目  錄

1 IP性能優化

1.1 IP性能優化配置任務簡介

1.2 配置允許接口接收和轉發直連網段的定向廣播報文

1.2.1 功能簡介

1.2.2 配置步驟

1.3 配置接口發送IPv4報文的MTU

1.4 開啟IP分片報文本地重組功能

1.5 配置ICMP差錯報文發送功能

1.5.1 功能簡介

1.5.2 開啟ICMP重定向報文發送功能

1.5.3 開啟ICMP超時報文發送功能

1.5.4 開啟ICMP目的不可達報文發送功能

1.6 配置ICMP差錯報文發送的令牌桶容量和令牌刷新周期

1.7 指定ICMP報文源地址

1.8 配置接口的TCP最大報文段長度

1.9 配置TCP連接的Path MTU探測功能

1.10 開啟SYN Cookie功能

1.11 配置TCP連接的緩衝區大小

1.12 配置TCP定時器

1.13 IP性能優化顯示和維護

1 IP性能優化

1.1  IP性能優化配置任務簡介

如下所有配置均為可選，請根據實際情況選擇配置。

·     配置IP報文功能

¡     配置允許接口接收和轉發直連網段的定向廣播報文

¡     配置接口發送IPv4報文的MTU

¡     開啟IP分片報文本地重組功能

本功能適用於IRF組網環境。

·     配置ICMP報文功能

¡     配置ICMP差錯報文發送功能

¡     配置ICMP差錯報文發送的令牌桶容量和令牌刷新周期

¡     指定ICMP報文源地址

·     配置TCP報文功能

¡     配置接口的TCP最大報文段長度

¡     配置TCP連接的Path MTU探測功能

¡     開啟SYN Cookie功能

¡     配置TCP連接的緩衝區大小

¡     配置TCP定時器

1.2  配置允許接口接收和轉發直連網段的定向廣播報文

1.2.1  功能簡介

定向廣播報文是指發送給特定網絡的廣播報文。該報文的目的IP地址中網絡號碼字段為特定網絡的網絡號，主機號碼字段為全1。

接口接收和轉發直連網段的定向廣播報文包括以下幾種情況：

·     在接收定向廣播報文的情況下，如果在接口上配置了此命令，設備允許接收此接口直連網段的定向廣播報文。

·     在轉發定向廣播報文的情況下，如果在接口上配置了此命令，設備從其他接口接收到目的地址為此接口直連網段的定向廣播報文時，會從此接口轉發此類報文。

1.2.2  配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     配置允許接口接收和轉發麵向直連網段的定向廣播報文。

ip forward-broadcast

缺省情況下，設備禁止轉發直連網段的定向廣播報文；設備允許接收直連網段的定向廣播報文。

1.3  配置接口發送IPv4報文的MTU

1. 功能簡介

當設備使用某個接口發送報文時，發現報文長度大於該接口的發送IPv4報文的MTU值，則進行下列處理：

·     如果報文不允許分片，則將報文丟棄；

·     如果報文允許分片，則將報文進行分片轉發。

為了減輕轉發設備在傳輸過程中的分片和重組數據包的壓力，更高效的利用網絡資源，請根據實際組網環境設置合適的接口MTU值，以減少分片的發生。

2. 配置步驟

(4)     進入係統視圖。

system-view

(5)     進入接口視圖。

interface interface-type interface-number

(6)     配置發送IPv4報文的MTU。

ip mtu mtu-size

缺省情況下，未配置接口發送IPv4報文的MTU。

1.4  開啟IP分片報文本地重組功能

1. 功能簡介

當某單板收到目的為本設備的IP分片報文時，需要把分片報文送到主用主控板進行重組，這樣會導致報文重組性能較低的問題。當開啟IP分片報文本地重組功能後，分片報文會在該單板直接進行報文重組，這樣就能提高報文的重組性能。開啟IP分片報文本地重組功能後，如果分片報文是從設備上不同的單板進入的，會導致IP分片報文本地無法重組成功。

多台設備組成的IRF環境下，當某成員設備收到目的為本IRF設備的IP分片報文時，需要把分片報文送到主設備進行重組，這樣會導致報文重組性能較低的問題。當開啟IP分片報文本地重組功能後，分片報文會在該成員設備上直接進行報文重組，這樣就能提高分片報文的重組性能。開啟IP分片報文本地重組功能後，如果分片報文是從設備上不同的成員設備進入的，會導致IP分片報文本地無法重組成功。

2. 配置步驟

(7)     進入係統視圖。

system-view

(8)     開啟IP分片報文本地重組功能。

ip reassemble local enable

缺省情況下，IP分片報文本地重組功能處於關閉狀態。

1.5  配置ICMP差錯報文發送功能

1.5.1  功能簡介

ICMP報文通常被網絡層或傳輸層協議用來在異常情況發生時通知相應設備，從而便於進行控製管理。ICMP差錯報文的發送雖然方便了網絡的控製管理，但是也存在缺限：發送大量的ICMP報文，增大網絡流量；如果有用戶發送ICMP差錯報文進行惡意攻擊，會導致設備性能下降或影響正常工作。為了避免上述現象發生，缺省情況下，ICMP差錯報文發送功能處於關閉狀態，用戶可以根據需要開啟ICMP差錯報文發送功能。

ICMP差錯報文包括重定向報文、超時報文和目的不可達報文。

1.5.2  開啟ICMP重定向報文發送功能

1. 功能簡介

ICMP重定向報文發送功能可以簡化主機的管理，使具有很少選路信息的主機逐漸建立較完善的路由表，從而找到最佳路由。

主機啟動時，它的路由表中可能隻有一條到缺省網關的缺省路由。當滿足一定的條件時，缺省網關會向源主機發送ICMP重定向報文，通知主機重新選擇正確的下一跳進行後續報文的發送。

滿足下列條件時，設備會發送ICMP重定向報文：

·     接收和轉發數據報文的接口是同一接口；

·     被選擇的路由本身沒有被ICMP重定向報文創建或修改過；

·     被選擇的路由不是到默認目的地（0.0.0.0）的路由；

·     數據報文中沒有源路由選項。

ICMP重定向報文發送功能可以簡化主機的管理，使具有很少選路信息的主機逐漸建立較完善的路由表，從而找到最佳路由。

2. 配置步驟

(9)     進入係統視圖。

system-view

(10)     開啟ICMP重定向報文發送功能。

ip redirects enable

缺省情況下，ICMP重定向報文發送功能處於關閉狀態。

1.5.3  開啟ICMP超時報文發送功能

1. 功能簡介

ICMP超時報文發送功能是在設備收到IP數據報文後，如果發生超時差錯，則將報文丟棄並給源端發送ICMP超時差錯報文。

設備在滿足下列條件時會發送ICMP超時報文：

·     設備收到IP數據報文後，如果報文的目的地不是本地且報文的TTL字段是1，則發送“TTL超時”ICMP差錯報文；

·     設備收到目的地址為本地的IP數據報文的第一個分片後，啟動定時器，如果所有分片報文到達之前定時器超時，則會發送“重組超時”ICMP差錯報文。

2. 配置限製和指導

關閉ICMP超時報文發送功能後，設備不會再發送“TTL超時”ICMP差錯報文，但“重組超時”ICMP差錯報文仍會正常發送。

3. 配置步驟

(11)     進入係統視圖。

system-view

(12)     開啟ICMP超時報文發送功能。

ip ttl-expires enable

缺省情況下，ICMP超時報文發送功能處於關閉狀態。

1.5.4  開啟ICMP目的不可達報文發送功能

1. 功能簡介

ICMP目的不可達報文發送功能是在設備收到IP數據報文後，如果發生目的不可達的差錯，則將報文丟棄並給源端發送ICMP目的不可達差錯報文。

設備在滿足下列條件時會發送目的不可達報文：

·     設備在轉發報文時，如果在路由表中未找到對應的轉發路由，且路由表中沒有缺省路由，則給源端發送“網絡不可達”ICMP差錯報文；

·     設備收到目的地址為本地的數據報文時，如果設備不支持數據報文采用的傳輸層協議，則給源端發送“協議不可達”ICMP差錯報文；

·     設備收到目的地址為本地、傳輸層協議為UDP的數據報文時，如果報文的端口號與正在使用的進程不匹配，則給源端發送“端口不可達”ICMP差錯報文；

·     源端如果采用“嚴格的源路由選擇”發送報文，當中間設備發現源路由所指定的下一個設備不在其直接連接的網絡上，則給源端發送“源站路由失敗”的ICMP差錯報文；

·     設備在轉發報文時，如果轉發接口的MTU小於報文的長度，但報文被設置了不可分片，則給源端發送“需要進行分片但設置了不分片比特”ICMP差錯報文。

2. 配置限製和指導

設備開啟DHCP服務後，在未發送ICMP回顯請求（ECHO-REQUEST）報文情況下，收到非法ICMP回顯應答（ECHO-REPLY）報文，此時設備不會回應“協議不可達”ICMP差錯報文。關於DHCP的詳細介紹，請參見“三層技術-IP業務配置指導”中的“DHCP”。

3. 配置步驟

(13)     進入係統視圖。

system-view

(14)     開啟ICMP目的不可達報文發送功能。

ip unreachables enable

缺省情況下，ICMP目的不可達報文發送功能處於關閉狀態。

1.6  配置ICMP差錯報文發送的令牌桶容量和令牌刷新周期

1. 功能簡介

如果網絡中短時間內發送的ICMP差錯報文過多，將可能導致網絡擁塞。為了避免這種情況，用戶可以控製設備在指定時間內發送ICMP差錯報文的最大數目，目前采用令牌桶算法來實現。

用戶可以設置令牌桶的容量，即令牌桶中可以同時容納的令牌數；同時可以設置令牌桶的刷新周期，即每隔多長時間發放一個令牌到令牌桶中，直到令牌桶中的令牌數達到配置的容量。一個令牌表示允許發送一個ICMP差錯報文，每當發送一個ICMP差錯報文，則令牌桶中減少一個令牌。如果連續發送的ICMP差錯報文超過了令牌桶的容量，則後續的ICMP差錯報文將不能被發送出去，直到按照所設置的刷新頻率將新的令牌放入令牌桶中。

2. 配置步驟

(15)     進入係統視圖。

system-view

(16)     配置發送ICMP差錯報文對應的令牌刷新周期和令牌桶容量。

ip icmp error-interval interval [ bucketsize ]

缺省情況下，令牌刷新周期為100毫秒，令牌桶容量為10。

刷新周期為0時，表示不限製ICMP差錯報文的發送。

1.7  指定ICMP報文源地址

1. 功能簡介

在網絡中IP地址配置較多的情況下，收到ICMP報文時，用戶很難根據報文的源IP地址判斷報文來自哪台設備。為了簡化這一判斷過程，可以指定ICMP報文源地址。用戶配置特定地址（如環回口地址）為ICMP報文的源地址，可以簡化判斷。

設備發送ICMP差錯報文（TTL超時、端口不可達和參數錯誤等）和ping echo request報文時，都可以通過上述命令指定報文的源地址。

2. 配置限製和指導

用戶發送ping echo request報文時，如果ping命令中已經指定源地址，則使用該源地址，否則使用ip icmp source配置的源地址。

3. 配置步驟

(17)     進入係統視圖。

system-view

(18)     指定ICMP報文源地址。

ip icmp source [ vpn-instance vpn-instance-name ] ip-address

缺省情況下，未指定ICMP報文源地址。設備使用出接口IP地址作為ICMP報文源地址。

1.8  配置接口的TCP最大報文段長度

1. 功能簡介

TCP最大報文段長度（Maximum Segment Size，MSS）表示TCP連接的對端發往本端的最大TCP報文段的長度，目前作為TCP連接建立時的一個選項來協商：當一個TCP連接建立時，連接的雙方要將MSS作為TCP報文的一個選項通告給對端，對端會記錄下這個MSS值，後續在發送TCP報文時，會限製TCP報文的大小不超過該MSS值。當對端發送的TCP報文的長度小於本端的TCP最大報文段長度時，TCP報文不需要分段；否則，對端需要對TCP報文按照最大報文段長度進行分段處理後再發給本端。

2. 配置限製和指導

·     用戶可以通過下麵的命令配置接口的TCP最大報文段長度，配置後該接口接收和發送的TCP報文的大小都不能超過該值。

·     該配置僅對新建的TCP連接生效，對於配置前已建立的TCP連接不生效。

·     該配置僅對IP報文生效，當接口上配置了MPLS功能後，不建議再配置本功能。

3. 配置步驟

(19)     進入係統視圖。

system-view

(20)     進入接口視圖。

interface interface-type interface-number

(21)     配置接口的TCP最大報文段長度。

tcp mss value

缺省情況下，未配置接口的TCP最大報文段長度。

1.9  配置TCP連接的Path MTU探測功能

1. 功能簡介

通過開啟TCP連接的Path MTU探測功能，用戶可確定TCP路徑上從源端到目的端的最小MTU（Path MTU），按照Path MTU組織TCP分段長度，避免IP分片的發生。為了在Path MTU增大時，減少資源浪費，可以開啟Path MTU老化定時器，保證設備盡量按照TCP路徑允許的最大報文長度發送數據。

RFC 1191中規定的TCP連接的Path MTU探測機製如下：

(22)     TCP源端將發送的TCP數據段的外層IP報文設置DF（不可分片）標記。

(23)     如果TCP路徑上某路由器的出接口MTU值小於該IP報文長度，則會丟棄報文，並給TCP源端發送ICMP差錯報文，報文中會攜帶該出接口MTU值。

(24)     TCP源端通過解析該ICMP差錯報文，可知TCP路徑上當前最小的單向MTU值。

(25)     後續TCP源端發送數據段的長度不超過MSS。其中，MSS＝最小MTU值－IP頭部長度－TCP頭部長度。

當MSS已經達到係統規定的最小的32字節後，如果再次收到減少MSS的ICMP差錯報文，係統將允許該TCP連接發送的報文進行分片。

產生ICMP差錯報文的路由器可能不支持RFC 1191，其產生的ICMP差錯報文中的出接口MTU字段值為0，對於這種報文，TCP源端將按照RFC 1191中規定的MTU表獲取比當前路徑MTU更小的值作為計算TCP MSS的基礎。MTU表的內容為（單位為字節）：68、296、508、1006、1280、1492、2002、4352、8166、17914、32000、65535（由於係統規定的TCP最小MSS為32，所以對應最小的MTU實際為72字節）。

Path MTU的老化機製如下：

·     當TCP源端收到ICMP差錯報文後，除了減小Path MTU值，同時會為該Path MTU值啟動老化定時器。

·     當該定時器超時後，係統將按照RFC 1191規定的MTU表依次遞增TCP的MSS值。

·     如果增加一次MSS之後的2分鍾內未收到ICMP差錯報文，則繼續遞增，直到MSS增長到對端在TCP三次握手階段通告的MSS值。

2. 配置準備

TCP連接的Path MTU探測功能依賴IP報文的DF標記位設置後觸發ICMP差錯報文，因此需要TCP路徑上的所有設備打開ICMP差錯報文發送功能（ip unreachables enable），以確保ICMP差錯報文可以發送到TCP源端。

3. 配置步驟

(26)     進入係統視圖。

system-view

(27)     開啟TCP連接的Path MTU探測功能。

tcp path-mtu-discovery [ aging age-time | no-aging ]

缺省情況下，TCP連接的Path MTU探測功能處於關閉狀態。

1.10  開啟SYN Cookie功能

1. 功能簡介

SYN Cookie功能用來防止SYN Flood攻擊。SYN Flood攻擊中，攻擊者向設備發送大量請求建立TCP連接的SYN報文，而不回應設備的SYN ACK報文，導致設備上建立了大量的TCP半連接。從而，達到耗費設備資源，使設備無法處理正常業務的目的。配置SYN Cookie功能後，當設備收到TCP連接請求時，不建立TCP半連接，而直接向發起者回複SYN ACK報文。設備接收到發起者回應的ACK報文後，建立連接，並進入ESTABLISHED狀態。通過這種方式，可以避免在設備上建立大量的TCP半連接，防止設備受到SYN Flood攻擊。

2. 配置步驟

(28)     進入係統視圖。

system-view

(29)     開啟SYN Cookie功能。

tcp syn-cookie enable

缺省情況下，SYN Cookie功能處於關閉狀態。

1.11  配置TCP連接的緩衝區大小

(30)     進入係統視圖。

system-view

(31)     配置TCP連接的接收和發送緩衝區的大小。

tcp window window-size

缺省情況下，TCP連接的接收和發送緩衝區大小為63KB。

1.12  配置TCP定時器

1. TCP定時器簡介

可以配置的TCP定時器包括：

·     synwait定時器：當發送SYN報文時，TCP啟動synwait定時器和重傳SYN報文定時器，當synwait定時器超時且SYN報文重傳未達到最大次數時，如果設備未收到回應報文，則TCP連接建立不成功；當synwait定時器未超時但是SYN報文重傳達到最大次數時，如果設備未收到回應報文，則TCP連接建立不成功。

·     finwait定時器：當TCP的連接狀態為FIN_WAIT_2時，啟動finwait定時器，如果在定時器超時前未收到報文，則TCP連接終止；如果收到FIN報文，則TCP連接狀態變為TIME_WAIT狀態；如果收到非FIN報文，則從收到的最後一個非FIN報文開始重新計時，在超時後中止連接。

2. 配置步驟

(32)     進入係統視圖。

system-view

(33)     配置TCP的synwait定時器超時時間。

tcp timer syn-timeout time-value

缺省情況下，synwait定時器超時時間為75秒。

(34)     配置TCP的finwait定時器超時時間。

tcp timer fin-timeout time-value

缺省情況下，finwait定時器超時時間為675秒。

1.13  IP性能優化顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置IP性能優化功能後的運行情況，通過查看顯示信息驗證配置的效果。

在用戶視圖下執行reset命令清除IP、TCP和UDP的流量統計信息。

表1-1 IP性能優化顯示和維護