PF: パケットキューイングと優先順位付け

たとえば、

altq on fxp0 cbq bandwidth 2Mb queue { std, ssh, ftp }

queue ディレクティブのシンタクスは以下のとおりとなっています。

queue name [on interface] bandwidth bw [priority pri] [qlimit qlim] \
   scheduler ( sched_options ) { queue_list }

• name - キュー名。これは、altq on ディレクティブの queue_list で指定されたキューのひとつの名前と一致していなければ なりません。cbq では、その前の queue ディレクティブの queue_list のキュー名に一致するものでも構いません。 キュー名は 15 文字より長いものであってはいけません。
• interface - キューが有効となるネットワークインターフェイス。 この値はオプショナルなものであり、指定されていない場合には、 キューはすべてのインターフェイス上で有効になります。
• bw - キューが利用可能な帯域幅の総量。 この値には、 ビット毎秒、キロビット毎秒、メガビット毎秒およびギガビット毎秒を表現するのに、 b、Kb、Mb あるいは Gb を付けた絶対値か、 あるいは親キューの 帯域幅のパーセンテージを指定することができます。 このパラメータは、cbq スケジューラを使用した場合にのみ適用できます。
• pri - キューの優先度。cbq では、優先度の範囲は 0 〜 7 の間であり、priq の範囲は 0 〜 15 の間です。 ここで、優先度 0 は、最も低い優先度です。また、これが指定されていない場合には、 1 がデフォルト値として使用されます。
• qlim - キューに保持されるパケットの最大値。 また、これが指定されていない場合には、50 がデフォルト値として使用されます。
• scheduler - 使用されるスケジューラで、cbq か priq のいずれか。ルートキューと同じものでなければなりません。
• sched_options - スケジューラの挙動を制御するためにわたすことの可能な オプション。
  • default - 他のどのキューにもマッチしないパケットを キューイングするためのデフォルトのキューの定義。デフォルトキューは、 正確にひとつしか定義することはできません。
  • red - このキューで RED (Random Early Detection) を有効化。
  • rio - 入出力ともに RED を有効化。このモードでは、RED 複数の平均キュー長、複数の閾値、そしてそれぞれの IP のサービス品質 (QoS) のうちのひとつを保守します。
  • ecn - このキューで明示的輻輳通知 (ECN: Explicit Congestion Notification) 有効化。ECN は暗黙のうちに red を有効化します。
  • borrow - 親から帯域幅を借用することのできるキュー。これは、 cbq スケジューラを使用している場合にのみ指定可能です。
• queue_list - このキューの下に生成される子キューのリスト。 queue_list は、cbq スケジューラを使用している場合にのみ 指定可能です。

上記の例の続きを以下に示します。

queue std bandwidth 50% cbq(default)
queue ssh { ssh_login, ssh_bulk }
  queue ssh_login priority 4 cbq(ecn)
  queue ssh_bulk cbq(ecn)
queue ftp bandwidth 500Kb priority 3 cbq(borrow red)

ここでは、以前に定義された子キューのパラメータを設定しています。 std キューは、ルートキューの帯域幅 (または 1Mbps) の 50% の帯域幅が割り当てられ、デフォルトキューとして設定されています。 ssh キューには、ssh_login と ssh_bulk という、ふたつの子キューが定義されています。ssh_login には ssh_bulk よりも高い優先度が与えられており、どちらも ECN が有効化されています。また、ftp キューには 500Kbps の帯域幅が割り当てられ、優先度 3 が与えられています。そしてこれは、 余力がある場合には帯域幅の借用も可能となっていて、RED も有効化されています。

キューへのトラフィックの割り当て

キューにトラフィックを割り当てるためには、PF の フィルタルール とともに queue キーワードを使用します。たとえば、 以下のような行を含むフィルタルールの設定を考えてみましょう。

pass out on fxp0 from any to any port 22

パケットは、queue キーワードを使用して、 特定のキューに割り当てられたルールにマッチします。

pass out on fxp0 from any to any port 22 queue ssh

queue キーワードが block ディレクティブとともに使用された場合、 その結果として、TCP RST や ICMP Unreachable パケットが指定されたキューに 割り当てられます。

altq on ディレクティブで定義されたインターフェイス以外の、 インターフェイス上でキューの指定が行われる可能性があることに注意してください。

altq on fxp0 cbq bandwidth 2Mb queue { std, ftp }
queue std cbq(default)
queue ftp bandwidth 1.5Mb

pass in on dc0 from any to any port 21 queue ftp

キューイングは fxp0 上で有効化されていますが、タグ付けは dc0 上で行われます。もし、インターフェイス fxp0 から出てきた、pass ルールにパケットがマッチする場合、これらのパケットは、ftp キューにキューイングされるはずです。この方式のキューイングは、 ルータに取っては非常に役に立つものです。

通常は、ひとつのキュー名だけが queue キーワードに与えられますが、 もし、ふたつ目の名前が指定されている場合には、そのキューは、低遅延のための ToS (Type of Service) パケットか、データのペイロードのない TCP ACK パケットのために使用されます。 この良い例が、SSH を使用している場合になります。SSH のログインセッションは、 低遅延のために ToS を設定していますが、SCP や SFTP のセッションには これが設定されていません。PF は、非ログイン接続以外の異なるキューの中のログイン 接続に属するパケットをキューイングするために、この情報を使用することができます。 これは、ファイル転送のパケットよりログイン接続のパケットを優先させるのに役立ちます。

pass out on fxp0 from any to any port 22 queue(ssh_bulk, ssh_login)

これは、SSH のログイン接続に属するパケットを ssh_login キューに割り当て、SCP や SFTP 接続に属するパケットを ssh_bulk キューに割り当てています。ssh_login キューは、 より高い優先度を持っているので、SSH ログイン接続のパケットは、 SCP や SFTP 接続に優先して処理されるようになります。

TCP ACK パケットをより高い優先度を持つキューに割り当てることは、たとえば ADSL 回線のように、アップロードとダウンロードの帯域幅が異なっているような、 非対称の接続において便利なものです。ADSL 回線では、アップロードのチャネルが 非常に混雑している場合にダウンロードが始まると、アップロードチャネルを通して TCP ACK パケットを送信しようとする際に、輻輳している中に それを送信しなければならないため、 ダウンロードも影響を受けることになってしまいます。 最良の結果を得るためにテストを行って、アップロードのキューの帯域幅を、 その能力より小さな値に設定すべきです。実際には、アップロードの最大値が 640Kb の ADSL 回線の場合ですと、ルートキューの帯域幅を 600Kb のような値に設定することで、より良い性能を得られるようになります。 そして試行錯誤を行うことで、最良の帯域幅の設定を得られるはずです。

以下のように、keep state が指定されたルールに対して queue キーワードを使用する場合、

pass in on fxp0 proto tcp from any to any port 22 flags S/SA \
   keep state queue ssh

PF は、状態を持つ接続にマッチした、fxp0 から出て行くパケットが、 最後に ssh キューに入るよう、その状態テーブルのエントリにキューを登録します。 queue キーワードが着信トラフィックをフィルタリングするルールに対して 使用されているにも関わらず、その目的が関係する送出トラフィックのためのキューを 指定するためであるということに注意してください。上記のルールは、 着信パケットをキューイングするためのものではないのです。

例 #1: 小規模事務所、家庭内ネットワーク

  
    [ Alice ]    [ Charlie ]
        |             |                              ADSL
     ---+-----+-------+------ dc0 [ OpenBSD ] fxp0 -------- ( Internet )
              |
           [ Bob ]

この例では、OpenBSD は 3 台のワークステーションが接続された、小規模な家庭内 ネットワークのインターネットゲートウェイとして使用されています。このゲートウェイは、 パケットフィルタリングと NAT の仕事を行っています。ADSL 回線を使用した インターネット接続は、下りが 2Mbps で上りが 640Kbps となっています。

このネットワークのキューイングのポリシーは以下のとおりです。

• Alice や Charlie のダウンロードに邪魔されることなく、Bob がオンラインゲームを 楽しめるよう、下りの帯域幅のうちの 80Kbps を彼のために予約します。可能な場合には、 Bob は 80Kbps 以上の帯域幅を利用することもできます。
• 会話的な SSH のトラフィックやインスタントメッセージのトラフィックは、 通常のトラフィックより高い優先度を持つようにします。
• DNS の問い合わせとその応答は、その次に高い優先度を持つようにします。
• 送出される TCP ACK パケットは、その他のすべての送出トラフィックよりも 高い優先度を持つようにします。

以下は、このネットワークポリシーに適合するルールセットです。上記のポリシーに 直接的に適用される pf.conf のディレクティブだけが存在していることに 注意してください。nat、 rdr と オプションなどは、 これには含まれていません。

# enable queueing on the external interface to control traffic going to # the Internet. use the priq scheduler to control only priorities. set # the bandwidth to 610Kbps to get the best performance out of the TCP # ACK queue. altq on fxp0 priq bandwidth 610Kb queue { std_out, ssh_im_out, dns_out, \ tcp_ack_out } # define the parameters for the child queues. # std_out - the standard queue. any filter rule below that does not # explicitly specify a queue will have its traffic added # to this queue. # ssh_im_out - interactive SSH and various instant message traffic. # dns_out - DNS queries. # tcp_ack_out - TCP ACK packets with no data payload. queue std_out priq(default) queue ssh_im_out priority 4 priq(red) queue dns_out priority 5 queue tcp_ack_out priority 6 # enable queueing on the internal interface to control traffic coming in # from the Internet. use the cbq scheduler to control bandwidth. max # bandwidth is 2Mbps. altq on dc0 cbq bandwidth 2Mb queue { std_in, ssh_im_in, dns_in, bob_in } # define the parameters for the child queues. # std_in - the standard queue. any filter rule below that does not # explicitly specify a queue will have its traffic added # to this queue. # ssh_im_in - interactive SSH and various instant message traffic. # dns_in - DNS replies. # bob_in - bandwidth reserved for Bob's workstation. allow him to # borrow. queue std_in cbq(default) queue ssh_im_in priority 4 queue dns_in priority 5 queue bob_in bandwidth 80Kb cbq(borrow) # ... in the filtering section of pf.conf ... alice = "192.168.0.2" bob = "192.168.0.3" charlie = "192.168.0.4" local_net = "192.168.0.0/24" ssh_ports = "{ 22 2022 }" im_ports = "{ 1863 5190 5222 }" # filter rules for fxp0 inbound block in on fxp0 all # filter rules for fxp0 outbound block out on fxp0 all pass out on fxp0 inet proto tcp from (fxp0) to any flags S/SA \ keep state queue(std_out, tcp_ack_out) pass out on fxp0 inet proto { udp icmp } from (fxp0) to any keep state pass out on fxp0 inet proto { tcp udp } from (fxp0) to any port domain \ keep state queue dns_out pass out on fxp0 inet proto tcp from (fxp0) to any port $ssh_ports \ flags S/SA keep state queue(std_out, ssh_im_out) pass out on fxp0 inet proto tcp from (fxp0) to any port $im_ports \ flags S/SA keep state queue(ssh_im_out, tcp_ack_out) # filter rules for dc0 inbound block in on dc0 all pass in on dc0 from $local_net # filter rules for dc0 outbound block out on dc0 all pass out on dc0 from any to $local_net pass out on dc0 proto { tcp udp } from any port domain to $local_net \ queue dns_in pass out on dc0 proto tcp from any port $ssh_ports to $local_net \ queue(std_in, ssh_im_in) pass out on dc0 proto tcp from any port $im_ports to $local_net \ queue ssh_im_in pass out on dc0 from any to $bob queue bob_in

例 #2: 企業ネットワーク

  ( IT Dept )  [ Boss's PC ]
       |          |                                   T1
     --+----+-----+---------- dc0 [ OpenBSD ] fxp0 -------- ( Internet )
            |                         fxp1
         [ COMP1 ]    [ WWW ]         /
                         |           / 
                       --+----------' 

この例では、OpenBSD のホストを、企業ネットワークのファイアウォールとして稼働させています。 この会社では、その顧客が FTP で顧客の web サイトをアップロードするため、 この会社のネットワークの DMZ で WWW サーバを運用しています。IT 部門では、 自身のネットワークを基幹ネットワークに接続して使用しています。また、社長は、 電子メールや web サーフィンに使用するための PC を、自分の机に持っています。 インターネットへは、上下方向ともに 1.5Mbps の T1 回線を使用して接続しています。 その他のすべてのネットワークセグメントは、Fast Ethernet (100Mbps) を使用しています。

ネットワーク管理者は以下のようなポリシーを決定しました。

• インターネットと WWW サーバとの間のトラフィックは、 双方向とも 500Kbps に制限します。
• WWW サーバと内部ネットワークとの間のトラフィックには、 一切の帯域幅の制限を設けません。
• WWW サーバとインターネットとの間の HTTP のトラフィックには、 (FTP のアップロードのような) 他の WWW サーバとインターネットとの間の トラフィックよりも高い優先度を与えます。
• IT 部門のネットワークには、彼らが最新のソフトウェアのアップデートを 適切な時期にダウンロードできるように 500Kbps を予約します。また、可能な ときには、彼らは 500Kbps 以上の帯域幅を利用できるようにしています。
• 社長の PC とインターネットの間のトラフィックには、インターネットとの間の 他のトラフィックよりも高い優先度を与えます。

以下は、このネットワークポリシーに適合するルールセットです。上記のポリシーに 直接的に適用される pf.conf のディレクティブだけが存在していることに 注意してください。nat、 rdr と オプションなどは、 これには含まれていません。

# enable queueing on the external interface to queue packets going out # to the Internet. use the cbq scheduler so that the bandwidth use of # each queue can be controlled. the max outgoing bandwidth is 1.5Mbps. altq on fxp0 cbq bandwidth 1.5Mb queue { std_ext, www_ext, boss_ext } # define the parameters for the child queues. # std_ext - the standard queue. also the default queue for # outgoing traffic on fxp0. # www_ext - container queue for WWW server queues. limit to # 500Kbps. # www_ext_http - http traffic from the WWW server # www_ext_misc - all non-http traffic from the WWW server # boss_ext - traffic coming from the boss's computer queue std_ext cbq(default) queue www_ext bandwidth 500Kb { www_ext_http, www_ext_misc } queue www_ext_http priority 3 cbq(red) queue www_ext_misc priority 1 queue boss_ext priority 3 # enable queueing on the internal interface to control traffic coming # from the Internet or the DMZ. use the cbq scheduler to control the # bandwidth of each queue. bandwidth on this interface is set to the # maximum. traffic coming from the DMZ will be able to use all of this # bandwidth while traffic coming from the Internet will be limited to # 1.0Mbps (because 0.5Mbps (500Kbps) is being allocated to fxp1). altq on dc0 cbq bandwidth 100% queue { net_int, www_int } # define the parameters for the child queues. # net_int - container queue for traffic from the Internet. bandwidth # is 1.0Mbps. # std_int - the standard queue. also the default queue for outgoing # traffic on dc0. # it_int - traffic to the IT Dept network. # boss_int - traffic to the boss's PC. # www_int - traffic from the WWW server in the DMZ. queue net_int bandwidth 1.0Mb { std_int, it_int, boss_int } queue std_int cbq(default) queue it_int bandwidth 500Kb cbq(borrow) queue boss_int priority 3 queue www_int cbq(red) # enable queueing on the DMZ interface to control traffic destined for # the WWW server. cbq will be used on this interface since detailed # control of bandwidth is necessary. bandwidth on this interface is set # to the maximum. traffic from the internal network will be able to use # all of this bandwidth while traffic from the Internet will be limited # to 500Kbps. altq on fxp1 cbq bandwidth 100% queue { internal_dmz, net_dmz } # define the parameters for the child queues. # internal_dmz - traffic from the internal network. # net_dmz - container queue for traffic from the Internet. # net_dmz_http - http traffic. # net_dmz_misc - all non-http traffic. this is also the default queue. queue internal_dmz # no special settings needed queue net_dmz bandwidth 500Kb { net_dmz_http, net_dmz_misc } queue net_dmz_http priority 3 cbq(red) queue net_dmz_misc priority 1 cbq(default) # ... in the filtering section of pf.conf ... main_net = "192.168.0.0/24" it_net = "192.168.1.0/24" int_nets = "{ 192.168.0.0/24, 192.168.1.0/24 }" dmz_net = "10.0.0.0/24" boss = "192.168.0.200" wwwserv = "10.0.0.100" # default deny block on { fxp0, fxp1, dc0 } all # filter rules for fxp0 inbound pass in on fxp0 proto tcp from any to $wwwserv port { 21, \ > 49151 } flags S/SA keep state queue www_ext_misc pass in on fxp0 proto tcp from any to $wwwserv port 80 \ flags S/SA keep state queue www_ext_http # filter rules for fxp0 outbound pass out on fxp0 from $int_nets to any keep state pass out on fxp0 from $boss to any keep state queue boss_ext # filter rules for dc0 inbound pass in on dc0 from $int_nets to any keep state pass in on dc0 from $it_net to any queue it_int pass in on dc0 from $boss to any queue boss_int pass in on dc0 proto tcp from $int_nets to $wwwserv port { 21, 80, \ > 49151 } flags S/SA keep state queue www_int # filter rules for dc0 outbound pass out on dc0 from dc0 to $int_nets # filter rules for fxp1 inbound pass in on fxp1 proto { tcp, udp } from $wwwserv to any port 53 \ keep state # filter rules for fxp1 outbound pass out on fxp1 proto tcp from any to $wwwserv port { 21, \ > 49151 } flags S/SA keep state queue net_dmz_misc pass out on fxp1 proto tcp from any to $wwwserv port 80 \ flags S/SA keep state queue net_dmz_http pass out on fxp1 proto tcp from $int_nets to $wwwserv port { 80, \ 21, > 49151 } flags S/SA keep state queue internal_dmz

[前に戻る: アンカーと名前付き (サブ) ルールセット] [目次] [次に進む: アドレスプールと負荷分散 (Load Balancing)]