Habilitando o MLS QoS em uma produção 7600

Estou olhando para um 7609-S com um RSP720-3CXL executando 12.2 (33) SRE3.

Foi-me pedido que ajudasse a limitar a taxa de alguns servidores conectados a algumas portas executando como portas L2 ( switchport mode access), portanto, isso exige que eu aplique um mapa de políticas ao L3 SVI que é o gateway padrão nesta VLAN. Ao ativar a política de serviço na configuração da interface SVI, recebi o seguinte erro;

router(config-if)#service-policy input PM-LIMIT-100M
Warning (QoS): MLS QoS is disabled, marking/policing will be done after 
enabling MLS QoS globally

Eu olhei através da configuração e, com certeza, não há "mls qos" na configuração global. Quais problemas em potencial podem acontecer ao ativar esse comando de configuração global neste dispositivo de produção? Obviamente, eu posso fazer isso durante o período de manutenção programada por segurança, mas deve mesmo ser tentado?

Se isso fizer alguma diferença, não havia mapas de classe ou de política definidos neste roteador até que eu fiz o login, para limitar a taxa das portas de servidor mencionadas anteriormente (todas as portas são Gig, fui encarregado de limitar este SVI a 100Mps por um curto período). Eu estou tentando usar a seguinte configuração;

class-map match-any CM-LIMIT-100M
  match access-group name ACL-SERVERS
!
policy-map PM-LIMIT-100M
  class CM-LIMIT-100M
    police 100000000 18750000 31250000 conform-action transmit exceed-action drop violate-action drop
!
int vlan 123
service-policy input PM-LIMIT-100M
service-policy output PM-LIMIT-100M

Eu gostaria de pensar que não há problemas em potencial que ocorrerão se eu permitir isso, mas você nunca sabe, então eu sou todo ouvidos!

Você definitivamente deve ativar o MLS QoS. Também é um pré-requisito para o CoPP, que você deve adicionar na sua lista TODO para implementar.

Habilitar 'mls qos' sem outra configuração é uma péssima idéia para gatos de gama baixa, como o 3560/3750, devido ao agendamento padrão inesperado e aos buffers fortemente reduzidos que causam mais microbursting.

No 7600/6500, é relativamente seguro ativar, mas é claro que você pode travar seu roteador com o 'show run'. Eu me sentiria confortável o suficiente para habilitá-lo durante o horário de produção.

Você deve monitorar 'show interface de enfileiramento X' depois de ativar para ver que não está descartando nada. A longo prazo, você deve projetar a política de QoS e implementá-la, recomendo usar o menor número possível de filas (e atribua 100% do buffer a essas poucas filas). Exemplo de possível política de QoS no WS-X6704-10GE:

interface TenGigabitEthernet4/1
 wrr-queue bandwidth percent 30 40 30 0 0 0 0  ## allocate 3 queues (+implied strictpriority) share buffer 30% 40% 30% on thos three queues
 wrr-queue cos-map 1 1 0 7 # map cos values to queues
 wrr-queue cos-map 2 2 3 
 wrr-queue cos-map 3 1 4 
 wrr-queue cos-map 3 2 6 

Para configuração avançada, você pode complementar isso com 'detecção de fila aleatória de wrr' com curva VERMELHA por fila + limite. Certifique-se de marcar seu tráfego corretamente quando ele entrar na sua rede.

7600 QoS não é simples.

Se você ativar o mls qos por conta própria, alterará a maneira como os buffers são alocados em todas as portas, você pode achar que isso fornece resultados inesperados.

Placas de linha diferentes terão recursos de enfileiramento diferentes; pesquise os seguintes comandos para modificar o buffer e a configuração de enfileiramento. Algumas placas de linha são por porta e outras são agrupadas em torno do asic

 wrr-queue bandwidth 
 wrr-queue queue-limit
 wrr-queue cos-map

Observe também que, se você tiver cartões habilitados para DFC, todos os vigilantes serão aplicados por DFC de entrada, para que você não obtenha os resultados desejados.

7600 QoS não é simples.

Há um eufemismo ...

@ytti e @Steve têm ótimas respostas, mas saiba também que o 7600 também possui rcv-queuecomandos de interface. Assim como wrr-queuevocê, você deve garantir que suas mutações estejam corretas ou poderá ver gotas. Fui queimado por esse, apenas certifique-se de gerar tráfego de teste suficiente para validar se tudo está funcionando corretamente, pois problemas com QoS e filas de hardware realmente não aparecem até que haja carga.

Uma coisa a ter em atenção é que, devido à maneira como o 6500/7600 alterna de maneira distribuída, se você tiver mais de uma porta na Vlan que deseja limitar a propagação em diferentes placas de linha, será difícil limitá-las. a 100mbit, pois o limite será aplicado em cada placa de linha.