Классификация и маркирование будет производиться до IPsec-инкапсуляции исходящих пакетов и после декапсуляции входящих.
По умолчанию перенос ToS-байта из исходного незашифрованного пакета в зашифрованный включён. Регулировать перенос ToS-байта из исходного незашифрованного пакета в зашифрованный возможно средствами команды set dscp copy (в контексте настройки крипто-карты).
Маркирование производится путем выставления ToS-байта IP-заголовка. Выставляется метка DSCP (Differentiated Services Code Point – информация о классификации, передаваемая в IP-заголовке в поле ToS) или IP-precedence (информация о классификации, передаваемая в IPv4-заголовке в поле ToS).
В cisco-like конфигурации
Описанные ниже команды позволяют задать определенный сервис обслуживания сетевого трафика. Они классифицируют пакеты (относят пакеты к определенному классу трафика) и маркируют их (назначают соответствующий приоритет). Формирование трафика выполняется в три шага:
• пакеты распределяются по классам (команды class-map);
• задаются правила для каждого класса (команды policy-map);
• заданная политика привязывается к интерфейсу (командой service-policy).
Сначала необходимо описать классифицируемый трафик в списке доступа:
ip access-list extended SOME_ACL
permit udp 192.168.100.0 0.0.0.255 any
Далее создать класс для группировки трафика. Класс создается на основе созданного ранее списка:
class-map match-all SET_DSCP_AF11
match access-group name SOME_ACL
После средствами команды policy map создайте правило, по которому будет определяться приоритет для трафика. В созданном правиле командой class укажите класс трафика, пакеты которого будут маркироваться. Для изменения поля Tos заголовка пакета используются команда либо set precedence, либо set dscp. Например, для выставления DSCP-метки AF11:
policy-map DSCP_POLICY
class SET_DSCP_AF11
set dscp af11
Командой service-policy назначьте политику работы с классами на интерфейс:
interface GigabitEthernet0/1
service-policy output DSCP_POLICY
В LSP-конфигурации
В конфигурационном файле классификация и маркирование пакетов задается в структурах Filter. В структуре Filter описывается классифицируемый трафик, в ней же средствами атрибута ExtendedAction установляется значение поля Tos заголовка пакета.
FilterChain ClassificationChain:DSCP_POLICY (
Filters = Filter (
SourceIP = 192.168.100.0/24
DestinationIP = 0.0.0.0/0
ProtocolID = 17
Action = PASS
ExtendedAction = classify_mark< tos_set=40 tos_set_mask=252 >
LogEventID = "Classification:DSCP_POLICY:SET_DSCP_AF11:SOME_ACL"
),
Filter (
DestinationIP = 0.0.0.0/0
Action = PASS
)
IPv6Filters = Filter (
DestinationIP = ::/0
Action = PASS
))
Далее правило привязывается к интерфейсу:
NetworkInterface (
LogicalName = "GigabitEthernet0/0"
OutputClassification = ClassificationChain:DSCP_POLICY
)