流分类、流行为和流策略-MQC配置流程

科技 09-06 来源：阿豪的笔记

模块化QoS命令行接口MQC（Modular QoS Command-Line Interface）将具有某类共同特征的报文划分为一类，并为同一类报文提供相同的服务，也可以对不同类的报文提供不同的服务。MQC包含三个要素：流分类、流行为和流策略。

流分类（traffic classifier）:用来定义一组流量匹配规则，用于对报文进行分类。

流行为（traffic behavior）:用来定义针对某类报文所做的动作。

设备支持报文过滤、重标记优先级、重标记流ID、重定向、流量监管、流量统计等动作。如配置多个动作时需保证各动作互不冲突，配置成功后这些动作同时生效。

流策略（traffic policy）:流策略用来将指定的流分类和流行为绑定，对分类后的报文执行对应流行为中定义的动作。

如图1所示，一个流策略可以绑定多个流分类和流行为。

图1 流策略绑定多个流分类和流行为

配置流策略和应用流策略时，需要确定如下三点：

流分类和流行为的对应关系，即需要对匹配指定流分类的报文执行的动作。
应用流策略的视图。如接口视图、VLAN视图或系统视图。
应用流策略的方向。可以应用于设备接收的报文（inbound），也可以应用于设备发送的报文（outbound）。

MQC配置流程

MQC配置流程如图2所示。

图2 MQC配置流程

1. 配置流分类：按照一定规则对报文进行分类，是提供差分服务的基础。

1. 执行命令system-view，进入系统视图。

2. 执行命令traffic classifier classifier-name [ operator { and | or } ] [ precedence precedence-value]，创建一个流分类并进入流分类视图，或进入已存在的流分类视图。

说明：

and表示流分类中各规则之间关系为逻辑“与”，指定该逻辑关系后：

当流分类中有ACL规则时，报文必须匹配其中一条ACL规则以及所有非ACL规则才属于该类；
当流分类中没有ACL规则时，则报文必须匹配所有非ACL规则才属于该类。

or表示流分类各规则之间是逻辑“或”，即报文只需匹配流分类中的一个或多个规则即属于该类。

缺省情况下，流分类中各规则之间的关系为逻辑“或”。

3. 根据实际情况定义流分类中的匹配规则。

if-match xxx

4. 执行命令quit，退出流分类视图。

2. 配置流行为：为符合流分类规则的报文指定流量控制或资源分配动作。

执行命令traffic behavior behavior-name，创建一个流行为并进入流行为视图，或进入已存在的流行为视图。
根据实际情况定义流行为中的动作，只要各动作不冲突，都可以在同一流行为中配置。
执行命令quit，退出流行为视图。

3. 配置流策略：将指定的流分类和指定的流行为绑定，形成完整的策略。

1. 执行命令traffic policy policy-name [ match-order { auto | config } ]，创建一个流策略并进入流策略视图，或进入已存在的流策略视图。创建流策略时，如果未指定规则匹配顺序，缺省规则匹配顺序为config。

说明：

应用流策略后，不能再使用该命令来修改策略中流分类的匹配顺序。必须先清除该策略的应用，再重新创建并指定所需的匹配顺序。

设备支持在创建流策略时指定流策略中多个规则的匹配顺序，匹配顺序包括自动顺序（auto）和配置顺序（config）两种：

如果选择自动顺序，匹配顺序由系统预先指定的流分类类型的优先级决定，该优先级由高到低依次为：基于二层和IPv4三层信息流分类 > 基于高级ACL6规则流分类 > 基于基本ACL6规则流分类 > 基于二层信息流分类 > 基于IPv4三层信息流分类 > 基于用户自定义ACL规则流分类。规则优先匹配优先级高的流分类。
如果选择配置顺序，匹配顺序由流分类规则的优先级决定，先匹配优先级较高的流分类规则。

2. 执行命令classifier classifier-name behavior behavior-name，在流策略中为指定的流分类配置所需流行为，即绑定流分类和流行为。

3. 执行命令quit，退出流策略视图。

4. 应用流策略：将流策略应用到全局、单板、接口或VLAN。

在接口上应用流策略

执行命令system-view，进入系统视图。
执行命令interface interface-type interface-number[.subinterface-number ]，进入接口视图或子接口视图。
执行命令traffic-policy policy-name { inbound | outbound }，在接口或子接口视图上应用流策略。

在VLAN上应用流策略

执行命令system-view，进入系统视图。
执行命令vlan vlan-id，进入VLAN视图。
执行命令traffic-policy policy-name { inbound | outbound}，在VLAN上应用流策略。

在VLANIF接口上应用流策略

执行命令system-view，进入系统视图。
执行命令interfacevlanif vlan-id，进入VLANIF接口视图。
执行命令traffic-policy policy-name { inbound | outbound}
在VLANIF接口上应用流策略。

在全局或单板上应用流策略

执行命令system-view，进入系统视图。
执行命令traffic-policy policy-name global { inbound| outbound } [ slot slot-id]，在全局或单板上应用流策略。

说明：

在物理接口、VLAN、全局或单板上应用流策略，可以控制通过物理接口、VLAN、全局或单板的二层流量和三层流量；在VLANIF接口上应用流策略，仅可以控制通过该VLANIF接口的三层转发流量。

ACL与traffic policy组合后流行为关系

ACL里面的permit/deny与traffic policy中的behavior的permit/deny组合有如下四种情况：

ACL规则中的动作	Traffic policy中的behavior	匹配报文的最终处理结果
Permit	permit	permit
Permit	deny	deny
Deny	permit	deny
Deny	deny	deny

在流策略模块中，设备默认报文都是permit的，如果只是要求网段之间不能访问，则只需在ACL里配置想要deny的报文的规则即可。如果最后多添加一条rule permit规则，则未命中该规则之前规则的所有报文都会命中此条规则，并且如果流行为behavior被配置为deny，则设备将拒绝所有命中该规则的报文通过，导致全部业务中断。