication method: Pre-Shared Key --- Supports pre-shared keys or a public/private --- key mechanism such as RSA. Diffie-Hellman group: lifetime: #1 (768 bit) seconds, no volume limit --- Lifetime can be based on time or on the number of transmitted bytes. Default protection suite encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Secure Hash Standard authentication method: Rivest-Shamir-Adleman Signature Diffie-Hellman group: #1 (768 bit) lifetime: seconds, no volume limit ISAKMPネゴシエーションは( 同 位 が 追 加 IPSecパラメータをネゴシエートするSA)および 暗 号 化 された 接 続 という 結 果 に 終 ります これには IP ダイアグラムの 保 護 に 使 用 される 実 際 のプロトコルが 含 まれます 具 体 的 には 2 つの 暗 号 化 ピア 間 で 次 の 表 の パラメータがネゴシエートされます パラメータ IPSecプロトコルセット Options Authentication Header (AH) Encapsulating Security Payload (ESP) ほとんどのアプリケーションに 関 しては AHかESPは 十 分 です トンネル モード: 元 の IP ヘッダー を 保 持 および 暗 号 化 した 上 で カプ セル 化 IP ヘッダーが 新 しく 追 加 さ れます トランスポート モード: 元 の IP ヘ ッダーが 保 持 されますが プロトコ ル フィールドが AH または ESP を 表 すようにそれぞれ 値 51 または 50 に 変 更 されます ネゴシエーション フェーズでは トラン スポート モードにする 場 合 ISAKMP によ り 自 動 的 にトンネル モードに フォール バック されますが 確 立 はできません Mode Note: RFC 2401は 用 語 外 側 か 元 の IPヘッダーを 記 述 するためにトンネルモー ドおよび 内 部 ヘッダとの 新 しいIPヘッ ダーを 記 述 するようにヘッダを カプセル 化 すること を 使 用 します RFC からの 引 用 は 次 のとおりです 外 側 の IP ヘ ッダーの 送 信 元 アドレスおよび 宛 先 アドレ スによって トンネルの エンドポイン ト (カプセル 化 側 と 非 カプセル 化 側 )が 識 別 されます 内 側 の IP ヘッダーの 発

3 信 元 アドレスと 宛 先 アドレスにより デー タグラムの 元 々の 発 信 元 と 宛 先 (トンネル の 観 点 から)をそれぞれ 識 別 する とあ ります 以 降 では これらの 用 語 を 使 用 します 変 換 セット 認 証 だけのためのAH 認 証 および 暗 号 化 のためのESP この show crypto ipsec sa address コマンドの 出 力 では IPSec の SA を 示 しています 個 々の SA は Security Parameter Index(SPI; セキュリティ パラメータ インデックス)で 識 別 されます たとえば 識 別 される0x21A85375のSPIの 接 続 ( ) ESPのAHおよびDESのためにMD5-HMACアルゴリズムを 使 用 します P5R0#show crypto ipsec sa address dest address: Address of the IPSec peer. protocol: AH spi: 0x93B90183( ) transform: ah-md5-hmac, in use settings ={Tunnel, } slot: 0, conn id: 2808, flow_id: 405, crypto map: testibm sa timing: remaining key lifetime (k/sec): ( /1654) replay detection support: Y spi: 0x21A85375( ) transform: ah-md5-hmac, --- AH uses the MD5-HMAC algorithm. in use settings ={Transport, } slot: 0, conn id: 2812, flow_id: 407, crypto map: testibm sa timing: remaining key lifetime (k/sec): ( /1604) replay detection support: Y protocol: ESP spi: 0xDFF0FEC3( ) transform: esp-des, in use settings ={Tunnel, } slot: 0, conn id: 2810, flow_id: 405, crypto map: testibm sa timing: remaining key lifetime (k/sec): ( /1654) IV size: 8 bytes replay detection support: Y spi: 0xDB00B862( ) transform: esp-des, --- ESP uses DES. in use settings ={Transport, } --- Transport mode accepted for this flow. AHおよびESP slot: 0, conn id: 2814, flow_id: 407, crypto map: testibm sa timing: remaining key lifetime (k/sec): ( /1568) IV size: 8 bytes replay detection support: Y 上 記 の 表 に 記 載 のとおりAHおよびESPは 独 自 にまたは 併 用 することができます ただし なぜならほとんどのアプリケーション1 だけ 十 分 です 両 方 のプロトコルに 関 しては IPSecは 使 用 するために 特 定 のセキュリティアルゴリズムを 定 義 しません その 代 り それは 業 界 標 準 アルゴリズムを 設 定 するために 開 かれたフレームワークを 提 供 します AHはSHAかMD5ハッシュ アルゴリズムを 使 用 してIPデータグラムに 強 い 統 合 および 認 証 を 提 供 します それはまた 否 認 防 止 を 提 供 します AH は 最 小 12 バイトで 次 に 図 示 してあります Internet Assigned Numbers Authority(IANA)では AH にプロ トコル 番 号 51 を 割 り 当 てています したがって トンネル モードとトランスポート モードのどちらでも AH ヘッダーを 使 用 する 場 合 には IP ヘッダーのプロトコル フィールドには 51 という 値 が 使 用 されます この 図 では IPSec AH によるパケットの 形 式 を 表 しています トンネル モードでは 元 の IP ヘッダーからトンネル ヘッダー へ type of service(tos; タイプ オブ サービス)バイトの 値 が 自 動 的 にコピーされます 詳 細 については この 文 書 の パ ケットの 分 類 のセクションを 参 照 してください

4 ESPは 暗 号 化 されたデータおよび 暗 号 化 されたトレーラに 先 行 している 非 暗 号 化 ヘッダーで 構 成 されています ESPは 暗 号 化 およ び 認 証 を 両 方 提 供 します AHと 同 様 に ESPは 認 証 のためのSHAおよびMD5ハッシュ アルゴリズムをサポートします それは 暗 号 化 プロトコルとしてDESおよびトリプルDESをサポートします ESP ヘッダーは 最 小 8 バイトで 次 に 図 示 してあります IANA では ESP にプロトコル 番 号 50 を 割 り 当 てています したがって トンネル モードおよびトランスポート モードのどち らでも ESP ヘッダーだけを 使 用 する 場 合 には IP ヘッダーそのプロトコル フィールドには 50 という 値 が 使 用 されます この 図 では IPSec ESP ヘッダーとトレーラが 付 いたパケットの 形 式 が 表 されています トンネル モードでは 元 の IP ヘッダ ーからトンネル ヘッダーへ TOS バイトの 値 が 自 動 的 にコピーされます 詳 細 については この 文 書 の パケットの 分 類 のセ クションを 参 照 してください IPSec による GRE トンネルの 使 用 IPSecはInternetwork Packet Exchange (IPA)およびAppleTalkのようなマルチキャストか 非 IPトラフィックを サポートしませ ん IPSec ではマルチキャスト トラフィックがサポートされていないということは EIGRP( )や OSPF( および )のようなマルチキャストのトラフィック ルーティング プロトコル 情 報 が 搬 送 できないことを 意 味 します GREがマルチキャストトラフィックをカプセル 化 するのに 使 用 されています この 後 このトラフィックは IPSec によって 暗 号 化 されるため ルーティング プロトコル トラフィックが VPN 上 を 流 れることができます IPSecおよびGREの 設 定 例 に 関 して は OSPFでのIPSec 上 のGREトンネルの 設 定 を 参 照 して 下 さい GRE トンネル ヘッダーにより 2 段 階 目 のカプセル 化 ができます GREトンネルおよびIPSecだけ 使 用 しない 場 合 GREトンネル インターフェイスのQuality of Serviceオプションを 参 照 して 下 さい この 図 では IPSec GRE でカプセル 化 されたパケット と 元 の IP ヘッダーを 表 しています パケットを 分 類 して 下 さい

5 分 類 はグループかトラフィッククラスにパケットのレイヤ2 3つ か4つのヘッダおよびそのパケットを 入 れることの1つ 以 上 のフ ィールドの 一 致 のプロセスを 定 義 します パケットの 分 類 により ネットワークのトラフィックを 複 数 の 優 先 順 位 レベルやサー ビスのクラスに 分 けることができます IPSec と GRE をあわせて 設 定 する 場 合 最 も 簡 単 な 分 類 方 法 は IP 優 先 順 位 または Differentiated Services Code Point(DSCP; DiffServ コード ポイント)の 値 を 照 合 することです IPSecのためのおよびそれと 共 にCisco IOSソフトウェアリ リース11.3Tによって 導 入 されるサポートTOSバイト 保 存 機 能 この 機 能 を 使 用 すると トンネル モードの IPSec が 使 用 されて いる 場 合 ルータによって 元 の IP パケットからカプセル 化 された IP ヘッダーに ToS ヘッダーの 値 が 自 動 的 にコピーされま す Cisco PIX Firewallバージョン5.1およびそれ 以 降 およびVPN 3000シリーズコンセントレータバージョン3.5およびそれ 以 降 はTOS バイトコピーをサポートします セクション5.1.2 トンネルモードのためのヘッダ 構 築 RFC 2401で IP TOSビットをコピ ーすることの 統 治 を 委 任 します ToS バイトの 維 持 は AH にも 該 当 します 転 送 するモードのESPが 元 のIPヘッダーを 保 つ オリジナルTOS 値 はTOSバイト 保 存 な しで 送 信 されますまたことに 注 目 すれば パケットがset ip precedenceかdscp 値 なしでルータで 着 く 場 合 暗 号 化 かカプセル 化 の 前 にパケットヘッダーをマークし 直 すた めにクラスに 基 づいてマークできます パケットが 出 力 インターフェイスに 到 達 すると QoS 出 力 ポリシーにより 再 マークさ れた 値 に 基 づいて 照 合 と 処 理 が 行 えます IP 優 先 順 位 に 基 づいて QoS ポリシーを 設 定 する 際 には 次 の 2 つのポリシーが 適 用 されます Input 出 力 ポリシーのタイプ ポリシーのアクション ポリシーの 位 置 元 のIPヘッダーのIP precedenceをマークして 下 さ い IP 優 先 順 位 によって 差 別 化 されたトラフィックのクラス に 対 して 最 低 限 の 帯 域 幅 の 保 証 を 付 与 入 力 インターフ ェイス 出 力 インターフ ェイス この 表 では IP 優 先 順 位 に 基 づいた QoS ポリシーの 設 定 を 示 しています 入 力 ポリシー ToS に 基 づいた QoS access-list 150 permit tcp any any eq www access-list 150 permit tcp any eq www any access-list 151 permit tcp any any eq telnet access-list 151 permit tcp any eq telnet any class-map match-any ingress-web match access-group 150 class-map match-any ingress-telnet match access-group 151 policy-map settos class ingress-web set ip precedence 1 class ingress-telnet set ip precedence 2 interface ethernet 0/0 service-policy in settos 出 力 ポリシー class-map match-any egress-web match ip precedence 1 class-map match-any egress-telnet match ip precedence 2 policy-map usetos class egress-web bandwidth percent 25 class egress-telnet bandwidth percent 15 interface serial 1/0 bandwidth 512 service-policy out usetos crypto-map TEST

6 示 されていなくてが またテール ドロップに 代 替 ドロップ メカニズムとして 各 クラスに 重 み 付 けランダム 早 期 検 出 (WRED)を 適 用 できます 再 マークされた IP 優 先 順 位 の 値 は ネットワーク 全 体 に 適 用 されます そのため 予 想 外 の 分 類 やパフォーマンスが 生 じない ように QoS ドメイン 全 体 を 通 して 一 貫 性 のあるポリシーが 実 装 されていることを 確 認 してください また IP precedenceかdscp 以 外 値 に 基 づいてトラフィックを 分 類 したいと 思 う 場 合 もあります たとえば 送 信 元 および 宛 先 IP アドレスのようなIPフローかレイヤ3 情 報 に 基 づいてパケットを 分 類 したいと 思 う 場 合 もあります これを 実 行 するには VPN 向 けの QoS 機 能 を 使 用 する 必 要 があります この 機 能 は qos pre-classify コマンドで 使 用 可 能 になり Cisco 7100 シリーズ VPN ルータと Cisco 7200 シリーズ ルータでは Cisco IOS ソフトウェア リリース 12.1(5)T 以 降 で さらに Cisco 2600 と Cisco 3600 シリーズ ルータでは Cisco IOS ソフトウェア リリース 12.2(2)T 以 降 で 使 用 できます バーチャル プライベー ト ネットワーク 向 けの QOS の 設 定 を 参 照 してください qos pre-classify のメカニズムによって シスコ ルータが 内 側 の IP ヘッダーのフィールドに 基 づいた 暗 号 化 を 行 う 前 に 内 側 の IP ヘッダーのコピーを 作 成 し QoS の 分 類 を 実 行 できるようになります この 機 能 がない 場 合 同 じトンネルを 通 過 する パケットは すべて 同 一 のトンネル ヘッダーを 持 ち 輻 輳 の 発 生 時 には 同 じ 扱 いを 受 けます このため 分 類 エンジンでは 単 一 の 方 式 で 暗 号 化 されてトンネル 処 理 されたフローしか 扱 わないことになります 分 類 のポリシーがTOSバイトと 一 致 する 場 合 TOS 値 が 外 ヘッダにデフォルトでコピーされるのでqos pre-classifyコマンドを 使 用 する 必 要 はありません IP 優 先 順 位 に 基 づいてトラフィックをクラスに 分 類 するという 簡 単 な QoS ポリシーを 作 ることがで きます ただし クラス 内 のトラフィックを 分 類 し 複 数 のフローベースのキューにそれを 分 けるために qos pre-classifyコ マンドが 必 要 となります Note:ToS バイトのコピーは qos pre-classify コマンドではなく トンネリング メカニズムによって 実 行 されます qos pre-classify コマンドは 次 の 図 に 示 すように 構 成 の 中 のさまざまな 箇 所 で 適 用 できます GREだけ-トンネルインターフェイスのqos pre-classifyコマンドを 設 定 して 下 さい interface Tunnel0 ip address qos pre-classify tunnel source tunnel destination interface serial 0/0 ip address fair-queue IPSecだけ-クリプトマップの 下 でqos pre-classifyコマンドを 設 定 して 下 さい crypto map TEST 10 ipsec-isakmp set peer set transform-set SET match address Test qos pre-classify interface serial 0/0 ip address crypto map TEST random-detect random-detect flow IPSecおよびGRE -トンネルインターフェイスのおよびクリプトマップの 下 のqos pre-classifyコマンドを 設 定 して 下 さい crypto map TEST 10 ipsec-isakmp set peer set transform-set SET match address Test qos pre-classify interface Tunnel0 ip address qos pre-classify tunnel source tunnel destination crypto map TEST interface serial 0/0 ip address service-policy out matchportnumbers crypto map TEST IPSecおよびGREでQoS 事 前 分 類 を 設 定 するためにこれらのステップを 完 了 して 下 さい 1. クリプトマップを 設 定 し マップ 設 定 モードのqos pre-classifyコマンドを 規 定 して 下 さい

7 2. crypto map cryptomap_gre1 10 ipsec-isakmp set peer set transform-set transf_gre1_transport match address 130 qos pre-classify show crypto map コマンドを 使 用 して 設 定 を 確 認 します vpn1#show crypto map Crypto Map: "cryptomap_gre1" idb: Loopback0 local address: Crypto Map "cryptomap_gre1" 10 ipsec-isakmp Description: Crypto map on GRE1 tunnel mode transport >3/30 Peer = Extended IP access list 130 access-list 130 permit gre host host Current peer: Security association lifetime: kilobytes/3600 seconds PFS (Y/N): N Transform sets={ transf_gre1_transport, } QOS pre-classification GREトンネル インターフェイスを 定 義 し クリプトマップおよびqos pre-classifyコマンドを 適 用 して 下 さい 4. interface Tunnel0 ip address qos pre-classify tunnel source Loopback0 tunnel destination crypto map cryptomap_gre1 show interface tunnel 0 コマンドを 使 用 して QoS 事 前 分 類 が 有 効 になっていることを 確 認 します 2621vpn1#show interface tunnel 0 Tunnel0 is up, line protocol is up Hardware is Tunnel Description: VPN resilience test - 1st GRE tunnel Interface mode transport >3/3 Internet address is /30 Tunnel source (Loopback0), destination Tunnel protocol/transport GRE/IP, key disabled, sequencing disabled Checksumming of packets disabled, fast tunneling enabled Last input 00:00:04, output 00:00:04, output hang never Last clearing of "show interface" counters 00:00:51 Queueing strategy: fifo (QOS pre-classification) Output queue 0/0, 0 drops; input queue 0/75, 0 drops 上 記 の 出 力 では トンネル インターフェイスで QoS 事 前 分 類 と 高 度 なキューイングが 有 効 にされている 状 態 でも 引 き 続 きキ ューイング 方 式 として First In First Out(FIFO; 先 入 れ 先 出 し)が 使 用 されていることを 示 しています これはラインキュー イング 戦 略 が 付 いているshowコマンド 出 力 で 説 明 されます: fifo (QOS 事 前 分 類 ) デスティネーションデバイスが 順 番 が 異 なる 着 くIPsecパケットを 廃 棄 するのでGREおよびIPSecトンネルは 両 方 FIFOキューイングを 必 要 とします VPN 環 境 では トンネルインターフェイスまたは 根 本 的 な 物 理 インターフェイスにQoSサービスポリシーを 適 用 できます qos pre-classify コマンドの 設 定 が 必 要 かどうかは 分 類 でどのヘッダー およびどのヘッダー 値 を 使 用 するかによって 決 まりま す 内 部 ヘッダーに 基 づいてパケットを 分 類 したいと 思 う 場 合 qos pre-classifyコマンドなしでトンネルインターフェイスにポ リシーを 適 用 して 下 さい 外 ヘッダに 基 づいてパケットを 分 類 したいと 思 う 場 合 qos pre-classifyコマンドなしで 物 理 インターフェイスにポリシーを 適 用 して 下 さい 物 理 インターフェイスが 輻 輳 ポイントであるかもしれないので 内 部 ヘッダーに 基 づいてパケットを 分 類 し 物 理 インターフ ェイスにポリシーを 適 用 したいと 思 ったらポリシーを 物 理 インターフェイスに 適 用 し qos pre-classifyコマンドを 有 効 に して 下 さい 2002 年 5 月 現 在 で CiscoはVPN 環 境 の 物 理 インターフェイスに 階 層 型 ポリシーのアプリケーションを 推 奨 します QOS ポリシー としてのトラフィック ポリシー( 階 層 化 トラフィックポリシー)の 例 を 参 照 してください この 設 定 では 親 ポリシーはすべ てのトラフィックで 分 類 するか または 一 致 するためにそのトンネルに 属 し トンネルの 出 力 を 制 限 するshapeコマンドを 使 用 す るトンネル 毎 に1つのクラスが 含 まれています トンネルの 中 のフローの 分 類 は 子 ポリシーの 助 けによって 適 用 し qos preclassifyコマンドで 内 部 IPヘッダーまたは 外 IPヘッダーにqos pre-classifyコマンドなしで 基 づいていることができます トン ネルのための 親 ポリシーのそれぞれのshapeコマンドの 指 定 された 帯 域 幅 の 値 がインターフェイス 比 率 をオーバーサブスクライブ しないようにして 下 さい ステップはこの 設 定 にここにあります 1. 子 ポリシーのクラスを 作 成 して 下 さい たとえばそれらの 値 がトラフィックフローで 既 に 設 定 されている 場 合 特 定 のDSCP またはIP precedence 値 で 一 致 する 選 択 して 下 さい

8 2. class-map ef match ip dscp ef class-map af match ip dscp af31 子 ポリシーマップを 作 成 して 下 さい 手 順 1 で 使 用 したクラスを 指 定 します これらのクラスに QoS アクションを 適 用 し ます そのようなアクションの 例 はpriorityコマンドでプライオリティキューイングの 仕 様 かbandwidthコマンドで 最 小 帯 域 幅 保 証 の 仕 様 が 含 まれています 3. policy-map QoS class ef priority percent a% class af bandwidth percent b% 親 ポリシーのクラスを 作 成 して 下 さい access-list コマンドを 使 用 して 特 定 のトンネルの 全 トラフィックについて ト ンネルの 発 信 元 と 宛 先 の IP アドレスを 照 合 して 分 類 する ACL を 指 定 します その 後 クラス マップを 作 成 し match access-group コマンドを 使 用 して その ACL を 参 照 します 4. class-map class-tunnel1 match access-group 101 class-map class-tunnel2 match access-group 102 class-map class-tunnel3 match access-group 103 親 ポリシーマップを 作 成 して 下 さい 手 順 3 で 使 用 したクラスを 指 定 します shape コマンドを 各 クラスに 適 用 して ト ンネル インターフェイスから 来 るすべてのトラフィックの 出 力 を 制 限 します 5. policy-map main class class-tunnel1 shape average x1 bps service-policy QoS class class-tunnel2 shape average x2 bps service-policy QoS class class-tunnel3 shape average x3 bps service-policy QoS class class-default shape average x4 bps service-policyコマンドの 助 けによって 物 理 インターフェイスに 親 ポリシーマップを 適 用 して 下 さい interface serial 1/0 service-policy out main Note:アプリケーションがGRE 環 境 のIPSecまたはIPSecのQoS 事 前 分 類 を 必 要 とする 場 合 クリプトマップのqos pre-classifyコ マンドを 有 効 にして 下 さい 親 クラスの 一 致 基 準 は 暗 号 マップで 使 用 しているアクセス グループと 同 じであることが 必 要 で す 例 では class-tunnel1のためのマッチ 基 準 は 物 理 インターフェイスかGREトンネル インターフェイスに 接 続 するクリプト マップと 同 じアクセスグループを 使 用 します Ciscoはソフトウェアベースの 暗 号 化 およびハードウェアベースの 暗 号 化 別 名 暗 号 化 アクセラレータ 両 方 サポートします 次 の 表 では シスコの 暗 号 化 ハードウェア アクセラレータと 事 前 分 類 のサポートを 一 覧 しています プラッ トフォ ーム Cisco 1700 シリー ズ 暗 号 化 ハードウェア ハードウェア 暗 号 化 によるワイヤ 速 度 の VPN Cisco 2600 シリーズ ルータでは 内 蔵 型 アドバンスド インテグレーション モジュ ール(AIM)スロットを 1 基 サポート Cisco 3660 では 2 基 の AIM スロットを サポート QoS 事 前 分 類 のサポー ト 暗 号 の 前 のCisco IOS ソフトウェアリリース 12.2Tサポート 低 遅 延 キューイング(LLQ) Cisco 2600お よび 3600シ リーズ AIM-VPN/BP (ベースパフォーマンス) AIM-VPN/EP ( 高 められたパフォーマ ンス) AIM-VPN/MP ( 中 間 パフォーマンス) AIM-VPN/High Performance (HP) Cisco 7200シリーズルータCisco 2600およ Cisco IOSソフトウ ェアリリース12.2(2)T 現 在 で 利 用 可 能

9 Cisco 7100お よび 7200シ リーズ Cisco 7100お よび 7200シ リーズ び3600シリーズCisco 2600および3600 VPN ルータBundlesのための 首 位 顧 客 宅 内 機 器 アプリケーションモジュラマルチサービス ルータ 仮 想 プライベートネットワークモジ ュール SA-VAM は VPN アクセラレーション モジ ュール それはCisco 7200か7100シリー ズでポートアダプタスロットにインストー ルし サービスモジュールスロットに Cisco 7100シリーズでインストールしま す SA-ISA(=) および SA-ISM(=) は それぞ れ 統 合 型 サービス アダプタおよび 統 合 型 サービス モジュール Cisco IOSソフトウェ アリリース12.2Tは 暗 号 機 能 の 前 にLLQをサ ポートします Cisco IOSソフトウェ アリリース T 12.1Eおよび 12.0(5)XEで 利 用 可 能 暗 号 化 ハードウェアがある 場 合 ルータ 内 のパケットのスイッチング パスを 変 更 すると QoS ポリシーの 動 作 が 変 化 します 暗 号 化 ハードウェアがあると CPU は パケットを 発 信 インターフェイスにキューイングする 前 に 暗 号 化 モジュールにリダイレクト します そのため 暗 号 化 ハードウェアをともなう IPSec と GRE の 環 境 では 次 の 2 つの 潜 在 的 な 輻 輳 ポイントが 存 在 するこ とになります クリプト キュー- FIFOだけをサポートします ハードウェアまたはソフトウェアによる 暗 号 化 のいずれかを 使 用 している 場 合 Voice over IP(VoIP)Real-time Transport Protocol(RTP)ストリームなどの 遅 延 に 影 響 されやすいパケットにつ いては カプセル 化 プロセスの 単 一 の FIFO キューで 遅 延 が 発 生 する 可 能 性 があります このキューにすでに 大 量 のデータ トラフィックがあるときに 遅 延 の 影 響 を 受 けやすいパケットが 到 達 すると 遅 延 は 増 大 します 影 響 を 最 小 限 にとどめるに は 適 切 なスケールのアーキテクチャを 備 えたシスコ ルータ シリーズを 選 択 して ハードウェアによるアクセラレーショ ンを 使 用 します 暗 号 化 エンジンが 混 雑 しない 場 合 FIFOがトラフィックバーストを 吸 収 するには 余 りにも 小 さくなければ 暗 号 化 エンジンのためのFIFOがあるために 問 題 を 提 起 しません 暗 号 化 エンジンを 通 してVoIPを 実 行 する 場 合 エンジンに よってレイテンシーを 理 解 したいと 思 う 場 合 もあります インターフェイスレベルキュー-ファンシー キューイング 方 式 をサポートします デフォルトで トンネルインターフェ イスは9キロビット/ 秒 の 帯 域 幅 パラメータの 論 理 インターフェイスです この 帯 域 幅 パラメータは EIGRP や OSPF などの 上 位 レイヤのプロトコルだけで 使 用 されます それは 実 際 に 使 用 トンネルトラフィックができるインターフェイス 帯 域 幅 か 出 力 レートを 制 限 しません したがって トンネル インターフェイスにクラスベース シェーピングを 実 装 して 人 工 的 な 輻 輳 キューまたはシェーピング キューを 構 築 する 必 要 がある 場 合 があります クラス ベースのシェーピングは 出 力 レートを 制 限 し 論 理 トンネル インターフェイスの 混 雑 した 状 態 の 原 因 となります トンネル インターフェイスでは シェーパによって 保 持 されている 超 過 パケットのキューイングを 開 始 し 超 過 パケットには 高 度 なキューイング ポリシーが 適 用 されます ハードウェアによる 暗 号 化 エンジンでは FIFO キューイングだけがサポートされています そのため LLQ を 使 用 するサービス ポリシーを トンネル トラフィックが 転 送 される 出 力 側 の 物 理 インターフェイスに 適 用 する 場 合 は IPSec プロセスのパフォー マンスが 出 力 インターフェイスより 大 きくなるようにしてください これによって このインターフェイスのプライオリティ キ ューイングのメカニズムが 動 作 するようになり 暗 号 化 エンジンが FIFO のボトルネックになることを 避 けることができます Cisco IOSソフトウェアリリース12.1ではpolicy-mapの 単 一 クラスにことをパケットマッチ 確 認 するために 一 般 的 な 分 類 はもた らされました( 詳 細 についてはQuality of Service 操 作 手 順 を 参 照 して 下 さい) VPN 環 境 では この 改 良 の1つの 結 果 はサービス ポリシーがIP precedenceで 一 致 するか またはトンネルヘッダーのDSCP 値 を 規 定 する 時 でさえIPSecトンネル 内 の 暗 号 化 トラフィ ックフローの 分 類 が 失 敗 することです この 問 題 は Cisco IOS ソフトウェア リリース 12.2(10) で 解 決 されており Cisco Bug ID CSCdw90486( 登 録 ユーザ 専 用 )と CSCdx08427( 登 録 ユーザ 専 用 )に 記 述 されています 含 んでいるCisco IOSソフトウェ アリリースでは 変 更 はこれらの 不 具 合 が 理 由 で ハードウェアおよびソフトウェア 暗 号 化 との 分 類 の 動 作 現 在 一 貫 しています 設 定 しました この 表 では QoS の 事 前 分 類 を 設 定 している 場 合 と 設 定 していない 場 合 について このバグ 修 正 が 行 われた 後 の MQC 機 能 の 動 作 を 説 明 しています 事 前 分 類 をサポートしないし 有 効 になる 事 前 分 類 がないプラットフォームに 関 しては のMQC 動 作 はカ ラムを 期 待 されますnot preclassify この 文 書 全 般 に 渡 って 内 側 と 外 側 のヘッダーの 定 義 に 使 用 されているものと 同 じ 定 義 が この 表 でも 使 用 されています 事 前 分 類 あり ハードウェア 暗 号 化 アクセラレータおよびCEF 共 通 分 類 内 側 outside set および police コマンド 内 側 outside キューイング 内 側 outside フローベース WFQ 内 側 outside ハードウェア 暗 号 化 アクセラレータおよびプロセススイッチング 共 通 分 類 内 側 outside Preclassify 無 し

10 set および police コマンド 内 側 (1) outside キューイング 内 側 outside フローベース WFQ 内 側 outside ソフトウェア 暗 号 化 と CEF 共 通 分 類 内 側 outside set および police コマンド 内 側 outside キューイング 内 側 outside フローベース WFQ 内 側 outside ソフトウェア 暗 号 化 とプロセス 交 換 共 通 分 類 内 側 outside set および police コマンド 内 側 (1) outside キューイング 内 側 outside フローベース WFQ 内 側 outside Note:setおよびpoliceコマンドがpreclassifiedクラスで 機 能 するが パケットのマーキングは 外 ヘッダにだけ 発 生 します 設 定 例 この 設 定 例 では IPSec と GRE の 環 境 に 対 して QoS サービス ポリシーを 作 成 するコマンドを 説 明 しています GREトンネルはIPSecピアを 接 続 し トンネル 伝 送 されたパケットはIPSecの 助 けによって 暗 号 化 されます set ip precedenceにクラスベースマーキングを 加 える 入 力 ポリシーを 作 成 して 下 さい クラス ベースのシェーピングを 使 用 して 最 大 帯 域 幅 に 各 暗 号 化 されたトンネルを 制 限 し またClass-Based Weighted Fair Queuing (CBWFQ)によって 最 小 帯 域 幅 保 証 を 適 用 する 出 力 ポリシーを 作 成 して 下 さい 入 力 ポリシー クラスベースマーキングを 加 える 入 力 ポリシーを 作 成 するためにこれらのステップを 完 了 して 下 さい ip cef コマンドで CEF をイネーブルにします クラスベースマーキングにCEFが 必 要 となります QoSでCEFが 必 要 とされ る 場 合 を 参 照 して 下 さい を 参 照 してください トラフィックをクラスにソートするため 基 準 を 定 義 して 下 さい この 設 定 では Telnet トラフィックに 対 して flow-hi クラスを ICMP トラフィックに 対 して flow-low クラスを 定 義 しています ポリシーマップを 定 義 し 定 義 されたクラスにQoSアクションを 定 義 して 下 さい インターフェイスにポリシーを 適 用 して 下 さい この 場 合 それはシリアルサブインターフェイスです この 表 では クラスベース マーキングを 行 う 入 力 ポリシーの 設 定 を 示 しています ip cef class-map match-any flow-low match protocol icmp class-map match-any flow-hi match protocol telnet policy-map qos-in class flow-hi set ip precedence 4 class flow-low set ip precedence 2 int s0/0.1 service-policy input qos-in クラスベースマーキング 入 力 ポリシー router#show policy-map interface s0/0.1 Serial0/0.1

11 Service-policy input: qos-in) --- Apply input policy named "qos-in." Class-map: flow-hi (match-any) 447 packets, bytes 30 second offered rate 5000 bps, drop rate 0 bps --- Input rate for class named "flow-hi." Match: protocol telnet 447 packets, bytes 30 second rate 5000 bps --- Input rate for class named "flow-hi." QoS Set ip precedence 4 Packets marked Number of packets marked. Class-map: flow-low (match-any 237 packets, bytes 30 second offered rate bps, drop rate 0 bps Match: protocol icmp 237 packets, bytes 30 second rate bps QoS Set ip precedence 2 Packets marked 237 Class-map: class-default (match-any) --- The default class is automatically defined. 1 packets, 48 bytes 30 second offered rate 0 bps, drop rate 0 bps Match: any 出 力 ポリシー この 設 定 では ネスト 型 ポリシーとも 呼 ばれる 階 層 型 の 出 力 ポリシーを 作 成 します( 詳 細 については QOS ポリシーとしてのト ラフィック ポリシー( 階 層 化 トラフィックポリシー)の 例 を 参 照 してください) 親 ポリシーでクラスベース シェーピ ングを 行 って トンネル インターフェイスの 全 体 の 出 力 レートを 制 限 します また 子 ポリシーで キューイングされた 超 過 分 に 対 して CBWFQ を 使 用 して 最 小 帯 域 幅 の 保 証 を 行 います この 設 定 の 手 順 は 次 のとおりです 子 ポリシーを 作 成 して 下 さい この 設 定 では 再 マークされた Telnet トラフィックに 対 して ipsec-hi クラスを 再 マークされた ICMP トラフィ ックに 対 して ipsec-low クラスを 定 義 しています この 設 定 では ポリシー マップ ipsec-flow を 使 用 し bandwidth コマンドで Telnet トラフィックと ICMP トラ フィックに CBWFQ を 適 用 しています 親 ポリシーを 作 成 して 下 さい この 設 定 では ipsec クラスを 定 義 して これで 照 合 するトラフィックを 16 kbps にシ ェーピングしています 親 ポリシー 内 の 子 ポリシーを 適 用 して 下 さい この 設 定 では 親 ポリシー qos-out の 中 に 子 ポリシー ipsec-flow を QoS アクションとして 適 用 しています この QoS アクションは シェーパによって 保 持 およびキューイングされていた パケットに 対 する CBWFQ です インターフェイスに 親 ポリシーを 適 用 して 下 さい この 場 合 それはシリアルサブインターフェイスです この 表 では 再 マークした 値 に 基 づいて シェーピングを 行 い CBWFQ を 適 用 する 出 力 ポリシーの 設 定 を 示 しています class-map match-all ipsec-hi match ip precedence 4 class-map match-all ipsec-low シェーピングと CBWFQ を 実 行 する 出 力 ポリシー

12 match ip precedence 2 policy-map ipsec-flow class ipsec-hi bandwidth 8 class ipsec-low bandwidth 8 class-map match-all ipsec match protocol gre policy-map qos-out class ipsec shape average service-policy ipsec-flow int fa0/0 service-policy output qos-out --- Apply the policy to the physical interface through --- which the tunnel traffic is transmitted. router#show policy-map interface fast 0/0 FastEthernet0/0 Service-policy output: qos-out --- "Parent" policy named "qos-out." Class-map: ipsec (match-all) 1422 packets, bytes 30 second offered rate bps, drop rate 0 bps --- Egress rate before shaping. Match: protocol gre Traffic Shaping Target Byte Sustain Excess Interval Increment Adapt Rate Limit bits/int bits/int (ms) (bytes) Active Queue Packets Bytes Packets Bytes Shaping Depth Delayed Delayed Active yes Service-policy : ipsec-flow --- "Child" policy named "ipsec-flow." Class-map: ipsec-hi (match-all) 788 packets, bytes 30 second offered rate bps, drop rate 0 bps Match: ip precedence 4 Weighted Fair Queueing Output Queue: Conversation 25 Bandwidth 8 (kbps) Max Threshold 64 (packets) (pkts matched/bytes matched) 389/ (depth/total drops/no-buffer drops) 4/0/0 Class-map: ipsec-low (match-all) 634 packets, bytes 30 second offered rate bps, drop rate 0 bps Match: ip precedence 2 Weighted Fair Queueing Output Queue: Conversation 26 Bandwidth 8 (kbps) Max Threshold 64 (packets) (pkts matched/bytes matched) 270/ (depth/total drops/no-buffer drops) 64/2/0 Class-map: class-default (match-any) 0 packets, 0 bytes 30 second offered rate 0 bps, drop rate 0 bps Match: any Class-map: class-default (match-any) 115 packets, bytes 30 second offered rate 0 bps, drop rate 0 bps

13 Match: any Note: 親 ポリシーでは match protocol gre コマンドを 使 用 して IP ヘッダーの GRE に 割 り 当 てられたプロトコル 値 との 照 合 を 指 定 します Cisco IOS 機 能 の 実 行 の 順 序 に 基 づいて ACLおよびQoS 機 能 は 非 暗 号 化 パケットを 見 ます したがって AH ま たは ESP のプロトコル 値 (それぞれ 51 および 50)に 一 致 する ACL の 設 定 が 動 作 しません(Cisco Bug ID CSCdu63385( 登 録 ユーザ 専 用 )および(CSCdv20737( 登 録 ユーザ 専 用 )) この 制 限 は ハードウェアの 暗 号 化 とソフトウェアの 暗 号 化 の 両 方 に 該 当 します まれに QoS 機 能 はCEFスイッチングのために 設 定 されたルータの 暗 号 化 されたパケットの 修 正 されたIPヘッダーに 基 づいてパケットを 分 類 しました 暗 号 化 コードと CEF が 誤 って 有 効 な CEF の 隣 接 関 係 を 特 定 できなかった 際 に 実 際 には CEF パケットがプロセス 交 換 されていたのがこの 理 由 です Note:クラスマップで 非 IPプロトコルで IPXおよびAppleTalkのような 一 致 するmatch protocolコマンドを 使 用 しまた 内 部 ヘッ ダーの 値 で 一 致 するためにqos pre-classifyを 有 効 にすれば 内 部 ヘッダーに 基 づく 分 類 ははたらきません 制 限 および 関 連 問 題 このセクションでは 同 一 のルータ 上 での 暗 号 化 と QoS の 実 行 に 関 連 する 既 知 の 問 題 と 回 避 策 について 説 明 します QoS および 再 生 防 止 保 護 一 部 の 暗 号 変 換 セットにはリプレイ 攻 撃 に 対 する 防 御 機 能 が 備 わっており 暗 号 化 ヘッダーにシーケンス 番 号 を 適 用 している 場 合 に 機 能 します 高 度 なキューイングを 行 っていて 輻 輳 しているインターフェイスでは 優 先 順 位 の 低 いパケットはキュー 内 で 遅 延 する 場 合 があり リプレイ 攻 撃 対 策 の 枠 が 超 過 した 後 で 復 号 化 を 行 うルータに 到 達 することになります この 場 合 受 け 取 るデバイスはパケットを 廃 棄 します さらに 暗 号 化 されたパケットがある 特 定 のウィンドウによって 宛 先 で( 現 在 64のパケット に 設 定 される) 順 序 が 狂 って 着 けば パケットは 廃 棄 されます Ciscoはこれらの 制 限 を 克 服 するメソッドのための 眺 望 に 現 在 あ ります 再 生 防 止 保 護 が 設 定 されているこれらのトランスフォームから 無 効 である 場 合 もないことに 注 目 して 下 さい esp-sha-hmac esp-md5-hmac ah-md5-hmac ah-sha-hmac リプレイ 攻 撃 対 抗 機 能 を 各 IPSec SA に 対 して 有 効 にするかどうかは show crypto ipsec sa コマンドを 使 用 します NBAR 2611-ch5#show crypto ipsec sa interface: Tunnel0 Crypto map tag: Test, local addr inbound esp sas: spi: 0xDE92271( ) transform: esp-des esp-sha-hmac, in use settings ={Transport, } slot: 0, conn id: 2000, flow_id: 1, crypto map: Test sa timing: remaining key lifetime (k/sec): ( /99) IV size: 8 bytes replay detection support: Y NBARはトンネル 伝 送 するか または 暗 号 化 が 使 用 される 論 理 インターフェイスで 設 定 できません それはまたクリプトマップで 設 定 されるあらゆる 物 理 インターフェイスでサポートされません したがって GRE または IPSec あるいはその 両 方 が 使 用 さ れている 場 合 の QoS ポリシーでは URL や Web サーバのホスト 名 などの 高 レイヤのパケット 情 報 に 基 づくトラフィックの 分 類 に NBAR は 使 用 できません この 制 限 事 項 の 原 因 となっているのは 事 前 分 類 機 能 によって 保 存 と 参 照 がされるパケット ヘッ ダーのバイト 数 です 具 体 的 には QoS の 事 前 分 類 では パケットをカプセル 化 する 前 に IOS の API を 呼 び 出 します この API では 元 のパケットのヘッダー 情 報 のコピーが 使 用 されます パケットが 出 力 側 の QoS 機 能 にヒットすると TCP ポートや 実 際 の 宛 先 の IP アドレスなどの 保 存 されている 情 報 に 基 づいて このパケットに QoS が 適 用 されます 二 重 アカウンティング show policy-map interface コマンドの 出 力 にある 分 類 カウンタには CEF GRE および IPSec の 設 定 で 暗 号 化 されたトンネル を 通 過 する 既 知 のパケットについて 倍 の 数 が 表 示 されることがあります 次 の 出 力 は この 状 況 を 示 しています router#show policy-map interface fa0/0 FastEthernet0/0 Service-policy output: qos-out Class-map: ipsec (match-all) 44 packets, 8580 bytes 30 second offered rate 1000 bps, drop rate 0 bps Match: protocol gre Traffic Shaping Target Byte Sustain Excess Interval Increment Adapt

14 Rate Limit bits/int bits/int (ms) (bytes) Active Queue Packets Bytes Packets Bytes Shaping Depth Delayed Delayed Active no CEF スイッチング パスで 発 生 した 出 力 パケットの 分 類 が 暗 号 化 プロセスでパケットがキューイングを 解 除 されときに 再 度 行 わ れることが この 原 因 です この 問 題 は 次 の Cisco Bug ID で 解 決 されています CSCdu17976 ( 登 録 ユーザだけ) -フラグの 既 に 示 す 追 加 によってこの 問 題 を 解 決 しま 分 類 されますようにパケットを CSCdv79109 ( 登 録 ユーザだけ) - CEFスイッチングおよびCisco IOSソフトウェアリリース12.2メインライン CSCdt62225 ( 登 録 ユーザだけ) -ファーストスイッチングおよびCisco IOSソフトウェアリリース12.2メインライン さらに GREトンネルおよびIPSecが 両 方 設 定 されるとき パケットはGREカプセル 化 と 一 度 IPSecカプセル 化 の 後 で2 回 CEFルックア ップ プロセスによる 一 度 動 作 します パケットが 伝 送 されるのは IPSec カプセル 化 の 後 だけなので CEF によるパケットご とのロード バランシングは 失 敗 し パケットは 常 に 同 じインターフェイスを 使 用 します ソフトウェア 暗 号 化 およびファーストスイッチング/CEF ソフトウェアによる 暗 号 化 QoS の 事 前 分 類 機 能 および CBWFQ を 使 用 する 場 合 ファースト スイッチングされたパケットは 正 しく 分 類 されないことがあります この 問 題 は show policy-map interface コマンドの 出 力 で 見 ることができます 3640-ch1#show policy-map interface {snip} Class-map: precedence (match-all) 5 packets, 520 bytes --- Five packets matched the class. 30 second offered rate 0 bps, drop rate bps Match: ip precedence 5 Weighted Fair Queueing Output Queue: Conversation 26 Bandwidth 10 (%) Bandwidth 1 (kbps) Max Threshold 64 (packets) (pkts matched/bytes matched) 11756/ Many packets actually are queued. (depth/total drops/no-buffer drops) 63/6359/0 対 応 策 として ハードウェア 暗 号 化 モジュールを 使 用 しますか no ip route-cache cefコマンドでプロセススイッチングを 強 制 するか またはQoSの 事 前 分 類 をディセーブルにして 下 さい この 結 果 class-default クラスで 均 等 化 キューイング システ ムが 暗 号 化 された 単 一 のフローを 扱 うようになります この 問 題 は Cisco Bug ID CSCdw28771( 登 録 ユーザ 専 用 )で 解 決 されています レガシープライオリティキューイングおよびQoS PreClassify priority-listおよびpriority-groupコマンドを 使 用 する およびQoSの 事 前 分 類 機 能 は 一 緒 にサポートされませんCiscoのレガシ ー プライオリティ キューイング 機 能 その 代 り MQCのpriorityコマンドでポリシーマップを 設 定 することによる 実 装 する LLQ ハードウェア 暗 号 化 およびQoS ハードウェアによる 暗 号 化 と QoS で 解 決 済 の 問 題 があります CiscoバグID CSCdv25358 ( 登 録 ユーザだけ) - Ciscoレガシー 専 用 アクセスレート(CAR) 機 能 を 通 してトラフィック ポリシ ングを 設 定 するrate-limitコマンドを 使 用 するときqos pre-classifyコマンドはハードウェア 暗 号 化 も 使 用 されるときはた らきません この 機 能 の 組 み 合 わせでは 暗 号 化 が 実 行 されません 対 応 策 として モジュラQoS Command Line Interface (CLI) (MQC)で 設 定 されるpolicy-mapのpoliceコマンドの 助 けによる 実 装 するクラスベースのポリシング 他 の QoS 機 能 (MQC または 非 MQC)は 影 響 を 受 けません CiscoバグID CSCdw29595 ( 登 録 ユーザだけ) - 暗 号 化 パスのパフォーマンスはCisco IOSソフトウェアリリース12.2(6.8)がハ ードウェア 暗 号 化 カードと 使 用 されるとき 低 下 します このパフォーマンスのロスは 暗 号 化 されたパケットが ファース ト スイッチングではなく プロセス 交 換 されるためです この 状 況 は IPSec がインターフェイスに 適 用 され 同 時 にハ ードウェア 暗 号 化 カードが 使 用 されている 場 合 に 発 生 します 回 避 策 はありません CiscoバグID CSCdw30566 ( 登 録 ユーザだけ) - GRE 環 境 のIPSecでは CEFを 有 効 にすれば それは 低 下 した 転 送 パフォーマン スのパケットが 実 際 にプロセス 交 換 されるので 原 因 となります パケットが GRE カプセル 化 処 理 を 受 けた 後 に 行 われる CEF のパケットの 処 理 方 法 が この 状 態 の 原 因 です 対 応 策 として ディセーブルCEFは パケットがファスト スイッチ されるようにし 暗 号 化 アクセラレータを 使 用 している 場 合 には この 文 書 の パケットの 分 類 のセクションと Cisco Bug ID CSCdw90486( 登

15 録 ユーザ 専 用 )と CSCdx08427( 登 録 ユーザ 専 用 )で 行 われた 変 更 の 説 明 を 参 照 してください 関 連 情 報 RFC Security Architecture for the Internet Protocol RFC Authentication Header RFC IP Encapsulating Security Payload (ESP) Cisco ネットワークレイヤの 暗 号 化 の 設 定 とトラブルシューティング: 背 景 説 明 - 第 1 部 GRE トンネル インターフェイスでの QoS オプション OSPFでIPsec 上 のGREトンネルを 設 定 する 場 合 トラブルシューティング テクニカルノーツ Cisco Systems, Inc. All rights reserved. Updated: July 03,2011 Document ID: