Cisco Cisco 1 10 100 Ethernet 2 WAN Card Slot Network Module White Paper

 

 

© 2012 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public Information. 

Page 52 of 55 

The policing function is typically handled by the ingress forwarding engine (either PFC or DFC). A critical restriction 

to implementing aggregate policers in a Cisco Virtual Switching System environment is the current lack of 

distributed aggregate policing capabilities across different forwarding engines. That is, if a policer is required to 

span across multiple forwarding engines, each forwarding engine keeps track of its own token-bucket quota and 

hence generally results in the under-policing of traffic. This situation usually manifests itself when applying policers 

on the following types of interfaces (Figure 30): 

● 

VLAN interfaces that consist of member ports that belong to multiple forwarding engines 

● 

Port-channel interfaces that consist of member ports that belong to multiple forwarding engines 

● 

Shared aggregate policers that consist of member ports that belong to multiple forwarding engines 

Figure 30.    Aggregate Policing Within Cisco Virtual Switching System 

 

Microflow Policing and User-Based Rate Limiting 

Microflow policing allows you to police individual traffic flows at a given rate. Depending on the flow mask used 

(whether it is a unique source or destination MAC address, source or destination IP address, or TCP/User 

Datagram Protocol [UDP] port numbers), you can use microflow policing to limit the amount of data sent or 

received for that flow on a port or VLAN basis. In the microflow definition, you can either drop packets that exceed 

the prescribed rate limit or have their DSCP value marked down. 

User Based Rate Limiting (UBRL) is a form of microflow policing that also supports the policing of individual flows. 

The primary difference is that you can specify a source-only flow or destination-only flow, rather than the full source 

or destination address of the packet. 

For both microflow policing and UBRL, the NetFlow table on either the PFC or DFC is used to track the individual 

flows, as well as maintain the flow statistics. Most importantly, it is used to track the rate of ingress traffic for each 

individual flow by implementing a separate token bucket for each NetFlow entry. Cisco Virtual Switching System 

also has the restriction that each forwarding engine is responsible for the calculation of each flow independently 

and cannot be synchronized across multiple forwarding engines.