目  录

1 带宽管理

1.1 带宽管理简介

1.1.1 带宽管理支持的流量类型

1.1.2 带宽管理应用场景

1.1.3 带宽管理实现流程

1.1.4 带宽策略规则

1.1.5 带宽通道

1.2 带宽管理配置限制和指导

1.3 带宽管理配置准备

1.4 带宽管理配置任务简介

1.5 配置带宽通道

1.5.1 创建带宽通道

1.5.2 配置带宽通道参数

1.5.3 配置带宽通道引用方式

1.5.4 重命名带宽通道

1.6 配置带宽策略规则

1.6.1 创建带宽策略规则

1.6.2 配置带宽策略规则过滤条件

1.6.3 配置带宽策略规则动作

1.6.4 配置带宽策略规则生效时间

1.7 管理和维护带宽策略规则

1.7.1 复制带宽策略规则

1.7.2 重命名带宽策略规则

1.7.3 移动带宽策略规则

1.7.4 禁用带宽策略规则

1.8 带宽管理显示和维护

1.9 带宽管理典型配置举例

1.9.1 单通道模式带宽管理配置举例

1.9.2 父子通道模式带宽管理配置举例

1 带宽管理

设备各款型使用的命令行形式有所不同，详细差异信息如下：

设备各款型对于本节功能的支持情况有所不同，详细差异信息如下：

1.1  带宽管理简介

带宽管理是指对通过设备的流量实现基于源/目的安全域、源/目的IP地址、服务、用户/用户组、应用、DSCP优先级和时间段等，进行精细化的管理和控制。

1.1.1  带宽管理支持的流量类型

目前，带宽管理功能仅支持对基于TCP（Transmission Control Protocol，传输控制协议）、UDP（User Data Protocol，用户数据报文协议）和ICMP（Internet Control Message Protocol，互联网控制消息协议）协议的信息进行带宽管理。

1.1.2  带宽管理应用场景

带宽管理的应用场景如下：

·     企业内网用户所需的带宽远大于从运营商租用的出口带宽，这时网络出口就会存在带宽瓶颈的问题。

·     网络出口中P2P业务类型的数据流量消耗了绝大部分的带宽资源，致使企业的关键业务得不到带宽保证。

为了解决以上问题，可以在网络出口设备上部署带宽管理，针对不同的内网业务流量应用不同的带宽策略规则，实现合理分配出口带宽和保证关键业务正常运行的目的。

1.1.3  带宽管理实现流程

带宽策略可以对符合匹配条件的流量应用带宽通道，在带宽通道中可以配置带宽保证和带宽限制功能，进而提高带宽利用率以及在线路拥堵时保证关键业务的正常运行。

图1-1 带宽管理实现流程图

带宽管理实现流程如下：

(1)     将报文的属性信息与带宽策略规则中的过滤条件进行匹配。每种过滤条件的多个匹配项之间是或的关系，即报文与某一个过滤条件中的任意一项匹配成功，则报文与此条过滤条件匹配成功；若报文与某一个过滤条件中的所有项都匹配失败，则报文与此条过滤条件匹配失败。

(2)     若报文与某条带宽策略规则中的所有过滤条件都匹配成功（用户与用户组匹配一项即可），则报文与此条带宽策略规则匹配成功。若有一个过滤条件不匹配，则报文与此条带宽策略规则匹配失败，报文继续匹配下一条带宽策略规则。以此类推，直到最后一条带宽策略规则，若报文还未与规则匹配成功，则不对报文进行带宽管理。

(3)     报文与某条带宽策略规则匹配成功后便结束此匹配过程，如果此规则的动作中引用了带宽通道，则流量继续进入相应的带宽通道进行后续的处理，否则设备不对该流量进行带宽管理。

(4)     流量进入带宽通道后，设备会根据此带宽通道中配置的带宽限制策略对流量进行相应的处理。

(5)     如果出接口出方向上应用了QoS业务，则对流量先进行带宽策略处理，再进行QoS业务处理。

(6)     流量从出接口发送时受该接口带宽的限制。

1.1.4  带宽策略规则

带宽策略中可以配置多个带宽策略规则，这些规则用于定义匹配流量的过滤条件以及流量控制的动作。带宽策略规则支持四级嵌套关系，即一个规则中可以指定一个父规则，最多支持嵌套四级。

1. 带宽策略规则过滤条件

每条带宽策略规则中可以配置多种过滤条件，具体包括：源/目的安全域、源/目的IP地址、服务、用户/用户组、应用和DSCP优先级。每种过滤条件中均可以配置多个匹配项，比如源安全域过滤条件中可以指定多个源安全域等。

2. 带宽策略规则动作

在带宽策略规则动作中引用带宽通道后，设备将根据此带宽通道对此流量进行限流。

3. 嵌套规则匹配原则

流量与存在父规则的带宽策略规则进行匹配时，遵守如下原则：

·     首先匹配父规则，如果父规则匹配上了再匹配子规则。如果父规则没有匹配上，也不会进行后续的子规则匹配，该匹配过程失败。

·     如果子规则匹配上了，就执行子规则中指定的动作；如果子规则没有匹配上但父规则匹配上了就执行父规则中指定的动作。

1.1.5  带宽通道

带宽通道定义了具体的带宽资源，是进行带宽管理的基础。通过带宽通道，可以将物理的带宽资源从逻辑上划分为多个虚拟的带宽通道，每个带宽通道中都可自定义相应的带宽资源限制参数和流量优先级参数。目前，带宽通道中支持的带宽资源限制参数和流量优先级参数包括以下如下几种：

1. 带宽通道限流方式

带宽通道中对流量的限制方式，包括如下两种：

·     分别设置上下行带宽：对带宽通道中的上下行流量分别限制。

·     设置总带宽：对带宽通道中的上下行流量整体限制。

2. 每规则带宽限制

每规则的保证带宽：是指保证业务的最小带宽，在线路拥堵时，可以保证公司关键业务所需的带宽，确保此类业务不受影响。

每规则的最大带宽：是指限制业务的最大带宽，比如限制网络中非关键业务占用的带宽资源，避免该类业务消耗大量的带宽，影响其他关键业务的正常运行。

3. 每IP或每用户带宽限制

每IP或每用户的保证带宽：设备除了支持配置每规则的保证带宽之外，还支持基于IP地址和用户的保证带宽，实现更加精细化的带宽管理。

每IP或每用户的最大带宽：设备除了支持配置每规则的最大带宽之外，还支持基于IP地址和用户的最大带宽，实现更加精细化的带宽管理。

4. 连接数限制

每规则、每IP或每用户的最大连接数和最大新建连接速率限制：通常在出现以下两类网络问题的组网环境中需要在设备上配置最大连接数和最大新建连接速率限制：某内网用户在短时间内经过设备向外部网络发起大量连接，导致设备系统资源迅速消耗，其它内网用户无法正常使用网络资源；某内部服务器在短时间内接收到大量的连接请求，导致该服务器忙于处理这些连接请求，以至于不能再接受其它客户端的正常连接请求。

5. 流量优先级限制

流量优先级：当多个带宽通道中的流量同时从某个接口发送时，如果此接口发生阻塞，则优先级高的流量优先被发送。优先级相同的流量将会自由竞争出接口的带宽资源。

重标记报文的DSCP优先级：是指修改报文中DSCP（Differentiated Services Code Point）字段的值，DSCP优先级是网络设备进行流量分类的依据。位于报文传输路径上的各个网络设备，能够通过DSCP优先级来区分流量，因此可以便于上下行设备依据修改后的DSCP优先级对流量采取差异化处理。

1.2  带宽管理配置限制和指导

配置带宽管理策略时，请按照“深度优先”的原则（即控制范围小的、条件细化的在前，范围大的在后）进行配置。

1.3  带宽管理配置准备

在配置带宽管理策略之前，需完成以下任务：

·     配置时间段（请参见“ACL和QoS配置指导”中的“时间段”）。

·     配置IP地址对象组和服务对象组（请参见“安全配置指导”中的“对象组”）。

·     配置应用（请参见“安全配置指导”中的“APR”）。

·     配置安全域（请参见“基础配置指导”中的“安全域”）。

1.4  带宽管理配置任务简介

表1-1 带宽管理配置任务简介

1.5  配置带宽通道

1.5.1  创建带宽通道

表1-2 创建带宽通道

1.5.2  配置带宽通道参数

1. 功能简介

带宽通道定义了实施带宽管理的对象所能够使用的带宽资源，带宽通道将被带宽策略规则引用后生效。

2. 配置限制和指导

每IP最大带宽、每用户最大带宽与最大带宽动态均分功能三种控制方式不能同时存在，会相互替换，最后一次配置的控制方式生效。

每IP最保证带宽与每用户保证带宽两种控制方式不能同时存在，会相互替换，最后一次配置的控制方式生效。

3. 配置准备

只有配置了每规则的最大带宽后，才能开启最大带宽的动态均分功能。

4. 配置步骤

表1-3 配置带宽通道参数

1.5.3  配置带宽通道引用方式

1. 功能简介

多个带宽策略规则引用同一个带宽通道的方式，包括如下两种：

·     策略独占：表示与带宽策略规则匹配成功的流量，独享带宽通道中的带宽限制和连接数限制。

·     策略共享：表示与多条带宽策略规则匹配成功的多条流量，共享带宽通道中的带宽限制和连接数限制。

2. 配置步骤

表1-4 配置带宽通道引用方式

1.5.4  重命名带宽通道

表1-5 重命名带宽通道

1.6  配置带宽策略规则

1.6.1  创建带宽策略规则

1. 功能简介

当创建带宽策略规则时，如果需要继承其他带宽策略规则中的过滤条件属性，则可以在创建带宽策略规则时为其指定父带宽策略规则。在父带宽策略规则和子带宽策略规则中均可以引用带宽通道。

2. 配置限制和指导

第四级带宽策略规则不能再作为父带宽策略规则。

只能在创建带宽策略规则时指定带宽策略规则的父带宽策略规则，不能为已存在的带宽策略规则添加或修改父带宽策略规则。

3. 配置步骤

表1-6 创建带宽策略规则

1.6.2  配置带宽策略规则过滤条件

表1-7 配置带宽策略规则过滤条件

1.6.3  配置带宽策略规则动作

1. 功能简介

如果流量成功匹配了某个带宽策略规则，则设备将会根据该带宽策略规则中指定的动作对此流量进行控制和管理，即按照引用的带宽通道对此流量进行限流。

2. 配置限制和指导

·     子规则引用的带宽通道中的最大带宽不能大于父规则引用的带宽通道中的最大带宽。

·     父规则引用的带宽通道中的保证带宽不能小于子规则引用的带宽通道中的保证带宽。

·     子规则与父规则不能引用同一个带宽通道。

3. 配置步骤

表1-8 配置带宽策略规则动作

1.6.4  配置带宽策略规则生效时间

表1-9 配置带宽策略规则生效时间

1.7  管理和维护带宽策略规则

1.7.1  复制带宽策略规则

表1-10 复制带宽策略规则

1.7.2  重命名带宽策略规则

表1-11 重命名带宽策略规则

1.7.3  移动带宽策略规则

表1-12 移动带宽策略规则

1.7.4  禁用带宽策略规则

表1-13 禁用带宽策略规则

1.8  带宽管理显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后带宽管理的运行情况，以及带宽管理处理业务的统计信息。

表1-14 应用层检测引擎显示和维护

1.9  带宽管理典型配置举例

1.9.1  单通道模式带宽管理配置举例

1. 组网需求

内网主机通过Device与外网相连，通过在Device上配置带宽管理功能，实现当内网流量的出口发生拥塞时优先保证FTP业务的需求。具体要求如下：

·     限制内网用户，访问外网爱奇艺（iQiYiPPS）应用流量的上行最大带宽和下行最大带宽均为30720kbps。

·     保证内网用户，访问外网FTP应用流量的上行保证带宽和下行保证带宽均为30720kbps。

·     限制外网出接口的最大带宽为102400kbps。

2. 组网图

图1-2 单通道模式带宽管理配置组网图

3. 配置步骤

(1)     配置接口IP地址、路由、安全域及域间安全策略保证网络可达，具体配置步骤略

(2)     配置带宽通道

# 创建名为aiqiyi的带宽通道，并进入该带宽通道视图。

<Device> system-view

[Device] traffic-policy

[Device-traffic-policy] profile name aiqiyi

# 配置上/下行最大带宽均为30720kbps。

[Device-traffic-policy-profile-aiqiyi] bandwidth upstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] bandwidth downstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] quit

# 创建名为profileFTP的带宽通道，并进入该带宽通道视图。

[Device-traffic-policy] profile name profileFTP

# 配置上/下行保证带宽均为30720kbps。

[Device-traffic-policy-profile-profileFTP] bandwidth upstream guaranteed 30720

[Device-traffic-policy-profile-profileFTP] bandwidth downstream guaranteed 30720

[Device-traffic-policy-profile-profileFTP] quit 

[Device-traffic-policy] quit

(3)     配置出接口的最大带宽

# 配置接口GigabitEthernet1/0/2的期望带宽为102400kbps。

[Device] interface gigabitethernet 1/0/2

[Device-GigabitEthernet1/0/2] bandwidth 102400

[Device-GigabitEthernet1/0/2] quit

(4)     配置带宽策略规则

# 进入带宽策略视图。

[Device] traffic-policy

# 创建名为aiqiyi的带宽策略规则，并进入该带宽策略规则视图。

[Device-traffic-policy] rule name aiqiyi

# 在带宽策略规则aiqiyi中引用预定义应用iQiYiPPS。

[Device-traffic-policy-rule-aiqiyi] application app iQiYiPPS

# 配置带宽策略规则aiqiyi中的动作为限流并应用带宽通道aiqiyi。

[Device-traffic-policy-rule-aiqiyi] action qos profile aiqiyi

[Device-traffic-policy-rule-aiqiyi] quit

# 创建名为ruleFTP的带宽策略规则，并进入该带宽策略规则视图。

[Device-traffic-policy] rule name ruleFTP

# 配置带宽策略规则ruleFTP中引用预定义的应用ftp。

[Device-traffic-policy-rule-ruleFTP] application app ftp

# 配置带宽策略规则ruleFTP中的动作为限流并应用带宽通道profileFTP。

[Device-traffic-policy-rule-ruleFTP] action qos profile profileFTP

[Device-traffic-policy-rule-ruleFTP] quit

[Device-traffic-policy] quit

4. 验证配置

配置完成后，当出接口GigabitEthernet1/0/2的流量达到102400kbps后，爱奇艺应用的流量最大只能达到30720kbps，FTP应用的流量能够保证最少达到30720kbps。

1.9.2  父子通道模式带宽管理配置举例

1. 组网需求

内网主机通过Device与外网相连，通过在Device上配置带宽管理功能，实现当内网流量发生拥塞时优先保证FTP业务的需求。具体要求如下：

·     限制内网用户，访问外网爱奇艺（iQiYiPPS）应用流量的上行最大带宽和下行最大带宽均为30720kbps。

·     保证内网用户，访问外网FTP应用流量的上行保证带宽和下行保证带宽均为30720kbps。

·     限制内网用户的最大带宽为40960kbps。

2. 组网图

图1-3 父子通道模式带宽管理配置组网图

3. 配置步骤

(1)     配置接口IP地址、路由、安全域及域间安全策略保证网络可达，具体配置步骤略

(2)     配置带宽通道

# 创建名为profile的带宽通道，并进入该带宽通道视图。

<Device> system-view

[Device] traffic-policy

[Device-traffic-policy] profile name profile

# 配置上/下行最大带宽均为40960kbps。

[Device-traffic-policy-profile-profile] bandwidth upstream maximum 40960

[Device-traffic-policy-profile-profile] bandwidth downstream maximum 40960

[Device-traffic-policy-profile-profile] quit

# 创建名为aiqiyi的带宽通道，并进入该带宽通道视图。

[Device-traffic-policy] profile name aiqiyi

# 配置上/下行最大带宽均为30720kbps。

[Device-traffic-policy-profile-aiqiyi] bandwidth upstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] bandwidth downstream maximum 30720

[Device-traffic-policy-profile-aiqiyi] quit

# 创建名为profileFTP的带宽通道，并进入该带宽通道视图。

[Device-traffic-policy] profile name profileFTP

# 配置上/下行保证带宽均为30720kbps。

[Device-traffic-policy-profile-profileFTP] bandwidth upstream guaranteed 30720

[Device-traffic-policy-profile-profileFTP] bandwidth downstream guaranteed 30720

[Device-traffic-policy-profile-profileFTP] quit

(3)     配置带宽策略

# 创建名为rule的带宽策略规则，并进入该带宽策略规则视图。

[Device-traffic-policy] rule name rule

# 配置带宽策略规则rule中的动作为限流并应用带宽通道profile。

[Device-traffic-policy-rule-rule] action qos profile profile

[Device-traffic-policy-rule-rule] quit

# 创建名为aiqiyi的带宽策略规则，并进入该带宽策略规则视图，指定带宽策略规则的父规则为rule。

[Device-traffic-policy] rule name aiqiyi parent rule

# 在带宽策略规则aiqiyi中引用预定义应用iQiYiPPS。

[Device-traffic-policy-rule-aiqiyi] application app iQiYiPPS

# 配置带宽策略规则aiqiyi中的动作为限流并应用带宽通道aiqiyi。

[Device-traffic-policy-rule-aiqiyi] action qos profile aiqiyi

[Device-traffic-policy-rule-aiqiyi] quit

# 创建名为ruleFTP的带宽策略规则，并进入该带宽策略规则视图，指定带宽策略规则的父规则为rule。

[Device-traffic-policy] rule name ruleFTP parent rule

# 配置带宽策略规则ruleFTP中引用预定义的应用ftp。

[Device-traffic-policy-rule-ruleFTP] application app ftp

# 配置带宽策略规则ruleFTP中的动作为限流并应用带宽通道profileFTP。

[Device-traffic-policy-rule-ruleFTP] action qos profile profileFTP

[Device-traffic-policy-rule-ruleFTP] quit

[Device-traffic-policy] quit

4. 验证配置

以上配置完成后，内网用户的实际流量会限制在40960kbps，并且爱奇艺流量被限制在30720kbps；当网络发生拥塞时，FTP业务基本不受影响。