第十章，防火墙带宽管理

概述

• 带宽保证 --- 企业网络中关键业务所需的基本带宽，当线路繁忙的时候，确保此类业务不受影响
• 带宽限制 --- 限制网络中的一些非关键性业务占据过多的带宽，避免资源消耗
• 连接数限制 --- 限制业务会话数量，有利于降低该业务占据的带宽

• 对企业总数据进行带宽管理
• 对每个IP/每个用户来实施带宽管理
• 多级策略方式，按部门实施带宽管理
• 动态分配

实现原理

• 带宽通道 --- 定义了被管理对象所能使用的带宽资源；该通道会被带宽策略引用
• 带宽策略 --- 定义了被管理的对象和动作
• 接口带宽 --- 分为接口入方向和接口出方向的实际带宽
  • 当发生拥塞时，队列调度机制
  • 
  • 流量匹配带宽策略，经过带宽策略的分流后，进入相应的带宽通道进行处理。

丢弃超过预定义最大带宽的流量

• 限制业务连接数
• 标记流量的优先级，作为后续队列调度的依据
  • 受入接口带宽限制，如果流量大于入接口，将依据带宽通道中设定的转发优先级来对流量进行队列调度，保证高优先级的报文优先发送
  • 流量最终会从出接口发送，并且收到出接口带宽限制，如果流量大于出接口，则按照转发优先级来调度。

带宽通道

• 整体的保证带宽和最大带宽
  • 处理方式：
    • 如果流量<保证带宽，则这部分流量直接发送
    • 如果流量>最大带宽，则这部分流量直接被丢弃
    • 如果流量<最大带宽，>保证带宽，则这部分流量会在出接口发送环节与其他带宽通道中的同类型流量自由竞争带宽资源。
      • 依靠优先级竞争，优先级高的占据剩余带宽资源。优先级低的被丢弃。
  • 在带宽通道中，最大带宽、保证带宽和连接数限制，均支持上下行设置。
• 设定每一个用户/IP的保证带宽和最大带宽
• 连接数限制
  • 一条会话连接 --- FW通过限制自身生成的会话数量，来实现连接数的限制。
  • 主要限制P2P业务。
• 优先级重标记 --- DSCP
  • DSCP --- 差分服务代码点 --- 一种指示网络流量优先级的字段
• IP头部中的服务类型字段1字节，只是使用了6bit，通过编码的形式来区分优先级。在TOS字段中8bit使用，只不过在早期只使用了前3bit，被划分为8个优先级，优先级数值越大优先度越高。

• 7 --- 保留
  6 --- 保留
  5 --- 语音数据
  4 --- 视频会议数据
  3 --- 呼叫信号
  2 --- 高优先级
  1 --- 中优先级
  0 --- 低优先级

• 策略独占
  • 带宽策略和带宽通道一一对应。
• 策略共享
  • 所有引用带宽通道的策略，都共同受到该带宽通道的约束。
  • 多个带宽策略对应一个带宽通道。

带宽复用

• 多条流量匹配到同一个策略，从而进入相同带宽通道，多条流量之间实现带宽复用。
• 多个带宽策略以策略共享的方式，引入相同的带宽通道，则匹配了多个带宽策略的流量可以实现带宽复用。
• 匹配了父子策略的多个子策略的多条流量可以实现带宽复用

流量转发优先级

• 流量监管 --- 某个连接的流量超过带宽上限，则报文直接被丢弃。
• 流量整形 --- 通过队列机制，将超出带宽上限的峰值流量和突发流量报文延迟传输。

带宽策略

多级策略

 

配置流程：

1 、带宽通道：整体带宽、每个用户带宽、连接数、优先级信息

2 、带宽策略

3 、策略 + 通道，引用

4 、配置接口出入带宽

 需求一

企业组织架构中存在部门 A ，部门 A 中存在销售组 1 和研发组 2

销售部门 ---> 业务 Email 、 ERP 服务

可以对部门 A 中的销售组进行带宽资源细分，保证销售员工的业务服务流量正常转发：

1 、部门 A 的下行最大带宽不超过 60M

2 、部门 A 中的销售组下行最大带宽不超过 30M

3 、部门 A 中的销售组的 Email 、 ERP 业务下行最小带宽不低于 20M

        

        

分析：需求之间存在父子关系

A 部门带宽通道 --- 最大 60M

        部门A 销售组带宽通道最大 30M

                部门A销售组 Email 业务带宽通道 --- 最小 20M

[FW]traffic-policy --- 进入带宽策略配置视图

[FW-policy-traffic]profile 01 --- 创建一个带宽通道，名称为 01

[FW-policy-traffic-profile-01]bandwidth maximum-bandwidth whole downstream 60 --

- 设定带宽，最大带宽，下行 60M

        

        

[FW]traffic-policy --- 进入带宽策略配置视图

[FW-policy-traffic]rule name 01 --- 策略名称

[FW-policy-traffic-rule-01]source-zone trust

[FW-policy-traffic-rule-01]destination-zone untrust

[FW-policy-traffic-rule-01]source-address 192.168.1.0 24

[FW-policy-traffic-rule-01]source-address 192.168.2.0 24

[FW-policy-traffic-rule-01]action qos profile 01 --- 动作为限流，且调用带宽通道

 需求二

        给部门A 和部门 B 划分可使用的带宽资源。要避免 P2P 业务占据较多的带宽，还需要限制部门 A 和部门 B 使用P2P业务的带宽总和。

        1、部门 A 下行最大带宽 60M

        2、部门 B 下行最大带宽 40M

        3、部门 A 和部门 B 的 P2P 业务下行最大带宽不超过 80M

        4、 P2P 流量需要计算到各自部门的总流量中

 需求三

        在不影响正常用户上网和web 服务器正常提供对外服务的情况下，实现以下功能

1 、将从 ISP 购买的 100M 带宽进行划分

        上网高峰期（工作日下午3 点 -6 点），上网用户下行带宽 60M(U-T) ，外用用户下行带宽 40M(D-U)

2 、 2 台 Web 服务器，限制每一台 Web 服务器对外提供的最大下行带宽不超过 20M

3 、假设，总共 30 个上网用户，在上网高峰期，限制每个用户访问 Internet 的最大下行带宽不超过 2M

        部门A 的上网用户数量不固定，为了让用户公平的使用带宽，根据实际在线上网用户数量，平均分配带宽

1 、部门 A 的下行最大带宽 60M

2 、根据实时的上网用户数量，对部门 A 的 60M 带宽资源进行均分

平均分配系数 --- 与带宽使用率存在反比关系

0         ＜ 70%

1          70-75

2          75-80

3

4

电信购买带宽 100M

联通购买带宽 50M

 需求六-配额策略

        运营商---> 流量套餐 ---> 对中小企业 500G/ 月，超出部分，额外计费， 1G/100 元。

        限额---> 每一个员工规定上网时长

1 、员工 40 人， 10 名管理人员 +30 名牛马

        高管-->20G/ 月

        牛马-->10G/ 月

2 、牛马 --->4h/ 日，流量 500M/ 日

3 、超额后限制

        牛马---> 禁止上网

        高管---> 超过配额后最大带宽限定为 800K

 

[FW]quota-policy --- 进入配额策略视图

[FW-policy-quota]profile niuma --- 创建配额通道

[FW-policy-quota-profile-niuma]stream-daily 500 --- 每日流量配额

[FW-policy-quota-profile-niuma]stream-monthly 10240 -- 每月流量配额

[FW-policy-quota-profile-niuma]time-daily 240 --- 设定上网时长

[FW-policy-quota-profile-niuma]limit-bandwidth 0 --- 超出配额后的限制带宽为 0

        

        

[FW-policy-quota]rule name niuma

[FW-policy-quota-rule-niuma]user user-group /default/niuma --- 策略应用用户

[FW-policy-quota-rule-niuma]action quota profile niuma