コールアドミッション制御（CAC）機能は、設定する必要がある ASR 1000 処理リソースを保護するために設定されます。CAC は、CPU 使用率が設定されたしきい値を超えた場合に、アクティブコール専用のメディア帯域幅を制限できます。

このセクションでは、次の CAC 設定例を示します。

PPPoE セッションの設定

router(config)# call admission new-model
router(config)# call admission limit 1000
router(config)# call admission cpu-limit 80
router(config)# call admission pppoe 10 1

PPPoA セッションの設定

router(config)# call admission new-model
router(config)# call admission limit 1000
router(config)# call admission cpu-limit 80
router(config)# call admission pppoa 10 1

VPDN セッションの設定

router(config)# call admission new-model
router(config)# call admission limit 1000
router(config)# call admission cpu-limit 80
router(config)# call admission vpdn 10 1

コントロール プレーン ポリシング機能を使用すると、コントロール プレーン パケットのトラフィックフローを管理する QoS フィルタを設定して、偵察行為やサービス妨害（DoS）攻撃から Cisco IOS XE ルータおよびスイッチのコントロールプレーンを保護できます。ルータやスイッチに対する攻撃や大量トラフィック負荷があったとしても、コントロールプレーンを利用してパケット転送とプロトコル状態を維持することができます。

コントロール プレーン ポリシング機能の設定例については、次の URL で『Quality of Service Solutions Configuration Guide』の「Control Plane Policing」のセクションを参照してください。

http://www.cisco.com/en/US/docs/ios-xml/ios/qos_plcshp/configuration/xe-3s/qos-plcshp-ctrl-pln-plc.html [英語]

バーチャル プライベート ダイヤルアップ ネットワーク（VPDN）グループセッション制限機能を使用すると、VPDN グループごとに許可される VPDN セッションの数を制限できます。VPDN セッション制限はパフォーマンスを向上させ、大容量で動作するルータの遅延を低減できます。

VPDN グループセッション制限の詳細については、次の URL でこの機能のマニュアルを参照してください。

http://www.cisco.com/en/US/docs/ios-xml/ios/vpdn/configuration/xe-3s/vpd-tunnel-mgmt.html [英語]

PPPoE セッション制限サポート機能は、ルータまたはすべてのイーサネット インターフェイスとサブインターフェイス、および ATM インターフェイスとサブインターフェイスで作成可能な PPPoE セッションの数を制限することで、ルータが仮想アクセスに過剰なメモリを使用するのを防ぎます。

PPPoE セッション制限の詳細については、次の URL でこの機能のマニュアルを参照してください。

http://www.cisco.com/en/US/docs/ios-xml/ios/bbdsl/configuration/xe-3s/bba-limit-legcfg-xe.html [英語]

仮想アクセス サブインターフェイスがルータの Simple Network Management Protocol（SNMP）機能に登録されてメモリを使い果たさないようにするため、ルータの SNMP 管理ツールを使用して PPP セッションをモニターしないでください。SNMP ビューを使用して、一括クエリと偶発的な要求を分離します。

no virtual-template snmp コマンドを使用して、SNMP 管理ツールを無効にします。

Router(config)# no virtual-template snmp

ギガビットイーサネットおよび 10 ギガビット イーサネット インターフェイスの入出力保留キューのデフォルト値は、375 パケットです。LCP、IPCP、PPP、L2TP、DHCP などの高レートの制御パケットを処理するためにインターフェイスが必要な場合は、デフォルト値では不十分な場合があります。高拡張性を確保するには、アクセスインターフェイスの入出力保留キューを 4096 に設定します。

Router(config)# interface gig1/0/0
Router(config-if)# hold-queue 4096 in

PPP セッションでは、keepalive コマンドで特定のインターフェイスのキープアライブタイマーが設定されます。適切なスケーリングを実現し、CPU 使用率を最小限に抑えるため、タイマーを 60 秒以上に設定してください。デフォルト値は 10 秒です。

interface Virtual-Template1
 ip unnumbered Loopback1
 keepalive 60
 no peer default ip address
 ppp authentication pap

（注）

IP セッションの場合、キープアライブはデフォルトでは有効になっていません。IP セッションのキープアライブを有効にすると、加入者の存在をテストするために ICMP または ARP が使用される点を除き、PPP キープアライブと同じ機能が提供されます。キープアライブメッセージでの ARP の使用およびキープアライブメッセージでの ICMP の使用の詳細については、http://www.cisco.com/en/US/docs/ios-xml/ios/isg/configuration/xe-3s/Configuring_ISG_Policies_for_Session_Maintenance.html [英語] で該当する機能についてのドキュメントを参照してください。

IP 入力プロセスのヘッドオブライン ブロッキングを防止し、システムリソースを節約するには、vpdn ip udp ignore checksum コマンドを設定します。

Router(config)# vpdn ip udp ignore checksum

このコマンドを設定すると、ルータは L2TP Hello パケットと Hello 確認応答を L2TP 制御プロセスに直接キューイングします。すべての拡張 LAC および LNS L2TP トンネル設定でこのコマンドを設定することを推奨します。

vpdn ip udp ignore checksum コマンドを設定しない場合、L2TP ソフトウェアは、パケットを UDP に送信してチェックサムを検証します。IP 入力プロセスにキューイングされるパケットが多すぎると、ルータは選択的パケット廃棄（SPD）メカニズムを開始し、IP パケットをドロップします。

（注）	他の非 L2TP 設定では、IP 入力プロセスのヘッドオブライン ブロッキングが発生する可能性があります。入力インターフェイスで発生するフラッシュは、SPD メカニズムによってパケットが廃棄されていることを示します。

ルータ設定を変更せずにユーザー単位設定の拡張性を向上させるには、ip:vrf-id および ip:ip-unnumbered RADIUS 属性を使用します。これらのユーザー単位のベンダー固有属性（VSA）は、セッションを VRF および IP アンナンバード インターフェイスにマッピングするために使用されます。VSA は仮想アクセス サブインターフェイスに適用され、PPP 承認時に処理されます。

ip:vrf-id 属性は、セッションを VRF にマッピングするために使用されます。ip:vrf-id VSA を使用するプロファイルは、作成される VAI に IP 設定をインストールするために、ip:ip-unnumbered VSA も使用する必要があります。作成される VAI で使用される PPP には、ip:ip-unnumbered VSA が必要です。インターフェイスで IP が設定されていない場合、インターネットプロトコル制御プロトコル（IPCP）セッションは確立されません。インターフェイスで ip address コマンドまたは ip unnumbered コマンドを設定して、作成される VAI にこれらの設定が存在するようにする必要があります。ただし、ip:ip-vrf VSA が VAI にインストールされると、既存の IP 設定（存在する場合）が削除されるため、仮想テンプレート インターフェイスで ip address コマンドと ip unnumbered コマンドを指定する必要はありません。そのため、ip:vrf-id VSA を使用するプロファイルは、作成される VAI に IP 設定をインストールするために、ip:ip-unnumbered VSA も使用する必要があります。

これらのユーザー単位の VSA は、VAI に適用できます。したがって、ユーザー単位の承認プロセスでは、完全な VAI を作成する必要がなく、拡張性が向上します。