目  录

第1章 QoS典型配置指导

1.1 流量监管和端口限速典型配置指导

1.1.1 组网图

1.1.2 应用要求

1.1.3 适用产品、版本

1.1.4 配置过程和解释

1.1.5 完整配置

1.1.6 配置注意事项

1.2 优先级重标记和队列调度配置指导

1.2.1 组网图

1.2.2 应用要求

1.2.3 适用产品、版本

1.2.4 配置过程和解释

1.2.5 完整配置

1.2.6 配置注意事项

1.3 重定向和流量统计典型配置指导

1.3.1 组网图

1.3.2 应用要求

1.3.3 适用产品、版本

1.3.4 配置过程和解释

1.3.5 完整配置

1.3.6 配置注意事项

第2章 QoS Profile典型配置指导

2.1 QoS Profile典型配置指导

2.1.1 组网图

2.1.2 应用要求

2.1.3 适用产品、版本

2.1.4 配置过程和解释

2.1.5 完整配置

2.1.6 配置注意事项

第1章  QoS典型配置指导

1.1  流量监管和端口限速典型配置指导

1.1.1  组网图

图1-1 流量监管和端口限速配置组网图

1.1.2  应用要求

某公司内部通过交换机（以S3600系列以太网交换机为例）实现各部门之间的互连，其中PC 1属于研发部门，IP地址为192.168.0.1，通过端口Ethernet 1/0/1接入交换机；市场部门通过端口Ethernet 1/0/2接入交换机。

要求配置流量监管和端口限速，实现如下目的：

l              限制市场部门和研发部门向外发送的所有报文的速率为16000Kbps，丢弃超出限制的报文；

l              限制端口Ethernet 1/0/1接收研发部门中PC 1向外发送IP报文的速率为8000Kbps，丢弃超出限制的报文。

1.1.3  适用产品、版本

表1-1 配置适用的产品与软硬件版本关系

1.1.4  配置过程和解释

(1)        定义流分类规则

# 创建并进入基本ACL 2000视图。

<Sysname> system-view

[Sysname] acl number 2000

# 定义分类规则，对源IP地址为192.168.0.1的报文进行分类。

[Sysname-acl-basic-2000] rule permit source 192.168.0.1 0

[Sysname-acl-basic-2000] quit

(2)        配置流量监管和端口限速

# 限制市场部门和研发部门向外发送的所有报文的速率为16000Kbps，丢弃超出限制的报文。

[Sysname] interface Ethernet 1/0/3

[Sysname-Ethernet1/0/3] line-rate outbound 16000

# 限制研发部门中PC 1向外发送报文的速率为8000Kbps，丢弃超出限制的报文。

[Sysname] interface Ethernet 1/0/1

[Sysname-Ethernet1/0/1] traffic-limit inbound ip-group 2000 8000 exceed drop

1.1.5  完整配置

#

acl number 2000

 rule 0 permit source 192.168.0.1 0

#

interface Ethernet1/0/1

 traffic-limit inbound ip-group 2000 rule 0 8000 exceed drop

#

interface Ethernet1/0/3

 line-rate outbound 16000

#

1.1.6  配置注意事项

需要注意的是：

l              配置流分类规则时，ACL规则中定义的动作必须为permit。

l              如果报文同时匹配了多个流量监管中配置的ACL规则，则后下发的流量监管生效。

l              流量监管和端口限速的速率限制的粒度为64Kbps，如果用户输入的值在N*64～(N+1)*64之间（N为自然数），交换机将自动修改此值为(N+1)*64 Kbps。

l              配置流量监管和端口限速时，限速值指的是净载荷，不包括前导码和帧间隙。

l              流量监管功能对符合流量限制的报文执行的动作为permit，如果此类报文同时匹配了包含deny动作的其他ACL规则，就会发生动作冲突，此时设备会根据后下发的规则中定义的动作对报文进行处理。

1.2  优先级重标记和队列调度配置指导

1.2.1  组网图

图1-2 优先级重标记和队列调度配置组网图

1.2.2  应用要求

某公司内部通过以交换机（以S3600系列以太网交换机为例）实现各部门之间的互连，其中PC 1、PC 2和PC 3为客户端，PC 1和PC 2通过端口Ethernet 1/0/1接入交换机；PC 3通过端口Ethernet 1/0/3接入交换机。Server 1、Server 2和Server 3分别为公司内部的数据库服务器、邮件服务器和文件服务器，通过端口Ethernet 1/0/2接入交换机。

要求配置优先级重标记和队列调度，实现如下目的：

l              在端口Ethernet 1/0/1上配置优先级重标记，实现交换机优先处理PC 1和PC 2发出的访问数据库服务器的报文，其次处理访问邮件服务器的报文，最后处理访问文件服务器的报文；

l              在端口Ethernet 1/0/3上配置优先级信任模式为信任端口的优先级，并且将端口Ethernet 1/0/3的优先级设置为5，实现PC 1、PC 2和PC 3同时访问服务器时，交换机优先处理PC 3发出的报文。

1.2.3  适用产品、版本

表1-2 配置适用的产品与软硬件版本关系

1.2.4  配置过程和解释

(1)        定义流分类规则

# 创建并进入高级ACL 3000视图。

<Sysname> system-view

[Sysname] acl number 3000

# 定义分类规则，根据不同的目的IP地址对报文进行分类。

[Sysname-acl-adv-3000] rule 0 permit ip destination 192.168.0.1 0

[Sysname-acl-adv-3000] rule 1 permit ip destination 192.168.0.2 0

[Sysname-acl-adv-3000] rule 2 permit ip destination 192.168.0.3 0

[Sysname-acl-adv-3000] quit

(2)        配置优先级重标记

# 在端口Ethernet 1/0/1上对匹配ACL 3000内规则的报文进行优先级重标记。

[Sysname] interface Ethernet 1/0/1

[Sysname-Ethernet1/0/1] traffic-priority inbound ip-group 3000 rule 0 local-precedence 4

[Sysname-Ethernet1/0/1] traffic-priority inbound ip-group 3000 rule 1 local-precedence 3

[Sysname-Ethernet1/0/1] traffic-priority inbound ip-group 3000 rule 2 local-precedence 2

[Sysname-Ethernet1/0/1] quit

(3)        配置优先级信任模式

# 配置端口Ethernet 1/0/3的优先级信任模式为信任端口的优先级（缺省情况下即为信任端口的优先级，用户无需配置），并且设置端口的优先级为5。

[Sysname] interface Ethernet 1/0/3

[Sysname-Ethernet1/0/3] priority 5

[Sysname-Ethernet1/0/3] quit

(4)        配置优先级映射关系

# 配置CoS优先级到本地优先级的映射关系为0->0、1->1、2->2、3->3、4->4、5->5、6->6、7->7。

[Sysname] qos cos-local-precedence-map 0 1 2 3 4 5 6 7

(5)        配置队列调度

# 配置交换机使用SP队列调度算法。

[Sysname] queue-scheduler strict-priority

1.2.5  完整配置

#

 qos cos-local-precedence-map 0 1 2 3 4 5 6 7

#

 queue-scheduler strict-priority

#

acl number 3000

 rule 0 permit IP destination 192.168.0.1 0

 rule 1 permit IP destination 192.168.0.2 0

 rule 2 permit IP destination 192.168.0.3 0

#

interface Ethernet1/0/1

 traffic-priority inbound ip-group 3000 rule 0 local-precedence 4

 traffic-priority inbound ip-group 3000 rule 1 local-precedence 3

 traffic-priority inbound ip-group 3000 rule 2 local-precedence 2

#

interface Ethernet1/0/3

 priority 5

#

1.2.6  配置注意事项

由于各产品QoS功能的差异，因此在进行上述配置时请根据具体使用的产品系列关注如下事项：

表1-3 配置注意事项

1. 关于优先级重标记

表1-4 低端系列交换机支持重标记情况（通过traffic-priority命令实现）

表1-5 低端系列交换机支持重标记情况（通过流量监管实现）

2. 关于队列

表1-6 低端系列交换机端口支持的队列情况

表1-7 低端系列交换机采用的各类队列调度算法分析

1.3  重定向和流量统计典型配置指导

1.3.1  组网图

图1-3 重定向和流量统计配置组网图

1.3.2  应用要求

某公司内部通过交换机（以S3600系列以太网交换机为例）实现各部门之间的互连，具体情况如下：

l              PC 1和PC 2通过端口Ethernet1/0/1接入交换机，PC 1的IP地址为192.168.0.1；

l              数据监测设备通过端口Ethernet1/0/2接入交换机。

要求配置重定向和流量统计功能，实现如下目的：

l              在工作日的8:30到18:00时间段内，将PC 1通过HTTP方式访问Internet的报文重定向到数据监测设备，以便网络管理员对报文进行分析；

l              在非工作时间段内，统计PC 1通过HTTP方式访问Internet的流量。

1.3.3  适用产品、版本

表1-8 配置适用的产品与软硬件版本关系

1.3.4  配置过程和解释

(1)        定义工作日时间段

# 创建工作日时间段tr1，时间段范围为工作日的8:30到18:00。

<Sysname> system-view

[Sysname] time-range tr1 08:30 to 18:00 working-day

# 创建非工作时间段tr2。

[Sysname] time-range tr2 00:00 to 8:30 working-day

[Sysname] time-range tr2 18:00 to 24:00 working-day

[Sysname] time-range tr2 00:00 to 24:00 off-day

(2)        定义流分类规则

# 创建并进入高级ACL 3000视图。

<Sysname> system-view

[Sysname] acl number 3000

# 定义分类规则，根据不同的时间段对PC1通过HTTP方式访问Internet的报文进行分类。

[Sysname-acl-adv-3000] rule 0 permit tcp source 192.168.0.1 0 destination-port eq 80 time-range tr1

[Sysname-acl-adv-3000] rule 1 permit tcp source 192.168.0.1 0 destination-port eq 80 time-range tr2

[Sysname-acl-adv-3000] quit

(3)        配置重定向

# 在端口Ethernet1/0/1上配置重定向，将端口接收到的（inbound方向）匹配分类规则的报文重定向到端口Ethernet1/0/2。

[Sysname] interface Ethernet 1/0/1

[Sysname-Ethernet1/0/1] traffic-redirect inbound ip-group 3000 rule 0 interface Ethernet 1/0/2

(4)        配置流量统计

# 在端口Ethernet1/0/1上配置流量统计，对匹配分类规则的报文进行统计。

[Sysname-Ethernet1/0/1] traffic-statistic  inbound ip-group 3000 rule 1

1.3.5  完整配置

#

acl number 3000

 rule 0 permit TCP source 192.168.0.1 0 destination-port eq www time-range tr1

 rule 1 permit TCP source 192.168.0.1 0 destination-port eq www time-range tr2

#

interface Ethernet1/0/1

 traffic-redirect inbound ip-group 3000 rule 0 interface Ethernet1/0/2

 traffic-statistic inbound ip-group 3000 rule 1

#

 time-range tr2 00:00 to 08:30 working-day

 time-range tr2 18:00 to 24:00 working-day

 time-range tr2 00:00 to 24:00 off-day

 time-range tr1 08:30 to 18:00 working-day

#

1.3.6  配置注意事项

需要注意的是：

l              配置流分类规则时，ACL规则中定义的动作必须为permit。

l              配置重定向之后，目的端口接收到的报文是经过交换机转发处理后的报文。

l              配置重定向之后，原始报文不能再被正常转发。

l              用户在重定向目的端口接收到的报文都是带tag的报文。

第2章  QoS Profile典型配置指导

2.1  QoS Profile典型配置指导

2.1.1  组网图

图2-1 QoS Profile配置组网图

2.1.2  应用要求

某公司内部通过交换机（以S3600系列以太网交换机为例）实现各部门之间的互连，并且通过802.1x协议对用户进行身份验证，控制用户访问网络资源。某个接入用户的用户名为someone，认证密码为hello，从交换机的Ethernet 1/0/1端口接入，用户属于test.net域。

要求配置QoS Profile，限制用户someone通过验证后向外发送的所有IP报文的速率为128Kbps，丢弃超出限制的报文。

2.1.3  适用产品、版本

表2-1 配置适用的产品与软硬件版本关系

2.1.4  配置过程和解释

(1)        AAA服务器上的配置

在AAA服务器上配置用户的认证信息、用户名和QoS Profile的对应关系，具体配置请参见AAA服务器的指导书。

(2)        Switch上的配置

# 配置RADIUS服务器的IP地址信息为10.11.1.1。

<Sysname> system-view

[Sysname] radius scheme radius1

[Sysname-radius-radius1] primary authentication 10.11.1.1

[Sysname-radius-radius1] primary accounting 10.11.1.1

# 设置交换机与认证和计费RADIUS服务器交互报文时的加密密码为money。

[Sysname-radius-radius1] key authentication money

[Sysname-radius-radius1] key accounting money

# 指示交换机从用户名中去除用户域名后再将之传给RADIUS服务器。

[Sysname-radius-radius1] user-name-format without-domain

[Sysname-radius-radius1] quit

# 创建用户域test.net，指定radius1为该域用户的RADIUS服务器组。

[Sysname] domain test.net

[Sysname-isp-test.net] radius-scheme radius1

[Sysname-isp-test.net] quit

# 添加本地接入用户,用户名为someone，认证密码为hello。

[Sysname] local-user someone

[Sysname-luser-localuser] service-type lan-access

[Sysname-luser-localuser] password simple hello

# 定义高级ACL 3000，分类规则为匹配目的为任意IP地址的IP报文。

[Sysname] acl number 3000

[Sysname-acl-adv-3000] rule 1 permit ip destination any

[Sysname-acl-adv-3000] quit

# 定义QoS Profile，将匹配流分类规则的报文的速率限制为128Kbps，丢弃超出限制的报文。

[Sysname] qos-profile example

[Sysname-qos-profile-example] traffic-limit inbound ip-group 3000 128 exceed drop

[Sysname-qos-profile-example] quit

# 启动802.1x功能。

[Sysname] dot1x

[Sysname] dot1x interface Ethernet 1/0/1

2.1.5  完整配置

#

 dot1x

#

radius scheme system

radius scheme radius1

 server-type standard

 primary authentication 10.11.1.1

 primary accounting 10.11.1.1

key authentication money

 key accounting money

 user-name-format without-domain

#

domain system

domain test.net

 scheme radius-scheme radius1

#

acl number 3000

 rule 0 permit IP

#

qos-profile example

 traffic-limit inbound ip-group 3000 rule 0 128 exceed drop

#

interface Ethernet1/0/1

 dot1x

#

2.1.6  配置注意事项

需要注意的是：

l              QoS Profile功能支持手工应用和动态应用两种方式。用户可以通过apply qos-profile profile-name命令手工将QoS Profile应用到端口上，也可以将QoS Profile与802.1x认证功能结合使用，为通过认证的一个用户或者一组用户提供预先配置的QoS功能。

l              根据802.1x认证方式的不同，动态应用方式又可以分为基于端口（Port-based）和基于用户（User-based）两种模式，缺省情况下为基于用户的模式。

l              使用User-based模式时，如果QoS Profile中的流分类规则定义了源信息（包括源MAC信息、源IP信息和VLAN信息），则QoS Profile不能应用成功。

l              目前QoS Profile功能可以为用户提供包过滤（packet-filter）、流量监管（traffic-limit）、优先级重标记（traffic-priority）功能。

流量监管的速率限制的粒度为64Kbps，如果用户输入的值在N*64～(N+1)*64之间（N为自然数），交换机将自动修改此值为(N+1)*64 Kbps。