- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
06-IP性能優化配置
本章節下載： 06-IP性能優化配置 (208.92 KB)
目 錄
· IP性能優化功能中所指的“接口”為三層口，包括VLAN接口、三層以太網端口等。三層以太網端口是指被配置為三層模式的以太網端口，有關以太網端口模式切換的操作，請參見“二層技術-以太網交換配置指導”中的“以太網端口配置”。
· 僅S5500-EI係列交換機支持配置三層以太網端口。
· 僅S5500-EI係列交換機支持vpn-instance vpn-instance-name參數。
在一些特定的網絡環境裏，可以通過調整IP的參數，以使網絡性能達到最佳。IP性能的優化配置包括：
· 配置允許接收和發送定向廣播報文
· 配置TCP連接的Path MTU探測功能
· 配置TCP連接的接收和發送緩衝區的大小
· 配置TCP定時器
· 配置ICMP差錯報文發送功能
定向廣播報文是指發送給特定網絡的廣播報文。該報文的目的IP地址中網絡號碼字段為特定網絡的網絡號，主機號碼字段為全1。
如果允許設備接收並轉發目的地址為接口所在網絡的定向廣播報文，黑客就可以利用這樣的報文來攻擊網絡係統，給網絡的安全帶來了很大的隱患。但在某些應用環境下，設備又需要轉發定向廣播報文，例如使用UDP Helper功能，將廣播報文轉換為單播報文發送給指定的服務器。
在上述情況下，用戶可以通過命令配置設備允許接收和轉發定向廣播報文。
如果允許設備接收定向廣播報文，則由接口上的配置決定是否轉發該報文；否則，直接丟棄定向廣播報文。
表1-1 配置允許接收定向廣播報文
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
配置允許設備接收定向廣播報文 |
ip forward-broadcast |
必選 缺省情況下，禁止設備接收定向廣播報文 |
表1-2 配置允許轉發定向廣播報文
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
進入接口視圖 |
interface interface-type interface-number |
- |
|
配置允許接口轉發定向廣播報文 |
ip forward-broadcast [ acl acl-number ] |
必選 缺省情況下，禁止接口轉發定向廣播報文 |
· 允許接口轉發定向的廣播報文時，如果配置了ACL規則，則在轉發廣播報文的同時還需要對報文進行過濾，不符合ACL規則的報文將被丟棄，隻轉發符合ACL規則的報文。
· 如果在同一接口下重複執行ip forward-broadcast acl命令，則後麵配置的ACL會覆蓋以前配置的ACL；如果後配置的命令不帶acl acl-number，則以前配置中的ACL規則將被取消。
如圖1-1所示，Host的接口和Switch的VLAN接口3處於同一個網段（1.1.1.0/24），Switch的VLAN接口2和Server處於另外一個網段（2.2.2.0/24）。Host上配置默認網關為Switch的VLAN接口3的地址（1.1.1.2/24）。
要求通過配置使得Server可以收到Host發送的定向廣播報文。
# 配置允許Switch接收定向的廣播報文。
<Switch> system-view
[Switch] ip forward-broadcast
# 配置VLAN接口3和VLAN接口2的IP地址。
[Switch] interface vlan-interface 3
[Switch-Vlan-interface3] ip address 1.1.1.2 24
[Switch-Vlan-interface3] quit
[Switch] interface vlan-interface 2
[Switch-Vlan-interface2] ip address 2.2.2.2 24
# 配置允許VLAN接口2轉發定向廣播報文。
[Switch-Vlan-interface2] ip forward-broadcast
RFC 1191中規定的TCP連接的Path MTU探測功能，可以探測TCP路徑上從源端到目的端的最小MTU，其探測機製如下：
(1) TCP源端將發送的TCP數據段的外層IP報文設置DF（不可分片）標記。
(2) 如果TCP路徑上某路由器的出接口MTU值小於該IP報文長度，則會丟棄報文，並給TCP源端發送ICMP差錯報文，報文中會攜帶該出接口MTU值。
(3) TCP源端通過解析該ICMP差錯報文，可知TCP路徑上當前最小的單向MTU值。
(4) 後續TCP源端發送數據段的長度不超過MSS。其中，MSS＝最小MTU值－IP頭部長度－TCP頭部長度。
· 當MSS已經達到係統規定的最小的32字節後，如果再次收到減少MSS的ICMP差錯報文，係統將允許該TCP連接發送的報文進行分片。
· 產生ICMP差錯報文的路由器可能不支持RFC 1191，其產生的ICMP差錯報文中的出接口MTU字段值為0，對於這種報文，TCP源端將按照RFC 1191中規定的MTU表獲取比當前路徑MTU更小的值作為計算TCP MSS的基礎。MTU表的內容為（單位為字節）：68、296、508、1006、1280、1492、2002、4352、8166、17914、32000、65535（由於係統規定的TCP最小MSS為32，所以對應最小的MTU實際為72字節）。
用戶通過命令行開啟TCP連接的Path MTU探測功能後，新建的TCP連接均會攜帶Path MTU探測屬性，可以通過上述探測機製確定Path MTU，按照數據路徑上的最小MTU組織TCP分段長度，最大限度利用網絡資源，避免IP分片的發生。
Path MTU值可以老化，這樣當Path MTU增大時可以充分利用網絡資源，盡量按照轉發路徑可以容忍的最大報文長度發送數據。Path MTU的老化機製如下：
· 當TCP源端收到ICMP差錯報文後，除了減小Path MTU值，同時會為該Path MTU值啟動老化定時器。
· 當該定時器超時後，係統將按照RFC 1191規定的MTU表依次遞增TCP的MSS值。
· 如果增加一次MSS之後的2分鍾內沒有收到ICMP差錯報文，則繼續遞增，直到MSS增長到對端在TCP三次握手階段通告的MSS值。
表1-3 配置TCP連接的Path MTU探測功能
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
開啟TCP連接的Path MTU探測功能 |
tcp path-mtu-discovery [ aging minutes | no-aging ] |
必選 缺省情況下，TCP連接的Path MTU探測功能處於關閉狀態 |
TCP連接的Path MTU探測功能依賴IP報文的DF標記位設置後觸發ICMP差錯報文，因此需要TCP路徑上的所有設備打開ICMP差錯報文發送功能（ip unreachables enable），以確保ICMP差錯報文可以發送到TCP源端。
表1-4 配置TCP連接的接收和發送緩衝區大小
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
配置TCP連接的接收和發送緩衝區的大小 |
tcp window window-size |
可選 缺省情況下，TCP連接的接收和發送緩衝區大小為8KB |
可以配置的TCP定時器包括：
· synwait定時器：當發送SYN報文時，TCP啟動synwait定時器，如果synwait超時前未收到回應報文，則TCP連接建立不成功。
· finwait定時器：當TCP的連接狀態為FIN_WAIT_2時，啟動finwait定時器，如果在定時器超時前沒有收到報文，則TCP連接終止；如果收到FIN報文，則TCP連接狀態變為TIME_WAIT狀態；如果收到非FIN報文，則從收到的最後一個非FIN報文開始重新計時，在超時後中止連接。
表1-5 配置TCP定時器
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
配置TCP的synwait定時器超時時間 |
tcp timer syn-timeout time-value |
可選 缺省情況下，synwait定時器超時時間為75秒 |
|
配置TCP的finwait定時器超時時間 |
tcp timer fin-timeout time-value |
可選 缺省情況下，finwait定時器超時時間為675秒 |
finwait定時器的實際超時時間由如下公式決定：finwait定時器的實際超時時間＝（配置的finwait定時器超時時間－75）＋配置的synwait定時器超時時間。
發送差錯報文是ICMP（Internet Control Message Protocol，互聯網控製消息協議）的主要功能之一。差錯報文通常被網絡層或傳輸層協議用來在異常情況發生時通知相應設備，從而便於進行控製管理。
重定向報文、超時報文、目的不可達報文是ICMP差錯報文中的三種。下麵分別介紹這三種差錯報文發送的條件及作用。
(1) ICMP重定向報文發送功能
主機啟動時，它的路由表中可能隻有一條到缺省網關的缺省路由。當滿足一定的條件時，缺省網關會向源主機發送ICMP重定向報文，通知主機重新選擇正確的下一跳進行後續報文的發送。
滿足下列條件時，設備會發送ICMP重定向報文：
· 接收和轉發數據報文的接口是同一接口；
· 被選擇的路由本身沒有被ICMP重定向報文創建或修改過；
· 被選擇的路由不是設備的默認路由；
· 數據報文中沒有源路由選項。
ICMP重定向報文發送功能可以簡化主機的管理，使具有很少選路信息的主機逐漸建立較完善的路由表，從而找到最佳路由。
(2) ICMP超時報文發送功能
ICMP超時報文發送功能是在設備收到IP數據報文後，如果發生超時差錯，則將報文丟棄並給源端發送ICMP超時差錯報文。
設備在滿足下列條件時會發送ICMP超時報文：
· 設備收到IP數據報文後，如果報文的目的地不是本地且報文的TTL字段是1，則發送“TTL超時”ICMP差錯報文；
· 設備收到目的地址為本地的IP數據報文的第一個分片後，啟動定時器，如果所有分片報文到達之前定時器超時，則會發送“重組超時”ICMP差錯報文。
(3) ICMP目的不可達報文發送功能
ICMP目的不可達報文發送功能是在設備收到IP數據報文後，如果發生目的不可達的差錯，則將報文丟棄並給源端發送ICMP目的不可達差錯報文。
設備在滿足下列條件時會發送目的不可達報文：
· 設備在轉發報文時，如果在路由表中沒有找到對應的轉發路由，且路由表中沒有缺省路由，則給源端發送“網絡不可達”ICMP差錯報文；
· 設備收到目的地址為本地的數據報文時，如果設備不支持數據報文采用的傳輸層協議，則給源端發送“協議不可達”ICMP差錯報文；
· 設備收到目的地址為本地、傳輸層協議為UDP的數據報文時，如果報文的端口號與正在使用的進程不匹配，則給源端發送“端口不可達”ICMP差錯報文；
· 源端如果采用“嚴格的源路由選擇”發送報文，當中間設備發現源路由所指定的下一個設備不在其直接連接的網絡上，則給源端發送“源站路由失敗”的ICMP差錯報文；
· 設備在轉發報文時，如果轉發接口的MTU小於報文的長度，但報文被設置了不可分片，則給源端發送“需要進行分片但設置了不可分片比特”ICMP差錯報文。
ICMP差錯報文的發送雖然方便了網絡的控製管理，但也存在一定的弊端：
· 由於發送大量的ICMP報文，增大了網絡流量。
· 如果設備接收到大量需要發送ICMP差錯報文的惡意攻擊報文，設備會因為處理大量該類報文而導致性能降低。
· 由於重定向功能會在主機的路由表中增加主機路由，當增加的主機路由很多時，會降低主機性能。
· 由於ICMP目的不可達報文傳遞給用戶進程的信息為不可達信息，如果有用戶惡意攻擊，可能會影響終端用戶的正常使用。
為了避免上述現象發生，可以關閉設備的ICMP差錯報文發送功能，從而減少網絡流量、防止遭到惡意攻擊。
表1-6 配置ICMP差錯報文發送功能
|
操作 |
命令 |
說明 |
|
進入係統視圖 |
system-view |
- |
|
開啟ICMP重定向報文發送功能 |
ip redirects enable |
必選 缺省情況下，ICMP重定向報文發送功能處於關閉狀態 |
|
開啟ICMP超時報文發送功能 |
ip ttl-expires enable |
必選 缺省情況下，ICMP超時報文發送功能處於關閉狀態 |
|
開啟ICMP目的不可達報文發送功能 |
ip unreachables enable |
必選 缺省情況下，ICMP目的不可達報文發送功能處於關閉狀態 |
關閉ICMP超時報文發送功能後，設備不會再發送“TTL超時”ICMP差錯報文，但“重組超時”ICMP差錯報文仍會正常發送。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置IP性能後的運行情況，通過查看顯示信息驗證配置的效果。
在用戶視圖下執行reset命令清除IP、TCP和UDP的流量統計信息。
表1-7 IP性能優化顯示和維護
|
操作 |
命令 |
|
顯示TCP連接的流量統計信息 |
display tcp statistics [ | { begin | exclude | include } regular-expression ] |
|
顯示UDP流量統計信息 |
display udp statistics [ | { begin | exclude | include } regular-expression ] |
|
顯示IP報文統計信息 |
display ip statistics [ slot slot-number ] [ | { begin | exclude | include } regular-expression ] |
|
顯示ICMP流量統計信息 |
display icmp statistics [ slot slot-number ] [ | { begin | exclude | include } regular-expression ] |
|
顯示套接口信息 |
display ip socket [ socktype sock-type ] [ task-id socket-id ] [ slot slot-number ] [ | { begin | exclude | include } regular-expression ] |
|
顯示FIB信息 |
display fib [ vpn-instance vpn-instance-name ] [ acl acl-number | ip-prefix ip-prefix-name ] [ | { begin | exclude | include } regular-expression ] |
|
顯示與指定目的IP地址匹配的FIB信息 |
display fib [ vpn-instance vpn-instance-name ] ip-address [ mask | mask-length ] [ | { begin | exclude | include } regular-expression ] |
|
清除IP報文統計信息 |
reset ip statistics [ slot slot-number ] |
|
清除TCP連接的流量統計信息 |
reset tcp statistics |
|
清除UDP流量統計信息 |
reset udp statistics |
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
