目  錄

1 帶寬管理

1.1 帶寬管理簡介

1.1.1 帶寬管理應用場景

1.1.2 帶寬管理實現流程

1.1.3 帶寬策略規則

1.1.4 帶寬通道

1.2 帶寬管理配置限製和指導

1.3 帶寬管理配置準備

1.4 帶寬管理配置任務簡介

1.5 配置帶寬通道

1.5.1 創建帶寬通道

1.5.2 配置帶寬限流參數

1.5.3 配置帶寬檢測參數

1.5.4 配置帶寬通道引用方式

1.5.5 重命名帶寬通道

1.6 配置帶寬策略規則

1.6.1 創建帶寬策略規則

1.6.2 配置帶寬策略規則過濾條件

1.6.3 配置帶寬策略規則動作

1.6.4 配置帶寬策略規則生效時間

1.7 管理和維護帶寬策略規則

1.7.1 複製帶寬策略規則

1.7.2 重命名帶寬策略規則

1.7.3 移動帶寬策略規則

1.7.4 禁用帶寬策略規則

1.8 開啟帶寬管理統計功能

1.9 帶寬管理顯示和維護

1.10 帶寬管理典型配置舉例

1.10.1 單通道模式帶寬管理配置舉例

1.10.2 父子通道模式帶寬管理配置舉例

1.10.3 基於用戶限速帶寬管理配置舉例

 

1 帶寬管理

1.1  帶寬管理簡介

帶寬管理對通過設備的流量實現基於源/目的安全域、源/目的IP地址、服務、用戶/用戶組、應用、DSCP優先級和時間段等，實現精細化的管理和控製。

1.1.1  帶寬管理應用場景

帶寬管理的應用場景如下：

·     企業內網用戶所需的帶寬遠大於從運營商租用的出口帶寬，這時網絡出口就會存在帶寬瓶頸的問題。

·     網絡出口中P2P業務類型的數據流量消耗了絕大部分的帶寬資源，致使企業的關鍵業務得不到帶寬保證。

為了解決以上問題，可以在網絡出口設備上部署帶寬管理，針對不同的內網業務流量應用不同的帶寬策略規則，實現合理分配出口帶寬和保證關鍵業務正常運行的目的。

1.1.2  帶寬管理實現流程

帶寬策略可以對符合匹配條件的流量應用帶寬通道，在帶寬通道中可以配置帶寬保證和帶寬限製功能，進而提高帶寬利用率以及在線路擁堵時保證關鍵業務的正常運行。

圖1-1 帶寬管理實現流程圖

 

帶寬管理實現流程如下：

(1)     將報文的屬性信息與帶寬策略規則中的過濾條件進行匹配。每種過濾條件的多個匹配項之間是或的關係，即報文與某一個過濾條件中的任意一項匹配成功，則報文與此條過濾條件匹配成功；若報文與某一個過濾條件中的所有項都匹配失敗，則報文與此條過濾條件匹配失敗。

(2)     若報文與某條帶寬策略規則中的所有過濾條件都匹配成功（用戶與用戶組、應用與應用組各匹配一項即可），則報文與此條帶寬策略規則匹配成功。若有一個過濾條件不匹配，則報文與此條帶寬策略規則匹配失敗，報文繼續匹配下一條帶寬策略規則。以此類推，直到最後一條帶寬策略規則，若報文還未與規則匹配成功，則不對報文進行帶寬管理。

(3)     報文與某條帶寬策略規則匹配成功後便結束此匹配過程，如果此規則的動作中引用了帶寬通道，則流量繼續進入相應的帶寬通道進行後續的處理，否則設備不對該流量進行帶寬管理。

(4)     流量進入帶寬通道後，設備會根據此帶寬通道中配置的帶寬限製策略對流量進行相應的處理。

(5)     如果出接口出方向上應用了QoS業務，則對流量先進行帶寬策略處理，再進行QoS業務處理。

(6)     流量從出接口發送時受該接口帶寬的限製。

1.1.3  帶寬策略規則

帶寬策略中可以配置多個帶寬策略規則，這些規則用於定義匹配流量的過濾條件以及流量控製的動作。帶寬策略規則支持四級嵌套關係，即一個規則中可以指定一個父規則，最多支持嵌套四級。

1. 帶寬策略規則過濾條件

每條帶寬策略規則中可以配置多種過濾條件，具體包括：源/目的安全域、源/目的IP地址、服務、用戶/用戶組、應用和DSCP優先級。每種過濾條件中均可以配置多個匹配項，比如應用過濾條件中可以指定多個應用等。

2. 帶寬策略規則動作

在帶寬策略規則動作中引用帶寬通道後，設備將根據此帶寬通道對此流量進行限流。

3. 嵌套規則匹配原則

流量與存在父規則的帶寬策略規則進行匹配時，遵守如下原則：

·     首先匹配父規則，如果父規則匹配上了再匹配子規則。如果父規則沒有匹配上，也不會進行後續的子規則匹配，該匹配過程失敗。

·     如果子規則匹配上了，先執行子規則中指定的動作，再執行父規則中指定的動作，如果父子規則對同一個帶寬資源限製參數或流量優先級參數進行限製，則執行最嚴格的動作。如果子規則沒有匹配上但父規則匹配上了，則執行父規則中指定的動作。

1.1.4  帶寬通道

帶寬通道定義了具體的帶寬資源，是進行帶寬管理的基礎。通過帶寬通道，可以將物理的帶寬資源從邏輯上劃分為多個虛擬的帶寬通道，每個帶寬通道中都可自定義相應的帶寬資源限製參數和流量優先級參數。目前，帶寬通道中支持的帶寬資源限製參數和流量優先級參數包括如下幾種：

1. 帶寬通道限流方式

帶寬通道中對流量的限製方式，包括如下兩種：

·     分別設置上下行帶寬：對帶寬通道中的上下行流量分別限製。

·     設置總帶寬：對帶寬通道中的上下行流量整體限製。

2. 每規則帶寬限製

每規則的保證帶寬：保證業務的最小帶寬，在線路擁堵時，可以保證公司關鍵業務所需的帶寬，確保此類業務不受影響。

每規則的最大帶寬：限製業務的最大帶寬，比如限製網絡中非關鍵業務占用的帶寬資源，避免該類業務消耗大量的帶寬，影響其他關鍵業務的正常運行。

3. 每IP或每用戶帶寬限製

每IP或每用戶的保證帶寬：設備除了支持配置每規則的保證帶寬之外，還支持基於IP地址和用戶的保證帶寬，實現更加精細化的帶寬管理。

每IP或每用戶的最大帶寬：設備除了支持配置每規則的最大帶寬之外，還支持基於IP地址和用戶的最大帶寬，實現更加精細化的帶寬管理。

4. 連接數限製

每規則、每IP或每用戶的最大連接數和最大新建連接速率限製：通常在出現以下兩類網絡問題的組網環境中需要在設備上配置最大連接數和最大新建連接速率限製：某內網用戶在短時間內經過設備向外部網絡發起大量連接，導致設備係統資源迅速消耗，其它內網用戶無法正常使用網絡資源；某內部服務器在短時間內接收到大量的連接請求，導致該服務器忙於處理這些連接請求，以至於不能再接受其它客戶端的正常連接請求。

5. 流量優先級限製

流量優先級：當多個帶寬通道中的流量同時從某個接口發送時，如果此接口發生阻塞，則優先級高的流量優先被發送。優先級相同的流量將會自由競爭出接口的帶寬資源。

重標記報文的DSCP優先級：修改報文中DSCP（Differentiated Services Code Point）字段的值，DSCP優先級是網絡設備進行流量分類的依據。位於報文傳輸路徑上的各個網絡設備，能夠通過DSCP優先級來區分流量，因此可以便於上下行設備依據修改後的DSCP優先級對流量采取差異化處理。

1.2  帶寬管理配置限製和指導

·     配置帶寬管理策略時，請按照“深度優先”的原則（即控製範圍小的、條件細化的在前，範圍大的在後）進行配置。

·     接口期望帶寬的缺省值較小時，在流量較大的情況下，很容易出現丟包現象，這時可以將此接口的期望帶寬值調大。比如Tunnel口的默認帶寬是64kbps，流量比較大的情況下，易出現丟包現象，這時可將Tunnel接口的期望帶寬值調大。

1.3  帶寬管理配置準備

在配置帶寬管理策略之前，需完成以下任務：

·     配置時間段（請參見“ACL和QoS配置指導”中的“時間段”）。

·     配置IP地址對象組和服務對象組（請參見“安全配置指導”中的“對象組”）。

·     配置應用（請參見“安全配置指導”中的“APR”）。

·     配置用戶和用戶組（請參見“安全配置指導”中的“用戶身份識別與管理”）。

·     配置安全域（請參見“安全配置指導”中的“安全域”）。

1.4  帶寬管理配置任務簡介

帶寬管理配置任務如下：

(1)     配置帶寬通道

¡     創建帶寬通道

¡     配置帶寬限流參數

¡     （可選）配置帶寬檢測參數

¡     配置帶寬通道引用方式

¡     （可選）重命名帶寬通道

(2)     配置帶寬策略規則

¡     創建帶寬策略規則

¡     配置帶寬策略規則過濾條件

¡     配置帶寬策略規則動作

¡     （可選）配置帶寬策略規則生效時間

(3)     （可選）管理和維護帶寬策略規則

¡     複製帶寬策略規則

¡     重命名帶寬策略規則

¡     移動帶寬策略規則

¡     禁用帶寬策略規則

(4)     （可選）開啟帶寬管理統計功能

1.5  配置帶寬通道

1.5.1  創建帶寬通道

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     創建帶寬通道，並進入帶寬通道視圖。

profile name profile-name

1.5.2  配置帶寬限流參數

1. 功能簡介

帶寬通道定義了實施帶寬管理的對象所能夠使用的帶寬資源，帶寬通道將被帶寬策略規則引用後生效。

2. 配置限製和指導

每IP最大帶寬、每用戶最大帶寬和最大帶寬動態均分功能三種控製方式不能同時存在，會相互替換，最後一次配置的控製方式生效。

每IP保證帶寬與每用戶保證帶寬兩種控製方式不能同時存在，會相互替換，最後一次配置的控製方式生效。

對於指定每用戶的控製方式，需要保證引用本帶寬通道的帶寬策略規則中配置了作為帶寬策略規則過濾條件的用戶或用戶組，否則每用戶的控製方式不生效。

對於指定每IP的控製方式，需要保證引用本帶寬通道的帶寬策略規則中配置了作為帶寬策略規則過濾條件的IP地址或地址對象組，否則每IP的控製方式不生效，此時會有以下情況：

·     帶寬策略規則中配置了源IP地址或源IP地址對象組：設備根據源IP地址對流量進行控製。

·     帶寬策略規則中配置了目的IP地址或目的IP地址對象組：設備根據目的IP地址對流量進行控製。

·     帶寬策略規則中同時配置了源和目的IP地址（包含地址對象組）：設備根據源IP地址對流量進行控製。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬通道視圖。

profile name profile-name

(4)     配置每規則的保證帶寬和最大帶寬。

bandwidth { downstream | total | upstream } { guaranteed | maximum } bandwidth-value

缺省情況下，未配置帶寬通道的保證帶寬和最大帶寬。

請保證最大帶寬不小於保證帶寬。

如需開啟最大帶寬的動態均分功能，則必須配置每規則的最大帶寬。

(5)     配置每IP或每用戶的保證帶寬和最大帶寬。

bandwidth { downstream | total | upstream | } { guaranteed | maximum } { per-ip | per-user } bandwidth-value

缺省情況下，未配置每IP或每用戶的保證帶寬和最大帶寬。

(6)     配置每IP每月的流量使用上限值。

bandwidth total traffic-quota per-ip monthly quota-value

缺省情況下，未配置每IP每月的流量使用上限值，即不對流量進行限製。

(7)     開啟最大帶寬動態均分功能。

bandwidth average enable

缺省情況下，最大帶寬動態均分功能處於關閉狀態。

(8)     配置帶寬通道的TCP最大報文段長度。

tcp mss mss-value

缺省情況下，未配置帶寬通道的TCP最大報文段長度。

(9)     配置連接數限製參數。

¡     配置最大連接數。

connection-limit count { per-rule | per-ip | per-user } connection-number

缺省情況下，未配置最大連接數。

¡     配置最大新建連接速率。

connection-limit rate { per-rule | per-ip | per-user } connection-rate

缺省情況下，未配置最大新建連接速率。

(10)     配置優先級參數。

¡     配置流量優先級。

traffic-priority priority-value

缺省情況下，流量優先級為1。

¡     重標記報文的DSCP優先級。

remark dscp dscp-value

缺省情況下，不修改報文的DSCP優先級。

1.5.3  配置帶寬檢測參數

1. 功能簡介

開啟帶寬檢測功能後，設備可基於源IP地址對進入帶寬通道的流量進行實時的帶寬閾值（包括最大值和最小值）檢測。當帶寬超過配置的閾值時，設備將以快速日誌輸出的方式向用戶發送日誌進行告警。

設備支持配置如下類型的帶寬閾值：

·     靜態帶寬閾值：用戶手工配置的固定帶寬閾值，包括靜態帶寬閾值上限和靜態帶寬閾值下限。

·     動態帶寬閾值：設備自動學習到的帶寬閾值。在尚未了解網絡正常流量大小的情況下，用戶很難正確配置固定的帶寬閾值上下限。可通過使用動態帶寬閾值學習功能，讓設備對正常網絡環境下的流量進行統計，得出平均帶寬值，並將此平均帶寬值分別乘以最小和最大容忍度，分別得到動態帶寬閾值的上下限。用戶可到Web界麵中的“策略 > 帶寬管理 > 帶寬通道 > 帶寬閾值學習”查看學習結果。

當設備上配置了靜態帶寬閾值並開啟動態帶寬閾值學習功能時，設備將做出如下判斷：

·     如果已經通過動態閾值學習功能學習到了帶寬平均值，則將動態帶寬閾值上下限作為帶寬檢測閾值。

·     如果尚未通過動態閾值學習功能學習到帶寬平均值，則將配置的靜態帶寬閾值上下限作為帶寬檢測閾值。

2. 配置限製和指導

如果要開啟每IP帶寬檢測功能，需要保證引用本帶寬通道的帶寬策略規則中配置了作為帶寬策略規則過濾條件的IP地址或地址對象組，否則每IP帶寬檢測功能不生效，此時會有以下情況：

·     帶寬策略規則中配置了源IP地址或源IP地址對象組：設備根據源IP地址對流量進行檢測。

·     帶寬策略規則中配置了目的IP地址或目的IP地址對象組：設備根據目的IP地址對流量進行檢測。

·     帶寬策略規則中同時配置了源和目的IP地址（包含地址對象組）：設備根據源IP地址對流量進行檢測。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬通道視圖。

profile name profile-name

(4)     開啟每IP帶寬檢測功能。

per-ip bandwidth-threshold-detect enable

缺省情況下，每IP帶寬閾值檢測功能處於關閉狀態。

(5)     配置靜態每IP帶寬閾值。

¡     配置靜態每IP帶寬閾值上限值。

per-ip bandwidth-threshold max-value max-value

缺省情況下，未配置靜態每IP帶寬閾值上限值。

¡     配置靜態每IP帶寬閾值下限值。

per-ip bandwidth-threshold min-value min-value

缺省情況下，未配置靜態每IP帶寬閾值下限值。

(6)     配置動態每IP帶寬閾值。

a.     開啟每IP動態帶寬閾值學習功能。

per-ip bandwidth-threshold-learn enable

缺省情況下，每IP動態帶寬閾值學習功能處於關閉狀態。

b.     配置每IP動態帶寬閾值學習時長。

per-ip bandwidth-threshold-learn duration duration-value

缺省情況下，每IP動態帶寬閾值學習時長為1440分鍾。

建議學習時長設置大於1440分鍾（24小時），以確保設備學習到一整天的流量。如果在學習過程中修改了該值，係統將會以新的時長為準重新進行學習。

c.     配置每IP動態帶寬閾值學習最大容忍度。

per-ip bandwidth-threshold-learn tolearnce max-value max-value

缺省情況下，未配置每IP動態帶寬閾值學習最大容忍度。

d.     配置每IP動態帶寬閾值學習最小容忍度。

per-ip bandwidth-threshold-learn tolearnce min-value min-value

缺省情況下，未配置每IP動態帶寬閾值學習最小容忍度。

1.5.4  配置帶寬通道引用方式

1. 功能簡介

多個帶寬策略規則引用同一個帶寬通道的方式，包括如下兩種：

·     策略獨占：表示與帶寬策略規則匹配成功的流量，獨享帶寬通道中的帶寬限製和連接數限製。

·     策略共享：表示與多條帶寬策略規則匹配成功的多條流量，共享帶寬通道中的帶寬限製和連接數限製。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     並進入帶寬通道視圖。

profile name profile-name

(4)     配置帶寬通道的引用方式。

profile reference-mode { per-rule | rule-shared }

缺省情況下，帶寬通道的引用方式為策略獨占。

1.5.5  重命名帶寬通道

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     重命名帶寬通道。

profile rename old-name new-name

1.6  配置帶寬策略規則

1.6.1  創建帶寬策略規則

1. 功能簡介

一個帶寬策略中可以創建多個帶寬策略規則，這些規則可以獨立定義，也可以繼承其它規則。繼承其他帶寬策略規則是通過在創建帶寬策略規則時為其指定父帶寬策略規則實現的。在父帶寬策略規則和子帶寬策略規則中均可以引用帶寬通道。

2. 配置限製和指導

第四級帶寬策略規則不能再作為父帶寬策略規則。

隻能在創建帶寬策略規則時指定帶寬策略規則的父帶寬策略規則，不能為已存在的帶寬策略規則添加或修改父帶寬策略規則。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     （可選）開啟全數據流帶寬管理功能。

all-traffic-control enable

缺省情況下，全數據流帶寬管理功能處於關閉狀態，帶寬管理功能僅對四層及以上協議的數據流生效。

當網絡環境中存在大量IP數據流時建議開啟本功能，對IP層及上層數據流進行帶寬管理。

(4)     創建帶寬策略規則，並進入該帶寬策略規則視圖。

rule [ rule-id ] name rule-name [ parent parent-rule-name ]

1.6.2  配置帶寬策略規則過濾條件

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬策略規則視圖。請選擇其中一項進行配置。

¡     rule rule-id

¡     rule [ rule-id ] name rule-name [ parent parent-rule-name ]

(4)     配置作為帶寬策略規則過濾條件的安全域。

¡     配置作為帶寬策略規則過濾條件的目的安全域。

destination-zone destination-zone-name

¡     配置作為帶寬策略規則過濾條件的源安全域。

source-zone source-zone-name

缺省情況下，未配置作為帶寬策略規則過濾條件的安全域。

(5)     配置作為帶寬策略規則過濾條件的地址對象組。

¡     配置作為帶寬策略規則過濾條件目的IP地址。

destination-address address-set object-group-name

¡     配置作為帶寬策略規則過濾條件的源IP地址。

source-address address-set object-group-name

缺省情況下，未配置作為帶寬策略規則過濾條件的地址對象組。

(6)     配置作為帶寬策略規則過濾條件的服務。

service object-group-name

缺省情況下，未配置作為帶寬策略規則過濾條件的服務。

(7)     配置作為帶寬策略規則過濾條件的應用。

application { app application-name | app-group application-group-name }

缺省情況下，未配置作為帶寬策略規則過濾條件的應用。

(8)     配置作為帶寬策略規則過濾條件的用戶和用戶組。

¡     配置作為帶寬策略規則過濾條件的用戶。

user user-name [ domain domain-name ]

¡     配置作為帶寬策略規則過濾條件的用戶組。

user-group user-group-name [ domain domain-name ]

缺省情況下，未配置作為帶寬策略規則過濾條件的用戶和用戶組。

(9)     配置作為帶寬策略規則過濾條件的DSCP優先級。

dscp dscp-value

缺省情況下，未配置作為帶寬策略規則過濾條件的DSCP優先級。

(10)     配置作為帶寬策略規則過濾條件的IPv6報文信息。

¡     配置作為帶寬策略規則過濾條件的IPv6報文頭流標簽。

ipv6 flow-label { nonzero | zero }

缺省情況下，未配置作為帶寬策略規則過濾條件的IPv6報文頭流標簽。

¡     配置作為帶寬策略規則過濾條件的IPv6擴展報文頭。

ipv6 extension-header { authentication | destination | encapsulating | fragment | hop-by-hop | routing }

缺省情況下，未配置作為帶寬策略規則過濾條件的IPv6擴展報文頭。

本命令的支持情況與設備的型號有關，具體請參見命令參考。

本命令的支持情況與設備的型號有關，具體請參見命令參考。

(11)     配置作為帶寬策略規則過濾條件的終端和終端組。

¡     配置作為帶寬策略規則過濾條件的終端。

terminal terminal-name

¡     配置作為帶寬策略規則過濾條件的終端組。

terminal-group group-name

缺省情況下，未配置作為帶寬策略規則過濾條件的終端和終端組。

1.6.3  配置帶寬策略規則動作

1. 功能簡介

如果流量成功匹配了某個帶寬策略規則，則設備將會根據該帶寬策略規則中指定的動作對此流量進行控製和管理，即按照引用的帶寬通道對此流量進行限流。

2. 配置限製和指導

子規則引用的帶寬通道中的最大帶寬不能大於父規則引用的帶寬通道中的最大帶寬。

父規則引用的帶寬通道中的保證帶寬不能小於子規則引用的帶寬通道中的保證帶寬。

子規則與父規則不能引用同一個帶寬通道。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬策略規則視圖。請選擇其中一項進行配置。

¡     rule rule-id

¡     rule [ rule-id ] name rule-name [ parent parent-rule-name ]

(4)     配置帶寬策略規則中的動作。

action { deny | none | qos profile profile-name }

缺省情況下帶寬策略規則為限流，但未引用帶寬通道。

1.6.4  配置帶寬策略規則生效時間

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬策略規則視圖。請選擇其中一項進行配置。

¡     rule rule-id

¡     rule [ rule-id ] name rule-name [ parent parent-rule-name ]

(4)     配置帶寬策略規則的生效時間。

time-range time-range-name

缺省情況下，帶寬策略規則在任何時間下都生效。

1.7  管理和維護帶寬策略規則

1.7.1  複製帶寬策略規則

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     複製帶寬策略規則。

rule copy rule-name new-rule-name

1.7.2  重命名帶寬策略規則

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     重命名帶寬策略規則。

rule rename old-rule-name new-rule-name

1.7.3  移動帶寬策略規則

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     移動帶寬策略規則的排列順序。

rule move rule-name1 { after rule-name2 | before [ rule-name2 ] }

1.7.4  禁用帶寬策略規則

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     進入帶寬策略規則視圖。請選擇其中一項進行配置。

¡     rule rule-id

¡     rule [ rule-id ] name rule-name [ parent parent-rule-name ]

(4)     禁用帶寬策略規則。

disable

缺省情況下，帶寬策略規則處於開啟狀態。

1.8  開啟帶寬管理統計功能

1. 功能簡介

設備支持如下帶寬管理統計功能：

·     流量統計功能：帶寬管理業務將對匹配帶寬策略規則的流量進行統計。

·     連接數限製統計功能：帶寬管理業務將對匹配帶寬策略規則的連接數限製信息進行統計。

·     規則命中統計功能：帶寬管理業務將對帶寬策略規則的命中情況進行統計。

2. 配置限製和指導

開啟統計功能將對設備處理性能產生影響，建議僅在需要查看統計信息時開啟。

3. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入帶寬策略視圖。

traffic-policy

(3)     開啟帶寬管理統計功能。

¡     開啟帶寬管理流量統計功能。

statistics bandwidth enable

缺省情況下，帶寬管理流量統計功能處於關閉狀態。

¡     開啟帶寬管理連接數限製統計功能。

statistics connection-limit enable

缺省情況下，帶寬管理連接數限製統計功能處於關閉狀態。

¡     開啟帶寬管理規則命中統計功能。

statistics rule-hit enable

缺省情況下，帶寬管理規則命中統計功能處於關閉狀態。

1.9  帶寬管理顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後帶寬管理的運行情況，以及帶寬管理處理業務的統計信息。

表1-1 帶寬管理顯示和維護

操作	命令
顯示帶寬管理的流量統計信息	display traffic-policy statistics bandwidth { downstream | total | upstream } { per-ip { ipv4 [ ipv4-address ] | ipv6 [ ipv6-address ] } rule rule-name | per-rule [ name rule-name ] | per-user [ user user-name ] rule rule-name } [ slot slot-number ]
顯示帶寬管理的連接數限製統計信息	display traffic-policy statistics connection-limit { per-ip { ipv4 [ ipv4-address ] | ipv6 [ ipv6-address ] } rule rule-name | per-rule [ name rule-name ] | per-user [ user user-name ] rule rule-name } } [ slot slot-number ]
顯示帶寬策略規則的命中統計信息	display traffic-policy statistics rule-hit [ rule rule-name ] [ slot slot-number ]
清除帶寬管理的流量統計信息	reset traffic-policy statistics bandwidth { downstream | total | upstream } { per-ip { ipv4 [ ipv4-address ] | ipv6 [ ipv6-address ] } rule rule-name | per-rule [ name rule-name ] | per-user [ user user-name ] rule rule-name } [ slot slot-number ]
清除帶寬管理的連接數限製統計信息	reset traffic-policy statistics connection-limit { per-ip { ipv4 [ ipv4-address ] | ipv6 [ ipv6-address ] } rule rule-name | per-rule [ name rule-name ] | per-user [ user user-name ] rule rule-name } } [ slot slot-number ]
清除帶寬策略規則被命中次數的統計信息	reset traffic-policy statistics rule-hit [ rule rule-name ] [ slot slot-number ]

 

1.10  帶寬管理典型配置舉例

1.10.1  單通道模式帶寬管理配置舉例

1. 組網需求

內網主機通過Device與外網相連，通過在Device上配置帶寬管理功能，實現當內網流量的出口發生擁塞時優先保證FTP業務的需求。具體要求如下：

·     限製內網用戶，訪問外網愛奇藝（iQiYiPPS）應用流量的上行最大帶寬和下行最大帶寬均為30720kbps。

·     保證內網用戶，訪問外網FTP應用流量的上行保證帶寬和下行保證帶寬均為30720kbps。

·     限製外網出接口的最大帶寬為102400kbps。

2. 組網圖

圖1-2 單通道模式帶寬管理配置組網圖

‌

3. 配置步驟

(1)     配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息，配置靜態路由。本舉例假設設備Device到達外網服務器3.1.1.2/24的下一跳為20.1.1.2，實際使用中請以具體組網情況為準，具體配置步驟如下。

[Device] ip route-static 3.1.1.2 24 20.1.1.2

(3)     配置接口加入安全域。

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名稱為trust-untrust的安全策略規則，使內網主機可以訪問Internet。具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-1-trust-untrust] source-zone trust

[Device-security-policy-ip-1-trust-untrust] destination-zone untrust

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.2

[Device-security-policy-ip-1-trust-untrust] action pass

[Device-security-policy-ip-1-trust-untrust] quit

[Device-security-policy-ip] quit

(5)     配置帶寬通道

# 創建名為aiqiyi的帶寬通道，配置該帶寬通道的上/下行最大帶寬均為30720kbps。

[Device] traffic-policy

[Device-traffic-policy] profile name aiqiyi

[Device-traffic-policy-profile-aiqiyi] bandwidth upstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] bandwidth downstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] quit

# 創建名為profileftp的帶寬通道，配置該帶寬通道的上/下行保證帶寬均為30720kbps。

[Device-traffic-policy] profile name profileftp

[Device-traffic-policy-profile-profileftp] bandwidth upstream guaranteed 30720

[Device-traffic-policy-profile-profileftp] bandwidth downstream guaranteed 30720

[Device-traffic-policy-profile-profileftp] quit 

[Device-traffic-policy] quit

(6)     配置出接口的最大帶寬

# 配置接口GigabitEthernet1/0/2的期望帶寬為102400kbps。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] bandwidth 102400

[Device-GigabitEthernet1/0/2] quit

(7)     配置帶寬策略規則

# 創建名為aiqiyi的帶寬策略規則，在帶寬策略中引用預定義應用iQiYiPPS，配置帶寬策略的動作為限流並引用帶寬通道aiqiyi。

[Device] traffic-policy

[Device-traffic-policy] rule name aiqiyi

[Device-traffic-policy-rule-1-aiqiyi] application app iQiYiPPS

[Device-traffic-policy-rule-1-aiqiyi] action qos profile aiqiyi

[Device-traffic-policy-rule-1-aiqiyi] quit

# 創建名為ruleftp的帶寬策略規則，在帶寬策略中引用預定義應用ftp，配置帶寬策略規則動作為限流並引用帶寬通道profileftp。

[Device-traffic-policy] rule name ruleftp

[Device-traffic-policy-rule-2-ruleftp] application app ftp

[Device-traffic-policy-rule-2-ruleftp] action qos profile profileftp

[Device-traffic-policy-rule-2-ruleftp] quit

[Device-traffic-policy] quit

4. 驗證配置

配置完成後，當出接口GigabitEthernet1/0/2的流量達到102400kbps後，愛奇藝應用的流量最大隻能達到30720kbps，FTP應用的流量能夠保證最少達到30720kbps。

1.10.2  父子通道模式帶寬管理配置舉例

1. 組網需求

內網主機通過Device與外網相連，通過在Device上配置帶寬管理功能，實現當內網流量發生擁塞時優先保證FTP業務的需求。具體要求如下：

·     限製內網用戶，訪問外網愛奇藝（iQiYiPPS）應用流量的上行最大帶寬和下行最大帶寬均為30720kbps。

·     保證內網用戶，訪問外網FTP應用流量的上行保證帶寬和下行保證帶寬均為30720kbps。

·     限製內網用戶的最大帶寬為40960kbps。

2. 組網圖

圖1-3 父子通道模式帶寬管理配置組網圖

‌

3. 配置步驟

(1)     配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息，配置靜態路由。本舉例假設設備Device到達外網服務器3.1.1.2/24的下一跳為20.1.1.2，實際使用中請以具體組網情況為準，具體配置步驟如下。

[Device] ip route-static 3.1.1.2 24 20.1.1.2

(3)     配置接口加入安全域。

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略。

# 配置名稱為trust-untrust的安全策略規則，使內網Host訪問外網Internet的報文可通，具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-1-trust-untrust] source-zone trust

[Device-security-policy-ip-1-trust-untrust] destination-zone untrust

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.2

[Device-security-policy-ip-1-trust-untrust] action pass

[Device-security-policy-ip-1-trust-untrust] quit

[Device-security-policy-ip] quit

(5)     配置帶寬通道

# 創建名為profile的帶寬通道，配置該帶寬通道的上/下行最大帶寬為40960kbps。

[Device] traffic-policy

[Device-traffic-policy] profile name profile

[Device-traffic-policy-profile-profile] bandwidth upstream maximum 40960

[Device-traffic-policy-profile-profile] bandwidth downstream maximum 40960

[Device-traffic-policy-profile-profile] quit

# 創建名為aiqiyi的帶寬通道，配置該帶寬通道的上/下行最大帶寬為30720kbps。

[Device-traffic-policy] profile name aiqiyi

[Device-traffic-policy-profile-aiqiyi] bandwidth upstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] bandwidth downstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] quit

# 創建名為profileftp的帶寬通道，配置該帶寬通道的上/下行保證帶寬為30720kbps。

[Device-traffic-policy] profile name profileftp

[Device-traffic-policy-profile-profileftp] bandwidth upstream guaranteed 30720

[Device-traffic-policy-profile-profileftp] bandwidth downstream guaranteed 30720

[Device-traffic-policy-profile-profileftp] quit

(6)     配置帶寬策略

# 創建名為rule的帶寬策略規則，引用帶寬通道profile，配置帶寬策略規則的動作為限流。

[Device-traffic-policy] rule name rule

[Device-traffic-policy-rule-1-rule] action qos profile profile

[Device-traffic-policy-rule-1-rule] quit

# 創建名為aiqiyi的帶寬策略規則，指定該帶寬策略的父規則為rule，引用預定義應用iQiYiPPS，帶寬通道aiqiy，配置該帶寬策略的動作為限流。

[Device-traffic-policy] rule name aiqiyi parent rule

[Device-traffic-policy-rule-2-aiqiyi] application app iQiYiPPS

[Device-traffic-policy-rule-2-aiqiyi] action qos profile aiqiyi

[Device-traffic-policy-rule-2-aiqiyi] quit

# 創建名為ruleftp的帶寬策略規則，指定該帶寬策略的父規則為rule，引用預定義應用ftp，帶寬通道profileftp，配置該帶寬策略的動作為限流。

[Device-traffic-policy] rule name ruleftp parent rule

[Device-traffic-policy-rule-3-ruleftp] application app ftp

[Device-traffic-policy-rule-3-ruleftp] action qos profile profileftp

[Device-traffic-policy-rule-3-ruleftp] quit

[Device-traffic-policy] quit

4. 驗證配置

以上配置完成後，內網用戶的實際流量會限製在40960kbps，並且愛奇藝流量被限製在30720kbps；當網絡發生擁塞時，FTP業務基本不受影響。

1.10.3  基於用戶限速帶寬管理配置舉例

1. 組網需求

內網有兩個用戶組，分別為教師組teacher和學生組student。teacher組有教師2名，student組有學生5名。通過在Device上配置帶寬管理功能，實現基於用戶進行限速帶寬管理的功能。具體需求如下：

·     學生組student1～student5的IP地址依次為10.1.1.2/24～10.1.1.6/24；教師組teacher1～teacher2的IP地址依次為10.1.1.21/24～10.1.1.22/24。

·     每個教師綁定一個IP地址，上行和下行均限速10000kbps，每用戶的最大連接數不超過10000。教師使用的帶寬通道轉發優先級為較低。

·     每個學生綁定一個IP地址，上行和下行均限速2000kbps，每用戶的最大連接數不超過10000。學生使用的帶寬通道轉發優先級為最低。

2. 組網圖

圖1-4 基於用戶限速帶寬管理配置組網圖

‌

3. 配置步驟

(1)     配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 10.1.1.1 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息，配置靜態路由。本舉例假設設備Device到達外網服務器3.1.1.2/24的下一跳為20.1.1.2，實際使用中請以具體組網情況為準，具體配置步驟如下。

[Device] ip route-static 3.1.1.2 24 20.1.1.2

(3)     配置接口加入安全域。

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略。

# 配置名稱為trust-untrust的安全策略規則，使內網Host訪問外網Internet的報文可通，具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name trust-untrust

[Device-security-policy-ip-1-trust-untrust] source-zone trust

[Device-security-policy-ip-1-trust-untrust] destination-zone untrust

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.2

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.3

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.4

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.5

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.6

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.21

[Device-security-policy-ip-1-trust-untrust] source-ip-host 10.1.1.22

[Device-security-policy-ip-1-trust-untrust] action pass

[Device-security-policy-ip-1-trust-untrust] quit

[Device-security-policy-ip] quit

(5)     創建網絡類本地接入用戶

# 創建名為student1的本地接入用戶並設置密碼。

[Device] local-user student1 class network

[Device-luser-network-student1] password simple student

# 指定用戶student1可以使用的服務類型為IKE、Portal以及SSL VPN。

[Device-luser-network-student1] service-type ike

[Device-luser-network-student1] service-type portal

[Device-luser-network-student1] service-type sslvpn

[Device-luser-network-student1] quit

# 創建學生用戶student2～student5，密碼均為student；教師用戶teacher1、teacher2，密碼均為teacher。教師用戶和學生用戶可用服務均為IKE、Portal、SSL VPN。（具體配置步驟請參考上述學生用戶student1的配置步驟）

# 創建名為student的用戶組，並添加身份識別成員學生用戶student1～student5。

[Device] user-group student

[Device-ugroup-student] identity-member user student1

[Device-ugroup-student] identity-member user student2

[Device-ugroup-student] identity-member user student3

[Device-ugroup-student] identity-member user student4

[Device-ugroup-student] identity-member user student5

[Device-ugroup-student] quit

# 創建名為teacher的用戶組，並添加身份識別成員教師用戶teacher1和teacher2。

[Device] user-group teacher

[Device-ugroup-teacher] identity-member user teacher1

[Device-ugroup-teacher] identity-member user teacher2

[Device-ugroup-teacher] quit

# 創建靜態類型的身份識別用戶並開啟身份識別功能

[Device] user-identity static-user student1 bind ipv4 10.1.1.2

[Device] user-identity static-user student2 bind ipv4 10.1.1.3

[Device] user-identity static-user student3 bind ipv4 10.1.1.4

[Device] user-identity static-user student4 bind ipv4 10.1.1.5

[Device] user-identity static-user student5 bind ipv4 10.1.1.6

[Device] user-identity static-user teacher1 bind ipv4 10.1.1.21

[Device] user-identity static-user teacher2 bind ipv4 10.1.1.22

[Device] user-identity enable

(6)     配置帶寬通道

# 創建名為profile-teacher的帶寬通道，配置該帶寬通道上/下行最大帶寬均為10000kbps、每用戶的最大連接數為10000，轉發流量優先級為較低（2）。

[Device] traffic-policy

[Device-traffic-policy] profile name profile-teacher

[Device-traffic-policy-profile-profile-teacher] bandwidth upstream maximum per-user 10000

[Device-traffic-policy-profile-profile-teacher] bandwidth downstream maximum per-user 10000

[Device-traffic-policy-profile-profile-teacher] connection-limit count per-user 10000

[Device-traffic-policy-profile-profile-teacher] traffic-priority 2

[Device-traffic-policy-profile-profile-teacher] quit

# 創建名為profile-student的帶寬通道，配置該帶寬通道的上/下行最大帶寬均為2000kbps、每用戶的最大連接數為10000、轉發流量優先級為最低（1）。

[Device-traffic-policy] profile name profile-student

[Device-traffic-policy-profile-profile-student] bandwidth upstream maximum per-user 2000

[Device-traffic-policy-profile-profile-student] bandwidth downstream maximum per-user 2000

[Device-traffic-policy-profile-profile-student] connection-limit count per-user 10000

[Device-traffic-policy-profile-profile-student] traffic-priority 1

[Device-traffic-policy-profile-profile-student] quit

(7)     配置帶寬策略

# 創建名為rule-teacher的帶寬策略規則，指定該帶寬策略匹配報文的用戶組為teacher，引用帶寬通道profile-teacher，配置動作為限流。

[Device-traffic-policy] rule name rule-teacher

[Device-traffic-policy-rule-1-rule-teacher] user-group teacher

[Device-traffic-policy-rule-1-rule-teacher] action qos profile profile-teacher

[Device-traffic-policy-rule-1-rule-teacher] quit

# 創建名為rule-student的帶寬策略規則，指定該帶寬策略匹配報文的用戶組為student，引用帶寬通道profile-student，配置動作為限流。

[Device-traffic-policy] rule name rule-student

[Device-traffic-policy-rule-2-rule-student] user-group student

[Device-traffic-policy-rule-2-rule-student] action qos profile profile-student

[Device-traffic-policy-rule-2-rule-student] quit

[Device-traffic-policy] quit

4. 驗證配置

以上配置完成後，可以實現基於用戶進行限速的功能。兩位教師限速均為10000kbps，每位學生限速為2000kbps，且會話新建連接數都會受到限製。