802.1p と DSCP QoS

トピック:

802.1p の有効化

SonicOS では、QoS に対応する環境に参加している外部システムとの広い範囲での相互運用性を実現するために、第 2 層と第 3 層 CoS 方式をサポートしています。第 2 層の方式は、下図に示すように、フレームの優先順位を指定するために、イーサネット フレームのヘッダーに挿入された追加の 16 ビットのうちの 3 ビットを用いることのできる、IEEE 802.1p 標準です。

図 41. イーサネット データ フレーム

.

802.1p のサポートは、802.1p タグを処理するインターフェース上で 802.1p 級割を有効にすることにより開始されます。802.1p は、SonicWALL 装置の任意のイーサネット インターフェースで有効にすることができます。

これらのタグの内部の 802.1p フィールドの動作は、アクセス ルールで制御することができます。既定の 802.1p アクセス ルール動作の「なし」は、特に指定しない限り、既存の 802.1p タグを 0 にリセットします (詳細は、QoS 級割の管理 を参照)。

802.1p 級割を有効化すると、802.1p 対応ネットワーク機器により生成された着信 802.1p タグをターゲット インターフェースが認識できるようになり、また、アクセス ルールによる制御としてターゲット インターフェースが 802.1p タグを生成することが可能になります。SonicOS により挿入された802.1p タグを持つフレームは、VLAN ID 0 を運びます。

802.1p タグは、アクセス ルールに従って挿入されるだけなので、インターフェース上で既定の設定で802.1p 級割を有効にしても、802.1p 非対応機器との通信は中断されません。

802.1p の場合、この優先順位付け方式を使用したいネットワーク機器による特定のサポートを必要とします。多くのボイスおよびビデオ オーバー IP 機器は、802.1p のサポートを提供していますが、機能を有効化する必要があります。不確かな場合には、802.1p のサポートについて、装置の説明書を確認してください。同様に、多くのサーバとホストのネットワーク カード (NIC) は 802.1p をサポートする機能を持ちますが、通常この機能は既定で無効になっています。Win32 オペレーティング システムの場合、ネットワーク カードの「プロパティ」ページの「詳細設定」タブで 802.1p の設定を確認および設定することができます。カードが 802.1p をサポートしている場合、「802.1p QoS」、「802.1p Support」、「802.1p QoS Packet Tagging」のような項目が表示されます。

802.1p タグを処理するためには、ネットワーク インターフェースで機能が存在し有効にされている必要があります。これにより、ネットワーク インターフェースは、QoS 対応アプリケーションにより制御され、802.1p タグ付きのパケットを生成できます。既定では、一般的なネットワーク通信では、802.1p 非対応機器との互換性を維持するためにタグは挿入されません。

補足：802.1p をサポートしていないネットワーク インターフェースは、802.1p のタグ付けされたトラフィックを処理できず、無視します。802.1p 級割を有効にするためのアクセス ルールを定義する場合は、ターゲット機器が 802.1p に対応することを確認してください。 また、(Ethereal 診断ツールを使用して) 802.1p 対応機器上でパケット監視を行う場合は、いくつかの 802.1p 対応機器でパケット監視内で 802.1p ヘッダーが表示されないことがある点にも注意してください。逆に言えば、802.1p 非対応機器上でパケット監視を行うと、ほとんど例外なくヘッダーが表示されますが、ホストはパケットを処理することができなくなります。

QoS 級割方式と DSCP 級割方式の間には潜在的な相互依存があるので、QoS 級割の管理 に進む前に、'DSCP 級割' について紹介し、相互依存が存在する理由について説明します。

図 42. DSCP 級割:サンプル シナリオ

上記シナリオには、IPSec VPN により 'メイン サイト' に接続されたリモート サイト 1 があります。この企業は、プライベート VoIP シグナリング サーバをメイン サイトに配置して、内部で 802.1p/DSCP 対応 VoIP 電話システムを使用しています。メイン サイトでは、ギガビットとファースト イーサネットの混合した基盤を使用しています。 一方、リモート サイト 1 では、すべてファースト イーサネットを使用しています。内部トラフィックの優先順位付けのために、両方のサイトで 802.1p 対応スイッチが使用されています。

VPN/WAN リンクを経由してパケットを送信する場合、ファイアウォールでパケット内に DSCPタグを含めることができますが、802.1p タグを含めることはできません。これは、VoIP トラフィックのすべての優先順位情報を失う結果となります。 なぜならば、パケットがリモート サイトに到着した際に、トラフィックの優先順位付けを行うための 802.1p MAC 層情報をスイッチが持たないからです。リモート サイト スイッチは、VoIP トラフィックを低優先順位のファイル転送と同じと見なします。 リンクが飽和状態のため、VoIP フローは遅延し (パケットが破棄される場合もあります)、音質の低下を招く結果となります。

では、メイン サイト LAN からの重要な 802.1p 優先順位情報を VPN/WAN リンクを横断してリモート サイト LAN へと引き継ぐにはどうしたらよいのでしょうか。それには、QoS 割付を使用します。

QoS 割付は、第 2 層の 802.1p タグを第 3 層の DSCP タグに変換して、(割り付けられた形式で) 802.1p タグが 802.1p 非対応リンクを安全に横断できるようにする機能です。 パケットが配送のために次の 802.1p 対応セグメントに到着すると、QoS 割付機能により、DSCP が元の802.1p タグに変換され、第 2 層 QoS が利用できるようになります。

上記のシナリオでは、メイン サイトのファイアウォールで DSCP タグ (例えば、値 48) を VoIP パケットとカプセル化 ESP パケットに割り当てて、WAN にわたってレイヤ 3 QoS を適用します。この割り当ては、既存の DSCP タグを維持すること、または、802.1p タグから値を割り付けることにより発生します。VoIP パケットがリンクの反対側に到着すると、受信側 SonicWALL によって逆の割付処理が行われます。 すなわち、DSCP タグが元の 802.1p タグに割り付けられます。

DSCP 級割

DSCP (Differentiated Services Code Point) 級割では、IP ヘッダー内の 8 ビットの ToS フィールドのうちの 6 ビットを使用して、最大 64 のトラフィックの等級 (またはコード ポイント) を提供します。DSCP は第 3 層の級割方式なので、802.1p の級割であったような互換性についての心配はありません。DSCP をサポートしていない機器では単にタグが無視されます。 最悪の場合でも、タグの値が 0 にリセットされるだけです。

図 43. DSCP 級割:IP パケット

上図は、IP パケットと、ヘッダーの ToS 部分を拡大した図です。ToS ビットは、元々は優先順位とToS (遅延、スループット、信頼性、コスト) 設定のために使用されていましたが、その後、より多用途の DSCP 設定用に RFC2474 で再定義されました。

以下の表に、一般的に使用されているコード ポイントと、従来の優先順位および ToS 設定に対する割り当てを示します。

DSCP 級割は、すべてのインターフェースの発着信トラフィックに対して、ゾーンのタイプを問わず、例外なく実行することができます。DSCP 級割は、「QoS」タブのアクセス ルールで制御され、802.1p 級割と併用して使用できます。 また、SonicOS 内部の帯域幅管理でも使用されます。

トピック:

DSCP 級割と混在 VPN トラフィック

数ある安全対策と特性の中で、IPSec VPN では、ESP ヘッダーに追加される単調に増加するシーケンス番号に基づくアンチリプレイ機構を採用しました。シーケンス番号が重複するパケットは、シーケンス基準を満たさないという理由で破棄されます。このような基準の 1 つは、到着順序の異なるパケットの処理を管理します。SonicOS では、64 パケット分のリプレイ ウィンドウが提供されます。 すなわち、Security Association (SA) の ESP パケットが 64 パケットを超えて遅延した場合、パケットは破棄されます。

DSCP 級割を使用して VPN を横断するトラフィックに第 3 層 QoS を提供する場合は、この点を考慮する必要があります。さまざまなトラフィックが転送されている VPN トンネルがあるとします。 高優先順位の DSCP タグが付けられたトラフィック (例えば、VoIP)、低優先順位の DSCP タグが付けられたトラフィック、タグを付けられていないトラフィック、最大努力型 (例えば、FTP) の DSCP タグが付けられたトラフィックが混在する場合、サービス プロバイダは、最大努力型の ESP パケットよりも、高優先順位の ESP パケットの処理と配送を最も優先します。その結果、トラフィックの条件によっては、最大努力型のパケットが 64 パケットを超えて遅延し、受信側の SonicWALL のアンチリプレイ防御によりパケットが破棄される場合があります。

そのような現象が発生する場合 (例えば、低優先順位のトラフィックの過度の再送が発生する場合) は、高優先順位と低優先順位のトラフィック用に別個の VPN ポリシーを作成することをお勧めします。これを簡単に実現するには、高優先順位のホスト (例えば、VoIP ネットワーク) を、それら自身のサブネットに配置します。

802.1p CoS 4 – 負荷制御型の設定

DSCP タグ 15 を既定の 802.1p 割付の 1 から 802.1p 割付の 2 に変更する場合、割付範囲は重複できないので、2 つの手順が必要です。範囲を重複して割付を行おうとすると、「DSCP 範囲は、既に存在するか、他の範囲と重複しています。」というエラーが発生します。最初に、802.1p CoS 1 に対する現在の終了範囲割付から 15 を削除し (802.1p CoS 1 の終了範囲割付を DSCP 14 に変更し)、次に 802.1p CoS 2 の開始範囲割付に DSCP 15 を割り当てます。

QoS 割付

QoS 割付の第 1 の目的は、WAN リンクを経由する送信の前に 802.1p タグと対応する DSCP タグを割り付け、リンクの反対側に到着したときに DSCP から 802.1p に割り付け戻すことにより、802.1p 非対応リンクを横断して 802.1p タグを維持できるようにすることにあります。

図 44. QoS 割付

補足：割付は、アクセス ルールの「QoS」タブの動作として、「参照」を割り当てるまで行われません。割付テーブルは、アクセス ルールの参照の方針によって使用される対応を定義しているだけです。

例えば、既定のテーブルに従った場合、値が 2 の 802.1p タグは、送信用に 16 という DSCP 値が割り当てられ、値が 43 の DSCP タグは、受信用に 5 という 802.1p 値が割り当てられます。

これらの割付は再設定できます。802.1p タグ 4 の送信割付を既定の DSCP 値の 32 から 43 に変更したい場合、「4 － 負荷制御型」の設定アイコンを選択し、ドロップダウン ボックスから新しい「変換先 DSCP」の値を選択します。

「QoS 設定の初期化」ボタンを選択することにより、既定の割付に戻すことができます。

QoS 級割の管理

QoS 級割は、管理インターフェースの「ファイアウォール > アクセス ルール」ページのアクセス ルールの「QoS」タブで設定します。SonicOS のアクセス ルールで管理される 802.1p と DSCP 級割では、「なし」、「維持」、「指定」、「参照」の 4 つの方針が提供されます。DSCP の既定の方針は「維持」で、802.1p の既定の方針は「なし」です。

次の表に、両方の級割方式での各方針の動作について説明します。

ここで、両方向の DSCP タグの方針を提供する次の例を見てください。

192.168.168.100 上のウェブ ブラウザから 10.50.165.2 上のウェブ サーバに対して HTTP アクセスを行うと、内部 (ペイロード) パケットと外部 (カプセル化 ESP) パケットに DSCP 値 8 のタグが付けられます。パケットがトンネルの反対側から出て、10.50.165.2 に配送されるとき、DSCP タグ値 8 が使用されます。10.50.165.2 からトンネル経由で応答パケットを (最初の SYN/ACKパケットから) 192.168.168.100 に送り返すとき、アクセス ルールにより、192.168.168.100 に配送される応答パケットに DSCP 値 8 のタグが付けられます。

この動作は、DSCP と 802.1p 級割の 4 つの QoS 方針設定のすべてに適用されます。

この動作の 1 つの実用的な応用例として、VPN ゾーン宛てのトラフィックに対する 802.1p 級割ルールの設定があります。VPN を横断して 802.1p タグを送信することはできませんが、VPN を横断して返された応答パケットに対して、トンネルからの出口で 802.1p タグを付けることができます。そのためには、物理的なイーグレス インターフェースで 802.1p のタグ付けを有効にし、ゾーンの「VPNアクセス ルール」で「なし」以外の 802.1p 級割方式を設定する必要があります。

関連するネットワーク機器の 802.1p との互換性を確認し、適用可能な SonicWALL インターフェース上で 802.1p 級割を有効にした後は、802.1p タグを管理するためにアクセス ルールの設定を開始できます。

次の図に示すように、リモート サイト 1 ネットワークに対して 2 つのアクセス ルールを設定することができます。

最初のアクセス ルール (管理 LAN の「VPN」) は、以下の効果を持ちます。

メイン サイトの SonicWALL によって戻りのトラフィックに DSCP タグ (CoS=48) が付けられていると仮定した場合、出口において CoS=6 の 802.1p タグが戻りのトラフィックに付けられます。

2 番目のアクセス ルール (「VPN > LAN」) の効果を調べるには、メイン サイトで設定されたアクセス ルールを確認します。

VPN 経由でリモート サイト 1 サブネットからメイン サイトの LAN ゾーンの LAN サブネットに送信される、(サービス グループにより定義されている) VoIP トラフィックには、着信 VoIP 通話用のアクセス ルールが適用されます。VPN ゾーンに到着したトラフィックには、802.1p タグはなく、DSCP タグだけが付けられています。