IOS router で暗号化設定を使用する状況において、QoS に関連するパケットサイズのカウンタ表示を確認いただく際は注意が必要です。
本ドキュメントでは TAC case でよくお問い合わせいただく show policy-map interface でのQoSカウンタ表示確認時の注意点について説明します。
[toc:faq]
ドキュメント概要
暗号化設定と共に QoS を使用する場合、IOS では暗号化前の内側の IP ヘッダー情報に基づいたQoS分類を実行するための qos pre-classify 設定があります。
ルータ上で QoS の動作状況を確認するコマンドとしてshow policy-map interfaceがありますが、暗号化 + qos pre-classify の設定がある場合、カウンタ箇所により暗号化ヘッダーサイズを含む/含まない場合があり、その出力結果の見方に注意が必要です。
なお本ドキュメントで説明する挙動は現在の IOS 実装動作となり、不具合ではございません。
以下では、注意が必要な出力箇所について2つの状況を説明します。
出力確認構成
以下のような状況でログを取得しています。
Test Topology:
QoS Router の設定抜粋:
policy-map POLICY
class test-class
shape average 1000
crypto map IPSEC 1 ipsec-isakmp
set peer 10.1.1.2
set transform-set TEST
match address 101
qos pre-classify
interface Ethernet0/0
ip address 10.1.1.1 255.255.255.0
load-interval 30
crypto map IPSEC
service-policy output POLICY
1. 暗号化ヘッダーサイズの有無
show policy-map interface 出力には、そのクラスに該当したパケット数/サイズのカウンタ(#1)、ならびにそのクラスから出力が行われたパケット数/サイズのカウンタ(#2)があります。
Router1#show policy-map int e0/0
Ethernet0/0
Service-policy output: POLICY
Class-map: test-class (match-all)
1 packets, 114 bytes <<< (#1)
30 second offered rate 0000 bps, drop rate 0000 bps
Match: access-group 101
Queueing
queue limit 64 packets
(queue depth/total drops/no-buffer drops) 0/0/0
(pkts output/bytes output) 1/182 <<< (#2)
shape (average) cir 1000, bc 4, be 4
target shape rate 1000
ここで暗号化+qos pre-classify 設定を併用している状況では、それぞれのカウンタには以下の差異があります。
(#1) : 暗号化ヘッダーサイズを含まないパケットサイズ
(#2) : 暗号化ヘッダーサイズを含むパケットサイズ
こちらの差異は現在の実装動作となり不具合ではございません。
2. offered rate vs drop rate
show policy-map interface 出力において、offered rate はそのクラスに該当する traffic rate を表し、drop rate は QoS policy 等により破棄された traffic rate を表しています。このため、通常は offered rate > drop rate となることが想定動作です。
しかし、暗号化+qos pre-classify 設定を併用している状況では、drop rate が offered rate を超える場合があります。
これは、それぞれのカウンタに以下のような差異があるためです。
offered rate : 暗号化ヘッダーサイズを含まないパケットサイズによるレート
drop rate : 暗号化ヘッダーサイズを含むパケットサイズによるレート
この影響により、以下のように多くの drop が見られる状況では、drop rate (1087000 bps) が offered rate (962000 bps) を超えて表示されてしまう場合があります。
Router1#show policy-map interface e0/0
Ethernet0/0
Service-policy output: POLICY
Class-map: test-class (match-all)
219538 packets, 109768614 bytes
30 second offered rate 962000 bps, drop rate 1087000 bps
Match: access-group 101
Queueing
queue limit 64 packets
(queue depth/total drops/no-buffer drops) 64/219268/0
(pkts output/bytes output) 270/152436
shape (average) cir 1000, bc 4, be 4
target shape rate 1000
こちらについても、計算されるパケットヘッダーサイズによる差異となり、現在の実装動作となり不具合ではございません。
本ドキュメント内容の注意事項:
-上記出力例は 15.4(3)M をベースとしています。
-こちらの実装は今後変更となる可能性もございます。
参考資料:
qos pre-classify について
http://www.cisco.com/cisco/web/support/JP/100/1008/1008166_crypto_qos-j.html