QoS IPsec

[tom12 10]

Hallo an alle!

 

Ich möchte folgendes realisieren:

 

IPSec Tunnel zw. mehreren Niederlassungen. Über jede Internetanbindung wird zusätzlich zum IPsec Tunnel auch noch Internet verwendet.

Über den Tunnel läuft Voip, ICA, und einfache datentransfers.

 

Ich möchte Qos implementieren:

 

1. VoIP priorisieren

2. IPsec vor Internet priorisieren

3. Internet Traffic

 

Wie ist hier die Vorgehensweise?

Werden die Queues abgearbeitet, bevor das PAket encrypted wird?

Kann ich einfach CBWFQ machen, und dort VOIP Pakete, dann ESP priorisieren?

 

Hat jemand einen LInk dazu?

 

Danke schonmal

 

Grüsse

Thomas

[Wordo 11]

http://www.cisco.com/en/US/products/ps6635/products_white_paper09186a0080189080.shtml

 

Mit qos-preclassify werden sie davor abgearbeitet ...

[daking 10]

Hola,

 

mit qos pre-classify kannst du vor der encryption priorisieren. qos pre-classify ist eigentlich nicht nötig, da die DSCP Werte in den IPSEC Header kopiert werden, jedoch ist es von cisco recommendet (performance).

Hier ein Beispiel:

 

!

crypto map <Name> 1 ipsec-isakmp

qos pre-classify

!

 

!

class-map match-all VoIP

match ip dscp ef

class-map match-all routing

match ip dscp cs6

match access-group name ike_toSite

class match-all vpnTraffic

match access-group name esp_toSite

class-map match-all <Proto> //put other protos here

match xxx

!

policy-map myMap

class VoIP

priority percent xx

class routing

bandwidth percent 5

class vpnTraffic

bandwidth percent xx

class class-default

fair-queue

!

interface <xy>

bandwidth xxx //!!wichtig bandbreite anpassen!!

crypto map myMap

service-policy output myMap

!

ip access-list extended ike_toSite

permit udp any eq isakmp any eq isakmp

!

ip access-list extended esp_toSite

permit esp any x.x.x.x x.x.x.x

 

==> da könnte jetzt noch ein shaper zum Einsatz kommen der die default class auf die Restbandbreite anpasst. Auch ipsec fragmentation ist bei langsamen links ratsam!

 

Ciao

 

Thomas

[tom12 10]

Danke!

 

Grüsse

Thomas