QoS auf dem 4500 Sup 6-E 10GE - wie wird ein Port untrusted?

[sebaaaat 10]

Hallo zusammen,

 

ich nutze im LAN eines Kunden das AutoQoS-feature. Auf den Access-Switchen (3560, 2960) mache ich es so, dass alle uplink-port ein "auto qos voip trust" und alle Access-Ports ein "auto qos voip cisco-phone" bekommen. Ports für Drucker und andere Geräte lasse ich einfach wie sie sind, und somit auf untrusted (default).

Beim 4506 im Core ist die Konfiguration aber ein bißchen anders: Alle Ports, die ich bei ihren default-Werten lasse, sind auf "trust":

 

Core_01#sh auto qos

GigabitEthernet2/1
auto qos voip trust 

GigabitEthernet2/2
auto qos voip trust

(...)

 

Wie kriege ich die Dinger auf untrusted? Ich will doch nicht allen Non-Cisco Servern einfach blind vertrauen, oder?

[daking 10]

Hallo,

 

die Sup-6E unterstützt keine qos kommandos (außer qos trust device cisco-phone)

 

Falls du die COS/DSCP Werte eines Ports zurücksetzten (untrusted) willst geht dies über eine policy-map:

 

!

policy-map in_untrusted

class class-default

set dscp default

set cos 0

!

interface x/y

service-policy input in_untrusted

!

 

ciao

[collapse 10]

Tipp alsbald die Packete im Backbone sind sollen sie die Priorisierung behalten (im Regelfall, auser es ist gewollt die Priorisierung zu aendern).

 

Somit ist es fur den 45xx nur wichtig dass er die Packete nicht mit neuen Values besetzt.

 

Im Access bereich hast du es ja Richtig gemacht, denn dort soll man die QoS Values setzen und sonst nirgends (auser die mgn Protocolle der Router, jene laufen eh mit 7).

[daking 10]

Hola,

 

absolut richtig. Die Trust Boundary sollte so nah am Endgerät plaziert werden wie möglich. Falls nun Server (das war denke ich die Frage) am 4k angeschlossen sind, sollte dort die Trust Boundary plaziert werden.

 

ciao

[sebaaaat 10]

Danke für die Antworten. Das die trust boundary in den Accessbereich gehört ist klar. Es ging wie gesagt nur um die am Core angeschlossenen Server. Ist es denn jetzt klüger, die Werte der Server mit

!
policy-map in_untrusted
class class-default
set dscp default
set cos 0
!
interface x/y
service-policy input in_untrusted
!

auf 0 zu setzen, oder sollte ich auf gut Glück alles auf trusted lassen..? Ersteres hätte zur Folge, das "wichtige" Serverdienste eventuell genauso behandelt würde, wie aller Clienttraffic. Letzteres hätte zur Folge, dass ein "unwichtiger" Serverdienst möglicherweise im Netz höchste Priorität hat.

 

Die 20 Server einzeln zu betrachten und passende QoS-Markings zu setzen ist mir ehrlich gesagt zu viel Aufwand ;)

 

Was würdet ihr tun?

[daking 10]

Hallo,

 

wenn du nicht weißt welche DSCP Werte ein Server generiert, kanns du diesen nicht vertrauen. Im Normalfall würde ich in diesem Fall die Server auf untrusted konfigurieren. Wichtig ist, dass der VoIP Traffic priorisiert wird und die Markierungen nicht in der DS Domain verloren gehen. Der "normale" Traffic kann sich dann selber handeln. Natürlich kann man sich über komplexere Konfigurationen Gedanken machen, jedoch muss man dann mehr Zeit investieren und ein sauberes Design entwickeln. Nach der Umsetzung sollte das geplante Design dann durch prof Benchmarks validiert werden..

 

Generell geht es nicht um die Server oder Komponenten, sondern um Traffic Klassen die gesondert behandelt werden sollen.

 

 

ciao