Implementación del Control de Tráfico en Linux

Transcripción

1 Implementación del Control de Tráfico en Linux Tecnologías Avanzadas de la Información Paulino Ruiz de Clavijo Vázquez Rev. 2 (Dic 2013)

2 Índice Implementación Disciplinas Filtros Estadísticas Detalles adicionales

3 Bibliografía Linux Advanced Routing & Traffic Control, Linux Networking Kernel, 2003

4 Implementación El control de tráfico se implementa en el Núcleo de Linux (eficiente) Se realizan 4 operaciones: Conformado Reordenación Vigilancia Y eliminación de paquetes

5 Implementación De dispone de gran variedad de disciplinas Se facilita el desarrollo de nuevas disciplinas a los programadores Cada interfaz de red se configura por separado A una interfaz se le pueden aplicar múltiples disciplinas, todas ellas forman un árbol de disciplinas

6 Implementación El sistema está formado: Disciplinas de colas Filtros de clasificación Sólo se considerará el conformado de tráfico en la salida de la interfaz

7 Disciplinas Existen dos tipos de disciplinas: Classful: Admiten clasificación mediante filtros Classless: No admiten clasificación Las disciplinas forman un árbol con: Disciplinas Clases Filtros Las clases siempre forman parte de una disciplina padre classful

8 Disciplinas 1:0 Disciplina A classful (raíz) 1:1 Clase hija de A 1:10 1:11 1:12 Clases hijas de A Disciplina B classful (padre 1:10) 2:0 3:0 Disciplina C classless (padre 1:12) Clases hijas de B 2:1 2:2 4:0 Disciplina C classless (padre 1:12)

9 Disciplinas Cada nodo del árbol se identifica por un único identificador Formado por número mayor y un número menor (M:N) Cada disciplina tiene un número mayor M diferente Las clases siempre tienen como número mayor el número mayor de su disciplina padre

10 Disciplinas Disciplinas classless(sin clasificación): PFIFO / BFIFO PFIFO_FAST RED: Random Early Detection SFQ: Stochastic Fairness Queueing TBF: Token Bucket Filter CHOKE: Chose and keep for responsive flows

11 Disciplinas Disciplinas classful: PRIO: Colas de prioridad CBQ: Class Based Queuing HTB: Hierarchy Token Bucket DRR: Deficit Round Robin Scheduler

12 Configuración Se utiliza la herramienta TC tc qdisc add eth0 root tbf... tc qdisc add eth0 parent 1:0 handle 10: sqf... tc qdisc del dev eth0 root tc class add dev eth0 parent 1:0 classid 1:1 htb... tc filter add dev eth0 parent 1:0 protocol ip tc -s -d qdisc show dev eth0 tc -s -d class show dev eth0 tc -s -d filter show dev eth0

13 Configuración Unidades TC Sintaxis Tipo de unidad Unidad Equivalencia kbps Caudal Kilobytes por segundo bps mbps Caudal Megabytes por segundo bps kbit Caudal / Tamaño Kilobits por segundo / Kilobits 1024bit mbit Caudal / Tamaño Megabits por segundo / Megabits bit bps Caudal Bytes por segundo kb Tamaño Kilobytes 1024b mb Tamaño Megabytes b b Tamaño Bytes s, sec, secs Tiempo/Tamaño Segundos ms, msec, msecs Tiempo/Tamaño Milisegundos 10-3 sec us, usec, usecs Tiempo/Tamaño Microsegundos 10-6 sec

14 Disciplinas classless PFIFO y BFIFO: Simple FIFO en Bytes o Paquetes Se puede indicar el tamaño de la cola como tiempo de espera (latency) tc qdisc add dev eth0 root pfifo limit 10

15 Disciplinas classless PFIFO_FAST: Utilizada de forma predeterminada Se divide la cola en 3 bandas de prioridad, 0 la más prioritaria Mientras existan paquetes en la banda más prioritaria no se procesan las menos prioritarias Los paquetes se asignan a las bandas automáticamente analizando el campo TOS

16 Disciplinas classless TBF: Cubeta con fichas (Token Bucket) Regula el caudal con precisión y permite ráfagas Admite configuración del tamaño de cola, tamaño de ráfaga y otras. tc qdisc add dev eth0 root tbf \ rate 630kbit latency 50ms burst 1540

17 Disciplinas classful PRIO: Comportamiento similar a PFIFO_FAST Se pueden configurar las bandas Se pueden añadir filtros (es classful) 1:0 1:1 1:2 1:3 Bandas PRIO 1:4 tc qdisc add dev eth0 root handle 1: prio bands 4

18 Disciplinas classful CBQ: Complejo Ineficiente No se estudiará

19 Disciplinas classful HTB: Optima cuando se dispone de un ancho de banda fijo y estable. Divide el caudal disponible en partes con una gran exactitud. Su estructura es un árbol de clases muy flexible Se pueden hacer configuraciones equivalentes a TBF y PRIO

20 Disciplinas classful HTB: cada clase en el árbol tiene estos parámetros: Rate: Caudal mínimo garantizado Ceil: Máximo caudal alcanzable Prio: Prioridad en la petición de caudal Estos parámetros solo se establecen en las clases no en la raíz de la disciplina

21 Disciplinas classful 1:0 HTB 1:1 Rate:10M R:10M Ceil:10M C:10M 1:10 Rate:6M Ceil:10M Prio:0 1:20 Rate:2M Ceil:6M Prio:1 1:30 Rate:2M Ceil:2M Prio:1 Host A Host B Host C

22 Disciplinas classful HTB: Parámetros configurables en las clases Rate: Caudal mínimo garantizado Ceil: Máximo caudal alcanzable Prio: Prioridad en la petición de caudal

23 Disciplinas classful HTB: Algoritmo de operación En cualquier nodo de la jerarquía el caudal disponible en un nodo se reparte entre los hijos Una clase hija siempre envía paquetes con el caudal mínimo garantizado (Rate) Una clase hija solicita ancho de banda al nodo padre para intentar llegar a su máximo caudal (Ceil) Un padre suma los caudales que está recibiendo de sus hijos y si es menor que su caudal máximo reparte el sobrante entre los hijos.

24 Disciplinas classful HTB: Algoritmo de operación (2), Cómo se reparte el caudal de sobrante entre los hijos? El caudal sobrante lo reparte a los hijos más prioritarios hasta que cada hijo alcanza su máximo (Ceil) Si sigue sobrando, repite el proceso con los siguientes hijos prioritarios El proceso de reparto entre hijos de misma prioridad utiliza Round Robincon un quantum (en bytes) configurable

25 Disciplinas classful HTB: Restricciones Los nodos intermedios del árbol no pueden contener colas de paquetes, por ello, el destino de los filtros no deben ser estos nodos. En las hojas del árbol (nodos que no tienen hijos) se puede indicar la disciplina de cola a usar, aunque de forma predeterminada se establece una cola PFIFO.

26 Disciplinas classful 1:0 HTB 1:1 Rate:10M R:10M Ceil:10M C:10M 1:10 Rate:6M Ceil:10M Prio:0 1:20 Rate:2M Ceil:6M Prio:1 1:30 Rate:2M Ceil:2M Prio:1 Host A Host B Host C

27 Disciplinas classful HTB: Ejemplo Host A:Tiene garantizado un caudal de 6MB llegando a utilizar un máximo caudal de 10Mb si hay caudal disponible. Este equipo tiene prioridad 0 en la solicitud de ancho de banda a la clase padre. Host B:Tiene garantizado un caudal de 2MB y utilizará un máximo caudal de 6Mb si hay caudal disponible. Este equipo tiene prioridad 1 en la solicitud de ancho de banda. Host C:Tiene garantizado un caudal de 2MB y utilizará un máximo caudal de 2Mb. Este equipo tiene prioridad 1 en la solicitud de ancho de banda, comparte prioridad con el equipo B.

28 Disciplinas classful HTB del ejemplo caso 1: Situación:Todos los equipos intentan utilizar el máximo ancho de banda (Rate1:10) + (Rate1:20) + (Rate1:20) = (Rate1:1) La clase 1:1 no dispone de ancho de banda sobrante para distribuir entre los hijos. Resultado:todos los equipos disponen sólo del ancho de banda garantizado (2M)

29 Disciplinas classful HTB del ejemplo caso 2: Situación:El equipo C está en reposo, A y B intentan utilizar el máximo ancho de banda posible (Rate1:10) + (Rate1:20) = 8M La clase padre 1:1 dispone de 2M adicionales para repartir entre los hijos. La clase 1:1 reparte entre los hijos más prioritarios hasta que cada hijo consiga alcanzar a su parámetro Ceil, por tanto cede los 2M a clase 1:10. Resultado:el equipo A usa un caudal de 8M y el equipo B sólo su caudal garantizado de 2M

30 Disciplinas classful HTB del ejemplo caso 3: Situación:El equipo A está en reposo, C y B intentan disponer del máximo caudal posible. (RateB) + (RateC) = 4M La clase padre 1:1 dispone de 6M adicionales para repartir entre hijos: El hijo más prioritario (A) no solicita caudal Los dos restantes, con igual prioridad solicitan hasta alcanzar su parámetro Ceil. Resultado:B usa un caudal de 6M y C de 2M, ambos alcanzan el caudal Ceily a la clase padre le sobran 2M que no utiliza

31 Disciplinas classful HTB del ejemplo de la configuración anterior: tc class add dev eth0 parent 1: classid 1:1 htb rate 10mbit tc class add dev eth0 parent 1:1 classid 1:10 \ htb rate 6mbit ceil 10mbit prio 0 tc class add dev eth0 parent 1:1 classid 1:20 \ htb rate 2mbit ceil 6mbit prio 1 tc class add dev eth0 parent 1:1 classid 1:30 \ htb rate 2mbit ceil 2mbit prio 1

32 Disciplinas classful HTB: Equivalencias con otras disciplinas Conseguir una disciplina TBF con HTB: establecer en una clase el parámetro ratey ceila igual valor Conseguir una disciplina PRIO con HTB:crear una clase hija HTB por cada banda de prioridad estableciendo los parámetros priode cada clase hija adecuadamente.

33 Clasificación, filtros Se realiza aplicando reglas a cada paquete. Las reglas se llaman filtros. Los filtros se adjuntan a nodos de la jerarquía Sólo se pueden adjuntar filtros a los nodos de disciplinas classful Por simplicidad, los filtros se añadirán siempre al nodo raíz

34 Clasificación, filtros Configuración de los filtros: Los filtros asignados a un nodo se agrupan en listas secuenciales de filtros Cada lista secuencial tiene una prioridad Cada lista secuencial tiene los filtros en el mismo orden que fueron añadidos

35 Clasificación, filtros Modo de operación de los filtros: Cuando llega un paquete, el núcleo de Linux aplica sólo los filtros de la disciplina raíz. Se recorren los filtros de la lista más prioritaria. Cuando se cumplen las condiciones de un filtro se para el procesamiento y se envía el paquete al nodo indicado en el filtro. Si termina una lista sin cumplirse ningún filtro, se procede con la siguiente lista por orden de prioridad.

36 Clasificación, filtros Modo de operación de los filtros: BUGen la implementación: La prioridad de las listas comienza en 1, no interpreta 0 como más prioritario. Especificación de filtros: Complejo y de bajo nivel Protocolo Nodo Prioridad Clasificador tc filter add dev eth0 protocol ip parent 1:0 prio 3 u32 match ip sport 143 0xffff flowid 1:101

37 Clasificación, filtros Especificación de filtros (parámetros): Protocolo:Indica el protocolo al que se aplicará el filtro, sólo se contemplará protocolo IP. Nodo padre:nodo de la jerarquía a que está asociado el filtro. Prioridad:Indica la lista de prioridad donde se añadirá el filtro. Clasificador:El clasificador indica las comprobaciones a realizar al paquete y el nodo destino

38 Clasificación, filtros Sólo utilizaremos el clasificador u32: Clasificador de bajo nivel. Busca patrones en los campos de cada paquete. Aplica máscaras para la búsqueda. Admiten múltiples condiciones y todas deben cumplirse. Cada condición se indica con MATCH: match u32 PATRON MASCARA at [DESPLAZAMIENTO nexthdr+desplazamiento] match u16 PATRON MASCARA at [DESPLAZAMIENTO nexthdr+desplazamiento] match u8 PATRON MASCARA at [DESPLAZAMIENTO nexthdr+desplazamiento]

39 Clasificación, filtros Partes de la condición match: u32, u16 y u8:indican el número de bits a comprobar siendo 32, 16 y 8 respectivamente. Patrón:es un dato escrito en hexadecimal o decimal que debe coincidir en el paquete. Máscara:son los bits del patrón de deben coincidir. Desplazamiento:posición en bytes dentro del paquete donde se está haciendo la comprobación.

40 Clasificación, filtros Ejemplo: Para interpretarlo hay que conocer la estructura de la cabecera IP En la posición 9 está el protocolo que es de 8 bits En la posición 13 tras la cabecera IP está un byte en cuya tercera posición está el bit ACK tc filter add dev eth1 parent 1:0 prio 10 u32 \ match u8 6 0xff at 9 \ match u8 0x10 0x10 at nexthdr+13 \ flowid 1:3

41 Clasificación, filtros Versión Tam. Cab. TOS Longitud total Identificador Flags Posición del fragmento Tiempo de vida Protocolo Checksum Dirección fuente Dirección destino Opciones Relleno Datos Puerto origen Número de secuencia Número acuse de recibo Puerto destino M.Datos M.Datos URG ACK PSH RST SYN FIN Ventana Checksum Opciones Puntero urgente Relleno

42 Clasificación, filtros Simplificación de la sintaxis Selector Equivalencia match ip protocol tcp? match ip protocol udp? match ip src /32? match ip dst /24? match dport 210xffff? match sport 210xffff? match ip tos 0x100xff?

43 Clasificación, filtros Simplificación de la sintaxis Selector Equivalencia match ipprotocoltcp match u8 60xff at 9 match ip protocol udp match u8 170xff at 9 match ip src /32 match u32 0xc0a800640xffffffff at 12 match ip dst /24 match u32 0xc0a814640xffffff00 at 16 match dport 210xffff match u16 210xffff nexthdr + 2 match sport 210xffff match u16 210xffff nexthdr + 0 match ip tos 0x100xff match u8 0x10xff at 1

44 Clasificación, filtros Otro ejemplo: tc filter add dev eth0 parent 1:0 prio 10 u32 \ match tcp dport 53 0xffff \ match ip protocol 6 0xff \ flowid 1:2

45 Estadísticas # tc -d qdisc show dev eth0 qdisc prio 1: root refcnt 2 \ bands 5 priomap # tc -d class show dev eth0 class prio 1:1 parent 1: class prio 1:2 parent 1: class prio 1:3 parent 1: class prio 1:4 parent 1: class prio 1:5 parent 1: 1:0 PRIO 1:1 1:2 1:3 1:4 Bandas

46 Estadísticas Dos tipos de valores: Acumulados Instantáneos Overlimits? # tc -s -d qdisc show dev eth1 qdisc htb 1: root refcnt 2 r2q 10 default 99 direct_packets_stat 0 ver 3.17 Sent bytes pkt (dropped 0, overlimits 7115 requeues 0) backlog 0b 0p requeues 0 qdisc sfq 299: parent 1:99 limit 127p quantum 1514b flows 127/1024 divisor 1024 perturb 5sec Sent bytes 8123 pkt (dropped 0, overlimits 0 requeues 0) backlog 0b 0p requeues 0 qdisc pfifo 222: parent 1:22 limit 100p Sent bytes 3555 pkt (dropped 0, overlimits 0 requeues 0) backlog 0b 0p requeues 0 qdisc sfq 223: parent 1:23 limit 127p quantum 1514b flows 127/1024 divisor 1024 perturb 10sec Sent bytes 193 pkt (dropped 0, overlimits 0 requeues 0) backlog 0b 0p requeues 0

47 Estadísticas Clases: # tc -s -d class show dev eth1 class htb 1:2 root rate bit ceil bit burst 3000b/8 mpu 0b overhead 0b Sent bytes pkt (dropped 0, overlimits 0 requeues 0) rate 48040bit 20pps backlog 0b 0p requeues 0 lended: 1990 borrowed: 0 giants: 0 tokens: ctokens: class htb 1:99 parent 1:2 leaf 299: prio 1 quantum 5000 rate 80000bit ceil bit Sent bytes 9020 pkt (dropped 0, overlimits 0 requeues 0) rate 7768bit 14pps backlog 0b 0p requeues 0 lended: 8055 borrowed: 965 giants: 0 tokens: ctokens: class htb 1:21 parent 1:2 prio 0 quantum 1000 rate 25000bit ceil bit Sent bytes 1023 pkt (dropped 0, overlimits 0 requeues 0) rate 192bit 0pps backlog 0b 0p requeues 0 lended: 894 borrowed: 129 giants: 0 tokens: ctokens: class htb 1:22 parent 1:2 leaf 222: prio 1 quantum 5000 rate bit ceil bit Sent bytes 3949 pkt (dropped 0, overlimits 0 requeues 0) rate 38256bit 6pps backlog 0b 0p requeues 0 lended: 3081 borrowed: 868 giants: 0 tokens: ctokens:

48 ᄎ Detalles adicionales Existe una cola adicional en el driver de la interfaz Solo se puede cambiar con ifconfig Se debe considerar para cálculos precisos de latencia TCP/IP QDISC drop If (!stopped) dequeue tx_ring (txqueuelen) If (full link failure) stop

49 Ejercicio final 1:0 HTB 1:1 Rate:100Mbit Ceil:100Mbit 1:2 Rate:600Kbit Ceil:600Kbit 1:21 Rate:25Kbit Ceil: 100Kbit Prio:0 DNS 1:22 Rate:400Kbit Ceil: 600Kbit Prio:1 SSH,HTTP 1:99 Rate:100Kbit Ceil: 600Kbit Prio:1 DEFAULT 1:23 Rate:50Kbit Ceil: 400Kbit Prio:2 IMAP 1:24 Rate:25Kbit Ceil: 200Kbit Prio:3 SMTP 222:0 PFIFO 299:0 SFQ 223:0 SFQ