目  录

1 ACL配置

1.1 概述

1.1.1 ACL的分类

1.1.2 ACL的匹配顺序

1.1.3 ACL的步长

1.1.4 ACL的生效时间段

1.1.5 ACL对IPv4分片报文的处理

1.2 配置ACL

1.2.1 配置概述

1.2.2 配置时间段

1.2.3 新建IPv4 ACL

1.2.4 配置基本IPv4 ACL规则

1.2.5 配置高级IPv4 ACL规则

1.2.6 配置链路层ACL规则

1.2.7 新建IPv6 ACL

1.2.8 配置基本IPv6 ACL规则

1.2.9 配置高级IPv6 ACL规则

1.3 注意事项

2 QoS配置

2.1 概述

2.1.1 无QoS保障的网络

2.1.2 新业务对QoS的需求

2.1.3 拥塞的产生、影响和对策

2.1.4 端到端的QoS

2.1.5 流分类技术

2.1.6 报文优先级

2.1.7 队列调度

2.1.8 端口限速

2.1.9 优先级映射

2.2 QoS配置

2.2.1 配置概述

2.2.2 新建类

2.2.3 配置分类规则

2.2.4 新建流行为

2.2.5 配置流行为的流镜像和流量重定向

2.2.6 配置流行为的其它动作

2.2.7 新建策略

2.2.8 配置策略中类和流行为的对应关系

2.2.9 在端口上应用策略

2.2.10 在端口上配置队列

2.2.11 在端口上配置端口限速

2.2.12 配置优先级映射表

2.2.13 配置端口的优先级和信任模式

2.3 注意事项

3 ACL/QoS典型配置举例

3.1 ACL/QoS配置举例

1 ACL配置

1.1  概述

ACL（Access Control List，访问控制列表）是用来实现流识别功能的。网络设备为了过滤报文，需要配置一系列的匹配条件对报文进行分类，这些条件可以是报文的源地址、目的地址、端口号等。

当设备的端口接收到报文后，即根据当前端口上应用的ACL规则对报文的字段进行分析，在识别出特定的报文之后，根据预先设定的策略允许或禁止该报文通过。

由ACL定义的报文匹配规则可以应用在诸多领域，如安全、QoS等，有关ACL在这些领域的具体应用，请参见相关的配置手册。

1.1.1  ACL的分类

根据功能以及规则制定依据的不同，可以将ACL分为三种类型，如下表所示。

表1-1 ACL的分类

1.1.2  ACL的匹配顺序

一个ACL由一条或多条描述报文匹配选项的判断语句组成，这样的判断语句就称为“规则”。由于每条规则中的报文匹配选项不同，从而使这些规则之间可能存在重复甚至矛盾的地方，因此在将一个报文与ACL的各条规则进行匹配时，就需要有明确的匹配顺序来确定规则执行的优先级。ACL的规则匹配顺序有以下两种：

·              配置顺序：按照用户配置规则的先后顺序进行匹配，但由于本质上系统是按照规则编号由小到大进行匹配，因此后插入的规则如果编号较小也有可能先被匹配。

·              自动排序：按照“深度优先”原则由深到浅进行匹配，不同类型ACL的“深度优先”排序法则如下表所示。

表1-2 各类型ACL的“深度优先”排序法则

1.1.3  ACL的步长

ACL内的每条规则都有自己的编号，每个规则的编号在一个ACL中都是唯一的。在创建规则时，可以人为地为其指定一个编号，也可以由系统为其自动分配一个编号。

在自动分配编号时，为了方便后续在已有规则之前插入新的规则，系统通常会在相邻编号之间留下一定的空间，这个空间的大小（即相邻编号之间的差值）就称为ACL的步长。譬如，当步长为5时，系统会将编号0、5、10、15……依次分配给新创建的规则。

系统为规则自动分配编号的方式如下：系统按照步长从0开始，自动分配一个大于现有最大编号的最小编号。譬如原有编号为0、5、9、10和12的五条规则，步长为5，此时如果创建一条规则且不指定编号，那么系统将自动为其分配编号15。

1.1.4  ACL的生效时间段

时间段用于描述一个特定的时间范围。用户可能有这样的需求：一些ACL规则只需在某个或某些特定的时间段内生效（即进行报文过滤），这也称为基于时间段的ACL过滤。为此，用户可以先配置一个或多个时间段，然后在ACL规则下引用这些时间段，那么该规则将只在指定的时间段内生效。

1.1.5  ACL对IPv4分片报文的处理

传统的报文过滤并不处理所有的IPv4报文分片，而只对首片分片报文进行匹配处理，而对后续分片一律放行。这样，网络攻击者可能构造后续的分片报文进行流量攻击，就带来了安全隐患。

为提高网络安全性，ACL规则缺省会匹配所有报文（包括非分片报文和分片报文的每个分片）。同时，为了提高匹配效率，用户也可以对此匹配策略进行修改，譬如可指定规则仅对分片报文的非首个分片有效等。

1.2  配置ACL

1.2.1  配置概述

1. 配置IPv4 ACL

IPv4 ACL配置的推荐步骤如下表所示。

表1-3 IPv4 ACL配置步骤

2. 配置IPv6 ACL

IPv6 ACL配置的推荐步骤如下表所示。

表1-4 IPv6 ACL配置步骤

1.2.2  配置时间段

(1)      在导航栏中选择“QoS > 时间段”。

(2)      单击“新建”页签，进入时间段的配置页面，如下图所示。

图1-1 时间段新建

(3)      配置时间段，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表1-5 时间段的详细配置

1.2.3  新建IPv4 ACL

(1)      在导航栏中选择“QoS > ACL IPv4”。

(2)      单击“新建”页签，进入IPv4 ACL的新建页面，如下图所示。

图1-2 IPv4 ACL新建

(3)      进行新建IPv4 ACL的配置，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表1-6 新建IPv4 ACL的详细配置

1.2.4  配置基本IPv4 ACL规则

(1)      在导航栏中选择“QoS > ACL IPv4”。

(2)      单击“基本配置”页签，进入基本IPv4 ACL规则的配置页面，如下图所示。

图1-3 基本IPv4 ACL配置

(3)      配置基本IPv4 ACL规则，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表1-7 基本IPv4 ACL规则的详细配置

1.2.5  配置高级IPv4 ACL规则

(1)      在导航栏中选择“QoS > ACL IPv4”。

(2)      单击“高级配置”页签，进入高级IPv4 ACL规则的配置页面，如下图所示。

图1-4 高级IPv4 ACL配置

(3)      配置高级IPv4 ACL规则，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表1-8 高级IPv4 ACL规则的详细配置

1.2.6  配置链路层ACL规则

(1)      在导航栏中选择“QoS > ACL IPv4”。

(2)      单击“链路层配置”页签，进入链路层ACL规则的配置页面，如下图所示。

图1-5 链路层ACL配置

(3)      配置链路层ACL规则，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表1-9 链路层ACL规则的详细配置

1.2.7  新建IPv6 ACL

(1)      在导航栏中选择“QoS > ACL IPv6”。

(2)      单击“新建”页签，进入IPv6 ACL的新建页面，如下图所示。

图1-6 IPv6 ACL新建

(3)      进行新建IPv6 ACL的配置，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表1-10 新建IPv6 ACL的详细配置

1.2.8  配置基本IPv6 ACL规则

(1)      在导航栏中选择“QoS > ACL IPv6”。

(2)      单击“基本配置”页签，进入基本IPv6 ACL规则的配置页面，如下图所示。

图1-7 基本IPv6 ACL配置

(3)      配置基本IPv6 ACL规则，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表1-11 基本IPv6 ACL规则的详细配置

1.2.9  配置高级IPv6 ACL规则

(1)      在导航栏中选择“QoS > ACL IPv6”。

(2)      单击“高级配置”页签，进入高级IPv6 ACL规则的配置页面，如下图所示。

图1-8 高级IPv6 ACL配置

(3)      配置高级IPv6 ACL规则，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表1-12 高级IPv6 ACL规则的详细配置

1.3  注意事项

对ACL进行配置时，需要注意如下事项：

(1)      新创建或修改后的规则不能和已经存在的规则相同，否则会导致新建或修改不成功，系统会提示这条规则已经存在。

(2)      当ACL的匹配顺序为“用户配置”时，用户可以修改该ACL中的任何一条已经存在的规则，在修改ACL中的某条规则时，该规则中没有修改到的部分仍旧保持原来的状态；当ACL的匹配顺序为“自动”时，用户不能修改该ACL中的任何一条已经存在的规则，否则系统会提示错误信息。

2 QoS配置

2.1  概述

QoS（Quality of Service，服务质量）用于评估服务方满足客户服务需求的能力。在Internet中，QoS所评估的就是网络转发分组的服务能力。

由于网络提供的服务是多样的，因此QoS的评估可以基于不同方面。通常所说的QoS，是对分组转发过程中带宽、延迟、抖动、丢包率等指标进行评估。

2.1.1  无QoS保障的网络

在传统的无QoS保障的IP网络中，设备无区别地对待所有的报文，设备处理报文采用的策略是FIFO（First In First Out，先入先出），它依照报文到达时间的先后顺序分配转发所需要的资源。所有报文共享网络和设备的资源，至于得到资源的多少完全取决于报文到达的时间。这种服务策略称作Best-Effort，它尽最大的努力将报文送到目的地，但对分组转发的延迟、抖动、丢包率等需求不提供任何承诺和保证。

传统的Best-Effort服务策略只适用于对带宽、延迟不敏感的WWW、E-Mail等业务。

2.1.2  新业务对QoS的需求

随着计算机网络的高速发展，越来越多的网络接入Internet。无论从规模、覆盖范围还是用户数量上来看，Internet都扩展得非常快。

除了传统的WWW、E-Mail应用外，用户还尝试在Internet上拓展新业务，比如远程教学、远程医疗、可视电话、电视会议、视频点播等。企业用户也希望通过VPN技术，将分布在各地的分支机构连接起来，开展一些事务性应用：比如访问公司的数据库或通过Telnet管理远程设备。

这些新业务有一个共同特点，即对带宽、延迟、抖动等传输性能有着特殊的需求。比如电视会议、视频点播需要高带宽、低延迟和低抖动的保证。事务处理、Telnet等关键任务虽然不一定要求高带宽，但非常注重低延迟，在拥塞发生时要求优先获得处理。

新业务的不断涌现对IP网络的服务能力提出了更高的要求，用户已不再满足于能够简单地将报文送达目的地，还希望在转发过程中得到更好的服务，诸如为用户提供专用带宽、减少报文的丢失率、管理和避免网络拥塞、调控网络的流量。所有这些都要求网络具备更为完善的服务能力。

2.1.3  拥塞的产生、影响和对策

传统网络所面临的服务质量问题，主要是由网络拥塞引起的。所谓拥塞，是指由于供给资源的相对不足而造成转发速率下降、引入额外延迟，从而导致服务质量下降的一种现象。

1. 拥塞的产生

在复杂的Internet分组交换环境下，拥塞极为常见。以下图中的两种情况为例：

图2-1 流量拥塞示意图

(1)      分组流从高速链路进入设备，由低速链路转发出去。

(2)      分组流从多个接口同时进入网络设备，由一个接口转发出去（多个接口的速率和大于出接口的速率）。

如果流量以线速到达，那么就会遭遇资源的瓶颈而导致拥塞。

不仅仅是链路带宽的瓶颈会导致拥塞，任何用于正常转发处理的资源的不足（如可分配的处理器时间、缓冲区、内存资源的不足）都会造成拥塞。此外，在某个时间内对所到达的流量控制不力，使之超出了可分配的网络资源，也是引发网络拥塞的一个因素。

2. 拥塞的影响

拥塞有可能会引发一系列的负面影响：

·              拥塞增加了报文传输的延迟和抖动，过高的延迟会引起报文重传。

·              拥塞使网络的有效吞吐率降低，造成网络资源的利用率降低。

·              拥塞加剧会耗费大量的网络资源（特别是存储资源），不合理的资源分配甚至可能导致系统陷入资源死锁而崩溃。

可见，拥塞使流量不能及时获得资源是造成服务性能下降的源头。在分组交换以及多用户业务并存的复杂环境下，拥塞又是不可避免的，因此必须采用适当的方法来解决拥塞。

3. 对策

增加网络带宽是解决资源不足的一个直接途径，然而网络带宽不可能无限制的增加，因此它并不能解决所有导致网络拥塞的问题。

解决网络拥塞问题的一个更有效的办法是在网络中增加流量控制和资源分配的功能，为有不同服务需求的业务提供有差别的服务，更合理地分配和使用资源。在进行资源分配和流量控制的过程中，尽可能地控制好那些可能引发网络拥塞的直接或间接因素，从而减少拥塞发生的概率；在拥塞发生时，依据业务的性质及其需求权衡资源的分配，将拥塞的影响减到最小。

2.1.4  端到端的QoS

图2-2 端到端QoS模型图

如上图所示，流分类、流量监管、流量整形、拥塞管理和拥塞避免是构造有区别地实施服务的基石，它们主要完成如下功能：

·              流分类：依据一定的匹配规则识别出报文，通常作用在接口入方向。

·              流量监管：对进入或流出设备的特定流量的规格进行监管。当流量超出规格时，可以采取限制或惩罚措施，以保护网络资源不受损害。可以作用在接口入方向和出方向。

·              流量整形：一种主动调整流的输出速率的流控措施，用来使流量适配下游设备可供给的网络资源，避免不必要的报文丢弃和拥塞，通常作用在接口出方向。

·              拥塞管理：就是当拥塞发生时如何制定一个资源的调度策略，以决定报文转发的处理次序，通常作用在接口出方向。

·              拥塞避免：监督网络资源的使用情况，当发现拥塞有加剧的趋势时采取主动丢弃报文的策略，通过调整流量来解除网络的过载，通常作用在接口出方向。

在这些QoS技术中，流分类是基础，是有区别地实施服务的前提；而流量监管、流量整形、拥塞管理和拥塞避免从不同方面对网络流量及其分配的资源实施控制，是有区别地提供服务思想的具体体现。

2.1.5  流分类技术

流分类可以使用IP报文头的ToS（Type of Service，服务类型）字段的优先级位，识别出有不同优先级特征的流量；也可以由网络管理者设置流分类的策略，例如综合源地址、目的地址、MAC地址、IP协议或应用程序的端口号等信息对流进行分类。

流分类的结果是没有范围限制的，它可以是一个由五元组（源地址、源端口号、协议号、目的地址、目的端口号）确定的狭小范围，也可以是到某网段的所有报文。

一般在网络边界对报文分类时，同时设置报文IP头的ToS字段中的优先级位。这样，在网络的内部就可以直接使用IP优先级作为分类标准。而队列技术也可以使用这个优先级来对报文进行不同的处理。下游网络可以选择接收上游网络的分类结果，也可以按照自己的标准重新进行分类。

进行流分类是为了有区别地提供服务，它必须与某种流控或资源分配动作关联起来才有意义。具体采取何种流控动作，与所处的阶段以及网络当前的负载状况有关。例如，当报文进入网络时依据承诺速率对它进行监管；流出节点之前进行整形；拥塞时对队列进行调度管理；拥塞加剧时采取拥塞避免措施等。

2.1.6  报文优先级

1. DSCP优先级

图2-3 ToS和DS域

如上图2-3所示，IP报文头的ToS字段有8个bit，RFC 2474中，重新定义了IP报文头部的ToS域，称之为DS（Differentiated Services，差分服务）域，其中DSCP优先级用该域的前6位（0～5位）表示，取值范围为0～63，后2位（6、7位）是保留位。

表2-1 DSCP优先级说明

2. 802.1p优先级

802.1p优先级位于二层报文头部，适用于不需要分析三层报头，而需要在二层环境下保证QoS的场合。

图2-4 带有802.1Q标签头的以太网帧

如上图所示，4个字节的802.1Q标签头包含了2个字节的TPID（Tag Protocol Identifier，标签协议标识符）和2个字节的TCI（Tag Control Information，标签控制信息），TPID取值为0x8100。下图显示了802.1Q标签头的详细内容，Priority字段就是802.1p优先级。之所以称此优先级为802.1p优先级，是因为有关这些优先级的应用是在802.1p规范中被详细定义的。

图2-5 802.1Q标签头

表2-2 802.1p优先级说明

2.1.7  队列调度

对于拥塞管理，一般采用队列技术，使用一个队列算法对流量进行分类，之后用某种优先级别算法将这些流量发送出去。每种队列算法都是用以解决特定的网络流量问题，并对带宽资源的分配、延迟、抖动等有着十分重要的影响。

这里介绍两种常用的硬件实现拥塞管理的队列调度机制：SP（Strict Priority，严格优先级）队列和WRR（Weighted Round Robin，加权轮询）队列。

1. SP队列

SP队列包含多个队列，分别对应不同的优先级，按优先级递减的顺序进行调度。SP队列调度算法是针对关键业务型应用设计的。关键业务有一个重要的特点，即在拥塞发生时要求优先获得服务以减小响应的延迟。

图2-6 SP队列示意图

以端口有8个输出队列为例，优先队列将端口的8个输出队列分成8类，依次为7、6、5、4、3、2、1、0队列，它们的优先级依次降低。在队列调度时，SP严格按照优先级从高到低的顺序优先发送较高优先级队列中的分组，当较高优先级队列为空时，再发送较低优先级队列中的分组。这样，将关键业务的分组放入较高优先级的队列，将非关键业务（如E-Mail）的分组放入较低优先级的队列，可以保证关键业务的分组被优先传送，非关键业务的分组在处理关键业务数据的空闲间隙被传送。

SP的缺点是如果较高优先级队列中长时间有分组存在，那么低优先级队列中的报文将一直得不到服务。

2. WRR队列

WRR队列调度算法在队列之间进行轮流调度，保证每个队列都得到一定的服务时间。

图2-7 WRR队列示意图

以端口有8个输出队列为例，WRR可为每个队列配置一个加权值（依次为w7、w6、w5、w4、w3、w2、w1、w0），加权值表示获取资源的比重。如一个100M的端口，配置它的WRR队列调度算法的加权值为25：25：15：15：5：5：5：5（依次对应w7、w6、w5、w4、w3、w2、w1、w0），这样可以保证最低优先级队列至少获得5Mbit/s带宽，避免了采用SP调度时低优先级队列中的报文可能长时间得不到服务的缺点。WRR队列还有一个优点是，虽然多个队列的调度是轮询进行的，但对每个队列不是固定地分配服务时间片——如果某个队列为空，那么马上换到下一个队列调度，这样带宽资源可以得到充分的利用。

基本WRR队列包含多个队列，用户可以定制各个队列的权重，WRR按用户设定的参数进行加权轮询调度。

2.1.8  端口限速

端口限速是采用令牌桶进行流量控制的一种方法。利用端口限速可以在一个物理端口上限制发送报文（包括紧急报文）的总速率。端口限速能够限制在物理端口上通过的所有报文。

1. 令牌桶与流量评估

令牌桶可以看作是一个存放一定数量令牌的容器。系统按设定的速度向桶中放置令牌，当桶中令牌满时，多出的令牌溢出，桶中令牌不再增加。

图2-8 用令牌桶评估流量

在用令牌桶评估流量规格时，是以令牌桶中的令牌数量是否足够满足报文的转发为依据的。如果桶中存在足够的令牌可以用来转发报文（通常用一个令牌关联一个比特的转发权限），称流量遵守或符合（conforming）这个规格，否则称为不符合或超标（excess）。

评估流量时令牌桶的参数设置包括：

·              平均速率：向桶中放置令牌的速率，即允许的流的平均速度。通常设置为CIR（Committed Information Rate，承诺信息速率）。

·              突发尺寸：令牌桶的容量，即每次突发所允许的最大的流量尺寸。通常设置为CBS（Committed Burst Size，承诺突发尺寸），设置的突发尺寸必须大于最大报文长度。

每到达一个报文就进行一次评估。每次评估，如果桶中有足够的令牌可供使用，则说明流量控制在允许的范围内，此时要从桶中取走与报文转发权限相当的令牌数量；否则说明已经耗费太多令牌，流量超标了。

2. 端口限速的工作机制

当设备的某个端口上配置了端口限速时，所有经由该端口发送的报文首先要经过端口限速的令牌桶进行处理。如果令牌桶中有足够的令牌，则报文可以发送；否则，报文将进入QoS队列进行拥塞管理。这样，就可以对通过该物理端口的报文流量进行控制。

图2-9 端口限速处理过程示意图

由于采用了令牌桶控制流量，当令牌桶中存有令牌时，可以允许报文的突发性传输；当令牌桶中没有令牌时，报文必须等到桶中生成了新的令牌后才可以继续发送。这就限制了报文的流量不能大于令牌生成的速度，达到了限制流量，同时允许突发流量通过的目的。

2.1.9  优先级映射

1. 基本概念

在网络的入口需要为网络的流量打上一定的区分标记，这种标记用以标识流量的调度权重或者转发处理优先级别的高低。网络中间节点处理报文时，就可以根据报文的优先级来进行相应的调度。

报文在进入设备以后，设备会根据自身支持的情况和相应的规则给报文分配包括802.1p优先级、DSCP、本地优先级等在内的一系列参数。

·              802.1p优先级和DSCP优先级的介绍请参见2.1.6  报文优先级。

·              本地优先级是指设备为报文分配的一种具有本地意义的优先级，对应出端口队列序号。本地优先级值越大的报文越被优先处理。

设备提供了两种端口优先级信任模式：

·              信任报文的优先级：按照接收端口上配置的优先级信任模式，根据报文自身的优先级，查找优先级映射表，为报文分配优先级参数。

·              信任端口的优先级：按照接收端口的端口优先级，通过一一映射为报文分配本地优先级。

用户可以根据需要配置端口优先级信任模式。设备上报文的优先级映射过程如下图所示。

图2-10 支持端口优先级信任模式的情况下优先级映射过程示意图

2. 优先级映射表介绍

设备提供了多张优先级映射表，分别对应相应的优先级映射关系。各个优先级的映射表和缺省取值如下所示。

·              CoS to Queue：802.1p优先级到本地优先级映射表。

·              DSCP to Queue：DSCP到本地优先级映射表，仅对IP报文生效。

映射表缺省取值如下所示。

表2-3 CoS to Queue缺省映射关系

表2-4 DSCP to Queue缺省映射关系

2.2  QoS配置

2.2.1  配置概述

1. 配置QoS策略

QoS策略包含了三个要素：类、流行为、策略。用户可以通过QoS策略将指定的类和流行为绑定起来，方便的进行QoS配置。

(1)      类

类是用来识别流的。

类的要素包括：类的名称和类的规则。

用户可以定义一系列的规则，来对报文进行分类。同时用户可以指定规则之间的关系：and和or。

·              and：报文只有匹配了所有的规则，设备才认为报文属于这个类。

·              or：报文只要匹配了类中的一个规则，设备就认为报文属于这个类。

(2)      流行为

流行为用来定义针对报文所做的QoS动作。

流行为的要素包括：流行为的名称和流行为中定义的动作。

用户可以在一个流行为中定义多个动作。

(3)      策略

QoS策略支持基于端口的应用，即QoS策略对端口接收的流量生效。一个策略只能在一个端口上得到应用。每个端口只能在入方向上应用一个策略。

QoS策略配置的推荐步骤如下表所示。

表2-5 QoS策略配置步骤

2. 配置队列调度

队列调度配置的推荐步骤如下表所示。

表2-6 队列调度配置步骤

3. 配置端口限速

端口限速配置的推荐步骤如下表所示。

表2-7 端口限速配置步骤

4. 配置优先级映射表

优先级映射表配置的推荐步骤如下表所示。

表2-8 优先级映射表配置步骤

5. 配置端口优先级

端口优先级配置的推荐步骤如下表所示。

表2-9 端口优先级配置步骤

2.2.2  新建类

(1)      在导航栏中选择“QoS > 类”。

(2)      单击“新建”页签，进入类的新建页面，如下图所示。

图2-11 类新建

(3)      进行新建类的配置，详细配置如下表所示。

(4)      单击<新建>按钮完成操作。

表2-10 新建类的详细配置

2.2.3  配置分类规则

(1)      在导航栏中选择“QoS > 类”。

(2)      单击“设置”页签，进入类的配置页面，如下图所示。

图2-12 类设置

(3)      配置分类规则，详细配置如下表所示。

(4)      单击<应用>按钮，弹出配置进度对话框。

(5)      看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

表2-11 分类规则的详细配置

2.2.4  新建流行为

(1)      在导航栏中选择“QoS > 流行为”。

(2)      单击“新建”页签，进入流行为的新建页面，如下图所示。

图2-13 流行为新建

(3)      配置新建流行为的名称。

2.2.5  配置流行为的流镜像和流量重定向

(1)      在导航栏中选择“QoS > 流行为”。

(2)      单击“端口设置”页签，进入流行为的端口配置页面，如下图所示。

图2-14 流行为端口设置

(3)      配置流镜像和流量重定向，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表2-12 流镜像和流量重定向的详细配置

2.2.6  配置流行为的其它动作

(1)      在导航栏中选择“QoS > 流行为”。

(2)      单击“设置”页签，进入流行为的配置页面，如下图所示。

图2-15 流行为设置

(3)      配置流行为其它动作，详细配置如下表所示。

(4)      单击<应用>按钮，弹出配置进度对话框。

(5)      看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

表2-13 流行为其它动作的详细配置

2.2.7  新建策略

(1)      在导航栏中选择“QoS > QoS Policy”。

(2)      单击“新建”页签，进入策略的新建页面，如下图所示。

图2-16 策略新建

(3)      配置新建策略的名称。

2.2.8  配置策略中类和流行为的对应关系

(1)      在导航栏中选择“QoS > QoS Policy”。

(2)      单击“设置”页签，进入策略的配置页面，如下图所示。

图2-17 策略设置

(3)      配置策略中类和流行为对应关系，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表2-14 策略中类和流行为对应关系的详细配置

2.2.9  在端口上应用策略

(1)      在导航栏中选择“QoS > 端口策略”。

(2)      单击“设置”页签，进入端口策略的配置页面，如下图所示。

图2-18 端口策略

(3)      在端口上应用策略，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表2-15 在端口上应用策略的详细配置

2.2.10  在端口上配置队列

(1)      在导航栏中选择“QoS > 队列调度”。

(2)      单击“设置”页签，进入队列调度的配置页面，如下图所示。

图2-19 队列调度

(3)      在端口上配置队列，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表2-16 在端口上配置队列的详细配置

2.2.11  在端口上配置端口限速

(1)      在导航栏中选择“QoS > 端口限速”。

(2)      单击“设置”页签，进入端口限速的配置页面，如下图所示。

图2-20 端口限速

(3)      配置端口限速，详细配置如下表所示。

(4)      单击<应用>按钮完成操作。

表2-17 端口限速的详细配置

2.2.12  配置优先级映射表

(1)      在导航栏中选择“QoS > 优先级映射表”，进入如下图所示的页面。

图2-21 优先级映射表

(2)      配置优先级映射表，详细配置如下表所示。

(3)      单击<确定>按钮完成操作。

表2-18 优先级映射表的详细配置

2.2.13  配置端口的优先级和信任模式

(1)      在导航栏中选择“QoS > 端口优先级”，进入如下图所示的页面。

图2-22 端口优先级

(2)      单击端口对应的图标，进入该端口的优先级和信任模式的配置页面，如下图所示。

图2-23 修改端口优先级

(3)      配置端口优先级，详细配置如下表所示。

(4)      单击<确定>按钮完成操作。

表2-19 端口优先级的详细配置

2.3  注意事项

当ACL作为QoS策略中流分类的匹配条件时，ACL仅用于匹配报文，ACL规则中的动作（deny或permit）被忽略，不作为对报文进行丢弃或转发的依据。

3 ACL/QoS典型配置举例

3.1  ACL/QoS配置举例

1. 组网需求

·              如下图所示，Switch与FTP服务器（IP地址为10.1.1.1/24）相连，用户通过 GigabitEthernet1/0/1接入Switch。

·              要求正确配置ACL和QoS策略，禁止用户在每天的8:00～18:00访问FTP服务器。

图3-1 ACL/QoS配置组网图

2. 配置思路

采用如下思路进行配置：

(1)      配置限制用户在每天的8:00～18:00访问FTP服务器的ACL规则。

(2)      配置QoS策略为：匹配该ACL规则的类，采取丢弃数据包的动作。

(3)      在GigabitEthernet1/0/1的入方向上应用该QoS策略。

3. 配置步骤

(1)      定义每天8:00至18:00的周期时间段。

步骤1：在导航栏中选择“QoS > 时间段”。

步骤2：单击“新建”页签。

步骤3：进行如下配置，如下图所示。

·              输入时间段名称为“test-time”。

·              选中“周期时间段”前的复选框。

·              设置开始时间为“8:0”，结束时间为“18:0”。

·              选中“星期日”～“星期六”前的复选框。

步骤4：单击<应用>按钮完成操作。

图3-2 定义每天8:00至18:00的周期时间段

(2)      新建高级IPv4 ACL。

步骤1：在导航栏中选择“QoS > ACL IPv4”。

步骤2：单击“新建”页签。

步骤3：输入访问控制列表ID为“3000”，如下图所示。

步骤4：单击<应用>按钮完成操作。

图3-3 新建高级IPv4 ACL

(3)      配置到FTP服务器的访问规则。

步骤1：单击“高级配置”页签。

步骤2：进行如下配置，如下图所示。

·              选择访问控制列表为“3000”。

·              选中“规则ID”前的复选框，输入规则ID为“2”。

·              选择操作为“允许”。

·              选中“目的IP地址”前的复选框，输入目的IP地址为“10.1.1.1”，输入目的地址通配符为“0.0.0.0”。

·              选择时间段为“test-time”。

步骤3：单击<新建>按钮完成操作。

图3-4 配置到FTP服务器的访问规则

(4)      新建类。

步骤1：在导航栏中选择“QoS > 类”。

步骤2：单击“新建”页签。

步骤3：输入类名称为“class1”，如下图所示。

步骤4：单击<新建>按钮完成操作。

图3-5 新建类

(5)      配置分类规则。

步骤1：单击“设置”页签。

步骤2：进行如下配置，如下图所示。

·              选择类名称为“class1”。

·              选中“ACL IPv4”前的复选框，选择访问控制列表ID为“3000”。

图3-6 配置分类规则

步骤3：单击<应用>按钮，弹出配置进度对话框，如下图所示。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-7 配置进度对话框

(6)      新建流行为。

步骤1：在导航栏中选择“QoS > 流行为”。

步骤2：单击“新建”页签。

步骤3：输入流行为名称为“behavior1”，如下图所示。

步骤4：单击<新建>按钮完成操作。

图3-8 新建流行为

(7)      配置流行为的动作。

步骤1：单击“设置”页签。

步骤2：进行如下配置，如下图所示。

·              选择流行为为“behavior1”。

·              选中“包过滤”前的复选框，选择行为为“Deny”。

步骤3：单击<应用>按钮，弹出配置进度对话框。

步骤4：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-9 配置流行为的动作

(8)      新建策略。

步骤1：在导航栏中选择“QoS > QoS Policy”。

步骤2：单击“新建”页签。

步骤3：输入策略名为“policy1”，如下图所示。

步骤4：单击<新建>按钮完成操作。

图3-10 新建策略

(9)      配置策略中类和流行为的对应关系。

步骤1：单击“设置”页签。

步骤2：进行如下配置，如下图所示。

·              选择策略为“policy1”。

·              选择类名称为“class1”。

·              选择流行为名称为“behavior1”。

步骤3：单击<应用>按钮完成操作。

图3-11 配置策略中类和流行为的对应关系

(10)   在端口的入方向上应用QoS策略。

步骤1：在导航栏中选择“QoS > 端口策略”。

步骤2：单击“设置”页签。

步骤3：进行如下配置，如下图所示。

·              选择策略为“policy1”。

·              选择方向为“Inbound”。

·              选择端口为“GigabitEthernet1/0/1”。

步骤4：单击<应用>按钮，弹出配置进度对话框。

步骤5：看到配置成功的提示后，在对话框中单击<关闭>按钮完成操作。

图3-12 在端口的入方向上应用QoS策略