目  录

1 Context

1.1 Context简介

1.1.1 Context的应用

1.1.2 缺省Context和非缺省Context

1.2 Context与硬件适配关系

1.3 Context配置限制和指导

1.4 Context配置任务简介

1.5 创建Context

1.6 为Context分配接口和VLAN资源

1.6.1 为Context分配接口

1.6.2 为Context分配VLAN

1.7 限制Context的资源使用

1.7.1 限制Context出方向吞吐量

1.7.2 限制Context对象策略规则总数

1.7.3 限制Context安全策略规则总数

1.7.4 限制Context会话并发数

1.7.5 限制Context会话新建速率

1.7.6 限制Context的SSL VPN登录用户数

1.8 启动Context

1.9 为Context分配CPU/磁盘/内存资源

1.9.1 功能简介

1.9.2 为Context分配CPU权重

1.9.3 为Context分配磁盘空间上限

1.9.4 为Context分配内存空间上限

1.10 访问和管理Context

1.11 配置Context限速功能

1.11.1 配置Context限制广播报文速率

1.11.2 配置Context限制组播报文速率

1.11.3 开启Context限速丢包日志功能

1.12 配置设备单播报文的限速功能

1.13 收集各Context的日志信息

1.14 Context显示和维护

1.15 Context典型配置举例

1.15.1 Context基本组网配置举例

1 Context

1.1  Context简介

通过虚拟化技术将一台物理设备划分成多台逻辑设备，每台逻辑设备就称为一个Context。每个Context拥有自己专属的软硬件资源，独立运行。

对于用户来说，每个Context就是一台独立的设备，方便管理和维护；对于管理者来说，可以将一台物理设备虚拟成多台逻辑设备供不同的分支机构使用，可以保护现有投资，提高组网灵活性。

1.1.1  Context的应用

如图1-1所示，LAN 1、LAN 2和LAN 3是三个不同的局域网，它们通过同一台设备Device连接到外网。通过虚拟化技术，能让一台设备当三台设备使用。具体做法是，在Device上创建三个Context（Context 1、Context 2、Context 3），分别负责LAN 1、LAN 2、LAN 3的安全接入。LAN 1、LAN 2、LAN 3的网络管理员可以（也只能）分别登录到自己的设备进行配置、保存、重启等操作，不会影响其它网络的使用，其效果等同于LAN 1、LAN 2和LAN 3分别通过各自的设备Device 1、Device 2、Device 3接入Internet。

图1-1 Context组网示意图

 

1.1.2  缺省Context和非缺省Context

·     设备支持Context功能后，整台物理设备就是一个Context，称为缺省Context，如图1-1中的Device。当用户登录物理设备时，实际登录的就是缺省Context。用户在物理设备上的配置实质就是对缺省Context的配置。缺省Context的名称为Admin，编号为1。缺省Context不需要创建，不能删除。

·     与缺省Context相对应的是非缺省Context，如图1-1中的Context 1、Context 2、Context 3。非缺省Context是管理员在设备上通过命令行创建的，可分配给不同的接入网络使用。

·     缺省Context拥有对整台物理设备的所有权限，它可以使用和管理设备所有的资源。缺省Context下可以创建/删除非缺省Context，给非缺省Context分配CPU资源/磁盘/内存空间、接口、VLAN，没有分配的CPU资源/磁盘/内存空间、接口、VLAN由缺省Context使用和管理。

·     非缺省Context下不可再创建/删除非缺省Context，它只能使用缺省Context分配给自己的资源，并在缺省Context指定的资源限制范围内工作，不能抢占其他Context或者系统剩余的资源。

·     非缺省Context下不支持共享口的报文捕获功能，关于报文捕获功能的详细描述请参见“网络管理和监控配置指导”中的“报文捕获配置”。

1.2  Context与硬件适配关系

本特性的支持情况与设备型号有关，请以设备的实际情况为准。

型号	说明
F1000-E-G5、F1000-H-G5	支持
F100-C-G5、F100-M-G5、F100-S-G5	不支持
F1000-A-G3、F1000-C-G3、F1000-E-G3、F1000-S-G3	支持
F100-A-G3、F100-C-G3、F100-E-G3、F100-M-G3、F100-S-G3	·     F100-A-G3、F100-E-G3：支持 ·     F100-C-G3、F100-M-G3、F100-S-G3：不支持
F1000-E-VG、F1000-S-VG	·     F1000-E-VG：支持 ·     F1000-S-VG：不支持
F1000-A-G2、F1000-C-G2、F1000-E-G2、F1000-S-G2	支持
F100-A-G2、F100-C-G2、F100-E-G2、F100-M-G2、F100-S-G2	·     F100-A-G2、F100-E-G2：支持 ·     F100-C-G2、F100-M-G2、F100-S-G2：不支持
F1000-C-EI、F100-A-EI、F100-A-SI、F100-C-EI、F100-E-EI	·     F1000-C-EI、F100-A-EI、F100-A-SI、F100-E-EI：支持 ·     F100-C-EI：不支持
F100-A80-WiNet、F100-C80-WiNet、F100-C60-WiNet、F100-C50-WiNet、F100-S80-WiNet	·     F100-A80-WiNet：支持 ·     F100-C80-WiNet、F100-C60-WiNet、F100-C50-WiNet、F100-S80-WiNet：不支持
F1000-C8395	支持
F1000-C8180、F1000-C8170、F1000-C8160、F1000-C8150、F1000-C8130、F1000-C8120、F1000-C8110	·     F1000-C8180、F1000-C8170、F1000-C8160：支持 ·     F1000-C8150、F1000-C8130、F1000-C8120、F1000-C8110：不支持
F100-C-A6、F100-C-A5、F100-C-A3	不支持
F100-C-A6-WL、F100-C-A5-W、F100-C-A3-W	不支持
F1000-C-HI、F100-A-HI、F100-C-HI、F100-S-HI	·     F1000-C-HI、F100-A-HI：支持 ·     F100-C-HI、F100-S-HI：不支持
F1000-720-HI、F1000-710-HI	不支持
F100-C-XI、F100-S-XI	不支持
F1000-9390-AI、F1000-9385-AI	支持
F1000-990-AI、F1000-980-AI、F1000-970-AI、F1000-960-AI、F1000-950-AI、F1000-930-AI、F1000-920-AI、F1000-910-AI、F1000-905-AI	·     F1000-990-AI、F1000-980-AI、F1000-970-AI、F1000-960-AI、F1000-950-AI、F1000-930-AI、F1000-920-AI：支持 ·     F1000-910-AI、F1000-905-AI：不支持
LSPM6FWD8、LSQM2FWDSC8	支持

 

1.3  Context配置限制和指导

对于本文列出的命令，缺省Context均支持，非缺省Context只支持display context interface命令。

非缺省Context中的DPI业务功能使用缺省Context中的应用层检测引擎对报文进行匹配，当创建、删除、关闭和重启非缺省Context时，缺省Context中的应用层检测引擎会重新激活，激活期间设备上的所有Context均不能对报文进行DPI业务处理。

1.4  Context配置任务简介

Context配置任务如下：

(1)     创建Context

(2)     （可选）为Context分配接口和VLAN资源

¡     为Context分配接口

¡     为Context分配VLAN

(3)     （可选）限制Context的资源使用

¡     限制Context出方向吞吐量

¡     限制Context对象策略规则总数

¡     限制Context安全策略规则总数

¡     限制Context会话并发数

¡     限制Context会话新建速率

¡     限制Context的SSL VPN登录用户数

(4)     启动Context

(5)     （可选）为Context分配CPU/磁盘/内存资源

¡     为Context分配CPU权重

¡     为Context分配磁盘空间上限

¡     为Context分配内存空间上限

(6)     访问和管理Context

(7)     （可选）配置Context限速功能

(8)     （可选）配置设备单播报文的限速功能

(9)     （可选）收集各Context的日志信息

1.5  创建Context

1. 配置限制和指导

创建Context相当于构造了一台新的设备。

创建Context时，通过vlan-unshared参数可选择是否和其它Context共享VLAN：

·     如果选择和其它Context共享VLAN，需要在缺省Context内创建并配置VLAN，再分配给非缺省Context。共享VLAN由多个Context共同所有。VLAN 1为系统缺省VLAN，由缺省Context独有，不能分配给非缺省Context。

·     如果选择不和其它Context共享VLAN，请登录该Context，并使用vlan命令创建VLAN 2～VLAN 4094。VLAN 1为缺省VLAN，用户不能手工创建和删除。Context各自使用和管理VLAN，互不干扰。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     创建Context，并进入Context视图。

context context-name [ id context-id ] [ vlan-unshared ]

缺省情况下，设备上存在缺省Context，名称为Admin，编号为1。

(3)     （可选）配置Context的描述信息。

description text

缺省情况下，缺省Context描述信息为DefaultContext。非缺省Context没有配置描述信息。

1.6  为Context分配接口和VLAN资源

1.6.1  为Context分配接口

1. 接口分配简介

设备上的所有接口都属于缺省Context，不属于任何非缺省Context。请给非缺省Context分配接口，它才能和网络中的其它设备通信。

为了提高设备接口的利用率，在给Context分配接口时，可以选择：

·     独占方式分配（不带share参数）。使用该方式分配的接口仅归该Context所有、使用。用户登录该Context后，能查看到该接口，并执行接口支持的所有命令。

·     共享方式分配（带share参数）：表示将一个接口分配给多个Context使用，这些Context共享这个物理接口，但是在各个Context内会创建一个同名的虚接口，这些虚接口具有不同的MAC地址和IP地址。设备从共享的物理接口接收报文后交给对应的虚拟接口处理；出方向，虚拟接口处理完报文后，会交给共享的物理接口发送。使用该方式，可以提高设备接口的利用率。通过共享方式分配的接口：

¡     在缺省Context内仍然存在该接口，该接口可执行接口支持的所有命令；

¡     在非缺省Context内，会新建一个同名接口，用户登录这些Context后，能查看到该接口，但只能执行shutdown、description以及网络/安全相关的命令。

2. 配置限制和指导

当设备运行在IRF模式时，禁止将IRF物理端口分配给Context。

聚合接口的成员接口不能分配给Context。

冗余口的成员接口不能分配给Context，当冗余口的成员接口为子接口时，其子接口的主接口也不能分配给Context。

逻辑接口（如子接口、聚合接口等）仅支持共享方式分配，物理接口支持独占和共享两种方式分配。

如果子接口已经被分配，则不能再分配其父接口；如果父接口已经被分配，则不能再分配其子接口。

如果接口已经被共享分配，则不能再独占分配。需将共享分配配置取消后，才能独占分配。

为使非缺省Context之间可以互通，必须在缺省Context中将物理接口或逻辑接口以共享方式分配给非缺省Context。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     为Context分配接口。

¡     非连续接口配置。

allocate interface { interface-type interface-number }&<1-24> [ share ]

¡     连续接口配置。

allocate interface interface-type interface-number1 to interface-type interface-number2 [ share ]

缺省情况下，设备上的所有接口都属于缺省Context，不属于任何非缺省Context。

1.6.2  为Context分配VLAN

1. 配置限制和指导

·     创建Context时，如果不选择vlan-unshared参数，则表示和其它Context共享VLAN。

·     对于共享VLAN，请先在缺省Context内创建VLAN，再通过allocate vlan命令将指定VLAN分配给指定的Context使用。

·     VLAN 1不能被共享。

·     端口的缺省VLAN不能被共享。

·     已经创建了VLAN接口的VLAN不能被共享。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     为Context分配VLAN。

¡     非连续VLAN配置。

allocate vlan vlan-id&<1-24>

¡     连续VLAN配置。

allocate vlan vlan-id1 to vlan-id2

缺省情况下，没有为Context分配VLAN。

1.7  限制Context的资源使用

1.7.1  限制Context出方向吞吐量

1. 功能简介

为了防止一个Context发送的报文过多而导致其它Context的报文被丢弃，需要限制Context的吞吐量。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context出访向吞吐量限制。

capability throughput { kbps | pps } value

缺省情况下，各Context出访向不做吞吐量限制，按实际能力转发。

1.7.2  限制Context对象策略规则总数

1. 功能简介

一个Context内可以配置多个对象策略，一个对象策略内包含多个规则。如果不加限制，会出现大量规则占用过多的内存的情况，影响Context的其它功能正常运行。所以，请根据需要为Context设置对象策略规则总数限制。当规则总数达到限制值时，后续不能新增规则。

关于对象策略的详细描述请参见“安全配置指导”中的“对象策略”。

2. 配置限制和指导

如果设置的最大值比当前存在的规则总数小，配置仍会成功，多出的规则不会删除，依然生效，但不能新增规则。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context的对象策略规则总数限制。

capability object-policy-rule maximum max-value

缺省情况下，未对Context的对象策略规则总数进行限制。

1.7.3  限制Context安全策略规则总数

1. 功能简介

一个Context内可以配置多个安全策略规则。如果不加限制，会出现大量规则占用过多的内存的情况，影响Context的其它功能正常运行。所以，请根据需要为Context设置安全策略规则总数限制。当规则总数达到限制值时，后续不能新增规则。

关于安全策略的详细描述请参见“安全配置指导”中的“安全策略”。

2. 配置限制和指导

如果设置的最大值比当前存在的规则总数小，配置仍会成功，多出的规则不会删除，依然生效，但不能新增规则。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context的安全策略规则总数限制。

capability security-policy-rule maximum max-value

缺省情况下，未对Context的安全策略规则总数进行限制。

1.7.4  限制Context会话并发数

1. 功能简介

如果一个Context建立了太多会话表会导致其他Context的会话由于内存不够而无法建立，为了防止这种情况，需要限制Context建立会话表的数量。

Context会话并发数限制对本机流量不生效，例如：FTP、Telnet、SSH、HTTP和HTTP类型的七层负载均衡等业务。

2. 配置限制和指导

如果设置的最大值比当前存在的会话总数小，配置仍会成功，但不允许新建会话，且已经创建的会话不会被删除，依然生效。直到已建立的会话通过老化机制使得会话总数低于配置的最大值后，系统才允许新建会话。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context的单播会话并发数限制。

capability session maximum max-number

缺省情况下，未对Context允许的单播会话并发数进行限制。

1.7.5  限制Context会话新建速率

1. 功能简介

如果一个Context的会话新建速率过快会导致其他Context由于CPU处理能力不够而无法建立会话，为了防止这种情况，需要限制Context的会话新建速率。

Context会话新建速率限制对本机流量不生效，例如：FTP、Telnet、SSH、HTTP和HTTP类型的七层负载均衡等业务。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context的会话新建速率限制。

capability session rate max-value

缺省情况下，未对Context允许的会话新建速率进行限制。

1.7.6  限制Context的SSL VPN登录用户数

1. 功能简介

目前SSL VPN的用户数目由设备License控制，设备全部用户总数不能超过License控制，如果一个Context的用户总数到达了License限制，则会出现其他Context用户无法上线的问题，因此需要限制Context的上线用户数，同时设备全部用户总数仍受License控制。

2. 配置限制和指导

如果设置的数值小于当前Context的SSL VPN登录用户总数，则配置可以成功，但不再允许新的用户登录，且已经登录的用户不会被删除，依然生效。直到已登录的用户通过老化机制下线或用户主动下线，使得用户总数低于配置的最大值后，系统才允许新的用户登录。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     设置Context的SSL VPN登录用户数限制。

capability sslvpn-user maximum max-number

缺省情况下，未对Context的SSL VPN登录用户总数进行限制，由设备上SSL VPN Licence使用情况决定。

1.8  启动Context

1. 功能简介

Context创建后需要启动，才能完成新Context的初始化，相当于上电启动。启动后，用户可以登录到该Context执行配置。

正常程序启动Context时，设备会先做一些检查（比如Context的主、备进程能否正常启动），满足条件后，才启动Context，该命令会保证主备的Context状态一致，如果某成员设备上的Context启动失败，则会导致所有该Context进程启动失败。正常程序启动的Context能更好的保证Context的业务正常运行，所以，通常情况下，使用context start命令启动Context即可。force参数用于以下场景：在IRF环境，如果主备倒换或者配置恢复过程中出现内存不足，会导致部分Context虽然可以处理业务，但因为它们的主、备进程状态不一致，这些Context一直停留在updating或者inactive状态。当内存资源恢复后，执行context start force命令，设备会在不中断业务的情况下，尽可能修复不正常的Conext进程，让这些Context恢复到正常状态。

2. 配置限制和指导

在使用context start force前，用户可以通过display context、display system internal context configuration-status、display system internal context id contex-id running-status命令查看Context的运行情况。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     启动Context。

context start [ force ]

1.9  为Context分配CPU/磁盘/内存资源

1.9.1  功能简介

缺省情况下，Context会共享设备上的CPU/磁盘/内存资源，为了防止一个Context过多的占用CPU/磁盘/内存，而导致其它Context无法运行，需要限制Context对CPU/磁盘/内存资源的使用。

1.9.2  为Context分配CPU权重

1. 功能简介

当CPU无法满足所有Context的处理需求时，系统将按照CPU权重值为每个Context分配处理时间。通过调整Context的权重，可以使指定的Context获得更多的CPU资源，保证关键业务的运行。例如：在三个Context中，将处理关键业务的Context的CPU权重设置为2，其余两个Context的CPU权重设置为1，则当CPU处理能力不足时，将为关键业务Context提供2倍于其它Context的处理时间。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     指定Context的CPU权重。

limit-resource cpu weight weight-value

缺省情况下，Context的CPU权重为10。

1.9.3  为Context分配磁盘空间上限

1. 配置限制和指导

建议在Context正常启动后再为Context分配磁盘空间上限，如果Context仅创建但未启动，那么磁盘使用值为0，此时如果配置磁盘空间上限的值小于Context启动后正常实际使用的值，可能导致Context不能正常启动。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     显示Context对磁盘资源的使用情况。

display context resource disk

(4)     配置Context可使用的磁盘空间上限。

limit-resource disk slot slot-number cpu cpu-number ratio limit-ratio

缺省情况下，Context可以使用物理设备上的所有空闲磁盘空间。

如果设备上有多块磁盘，该命令对所有磁盘生效。

本命令的支持情况与设备的型号有关，具体请参见命令参考。

1.9.4  为Context分配内存空间上限

1. 配置限制和指导

建议在Context正常启动后再为Context分配内存空间上限，如果Context仅创建未启动，可能会由于内存不足，造成Context无法正常启动。在Context启动后，配置的内存上限值还不应过小，以免Context内业务申请不到内存后引起功能不正常。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入Context视图。

context context-name

(3)     显示Context对内存资源的使用情况。

display context resource memory

(4)     配置Context可使用的内存空间上限。

limit-resource memory slot slot-number cpu cpu-number ratio limit-ratio

缺省情况下，所有Context共享物理设备上的所有内存空间，每个Context可使用的内存空间上限为空闲内存空间值。

1.10  访问和管理Context

1. 功能简介

只要用户和设备之间路由可达，就能使用switchto context命令，通过设备和Context的内部连接，登录Context。

除了上述方式，用户还可以通过Context上的接口，使用该Context的IP地址进行Telnet/SSH登录。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     登录Context。

switchto context context-name

用户登录Context后，可以在Context的用户视图执行quit命令来退出登录。此时，命令视图将从当前Context的用户视图返回到缺省Context的系统视图。

1.11  配置Context限速功能

1.11.1  配置Context限制广播报文速率

1. 功能简介

如果一个Context接收和处理的广播报文过多，将会导致其他Context处理业务能力的下降，因此需要限制Context接收广播报文的数量。

Context对入方向广播报文进行限速是通过整机接收报文限速和单个Context接收报文限速共同实现。当广播报文总速率和单个Context广播报文速率均达到各自的阈值后，发往此Context的广播报文会被设备丢弃，否则不会被丢弃。

2. 配置限制和指导

此功能仅限制入方向报文的速率。

此功能仅对使用共享接口且处于Active状态的Context生效。

当整机或单个Context广播限速阈值为零时表示不对广播报文限速。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置所有Context入方向广播报文的总速率限制。

context-capability inbound broadcast total pps threshold

缺省情况下，所有Context入方向广播报文总速率限制与设备型号有关，具体信息请参见命令参考手册。

(3)     配置缺省Context入方向广播报文的速率限制。

context-capability inbound broadcast single pps threshold

缺省情况下，缺省Context入方向广播报文限速速率为广播报文总速率阈值除以使用共享接口且处于Active状态的Context的总数。

(4)     进入Context视图。

context context-name

(5)     配置单个非缺省Context入方向广播报文的速率限制。

context-capability inbound broadcast single pps threshold

缺省情况下，单个非缺省Context入方向广播报文限速速率为广播报文总速率阈值除以使用共享接口且处于Active状态的Context的总数。

1.11.2  配置Context限制组播报文速率

1. 功能简介

如果一个Context接收和处理的组播报文过多，将会导致其他Context处理业务能力的下降，因此需要限制Context接收组播报文的数量。

Context对入方向组播报文进行限速是通过整机接收报文限速和单个Context接收报文限速共同实现。当广组播报文总速率和单个Context广组播报文速率均达到各自的阈值后，发往此Context的广组播报文会被设备丢弃，否则不会被丢弃。

2. 配置限制和指导

此功能仅限制入方向报文的速率。

此功能仅对使用共享接口且处于Active状态的Context生效。

当整机或单个Context组播限速阈值为零时表示不对组播报文进行限速。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置所有Context入方向组播报文的总速率限制。

context-capability inbound multicast total pps threshold

缺省情况下，所有Context入方向组播报文总速率限制与设备型号有关，具体信息请参见命令参考手册。

(3)     配置缺省Context入方向组播报文的速率限制。

context-capability inbound multicast single pps threshold

缺省情况下，缺省Context入方向组播报文限速速率为组播报文总速率阈值除以使用共享接口且处于Active状态的Context的总数。

(4)     进入Context视图。

context context-name

(5)     配置单个非缺省Context入方向组播报文的速率限制。

context-capability inbound multicast single pps threshold

缺省情况下，单个非缺省Context入方向组播报文限速速率为组播报文总速率阈值除以使用共享接口且处于Active状态的Context的总数。

1.11.3  开启Context限速丢包日志功能

1. 功能简介

开启此功能后，当Context接收到的广播报文或组播报文因达到系统设置的阈值而被丢弃时，设备将会对丢弃的报文生成日志信息。此日志信息将会被输出到信息中心模块处理，信息中心模块的配置将决定日志信息的发送规则和发送方向。有关信息中心的详细介绍，请参见“网络管理和监控配置指导”中的“信息中心”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启Context入方向报文限速丢包日志功能。

context-capability inbound drop-logging enable

缺省情况下，Context入方向报文限速丢包日志功能处于关闭状态。

1.12  配置设备单播报文的限速功能

1. 功能简介

当某一核CPU的实际使用率达到设置的阈值后，此核CPU将按照CPU最高主频的百分比的能力进行转发报文，超出此处理能力的报文将被丢弃，以达到将此核CPU使用率降低至阈值以下的目的。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置设备入方向单播报文的CPU限速阈值。

context-capability inbound unicast total cpu-usage threshold

缺省情况下，设备入方向单播报文的CPU限速阈值为95%。

1.13  收集各Context的日志信息

1. 功能简介

此功能可以收集logfile文件夹和diagfile文件夹下的所有文件。

2. 配置步骤

请在用户视图下执行本命令，收集各Context的日志信息

tar context [ name context-name ] log file filename

1.14  Context显示和维护

在完成Context相关配置后，在任意视图下执行display命令，可以显示配置后Context的运行情况，通过查看显示信息，来验证配置的效果。

在用户视图下，用户可以执行reset命令清除不在位的安全引擎的数据信息。

表1-1 Context显示和维护

操作	命令
显示Context的相关信息	display context [ name context-name ] [ verbose ]
显示Context内可分配业务资源的使用情况	display context [ name context-name ] capability [ security-policy | session [ slot slot-number ] | sslvpn-user ]
显示Context入方向广播报文的速率限制的统计信息	display context name context-name capability inbound broadcast slot slot-number
显示Context入方向组播报文的速率限制的统计信息	display context name context-name capability inbound multicast slot slot-number
显示设备入方向单播报文的速率限制的统计信息	display capability inbound unicast slot slot-number
显示各Context的配置信息	display context [ name context-name ] configuration [ file filename ]
显示为Context分配的接口列表	display context [ name context-name ] interface
显示所有Context内SSL VPN在线用户数	display context online-users sslvpn
显示Context对CPU/磁盘/内存资源的使用情况	display context [ name context-name ] resource [ cpu | disk | memory ] [ slot slot-number cpu cpu-number ]
显示Context内资源的统计信息	display context [ name context-name ] statistics [ file filename ]
显示Context的VLAN列表	display context [ name context-name ] vlan
清除Context入方向广播报文的速率限制的统计信息	reset context name context-name capability inbound broadcast slot slot-number
清除Context入方向组播报文的速率限制的统计信息	reset context name context-name capability inbound multicast slot slot-number

 

1.15  Context典型配置举例

1.15.1  Context基本组网配置举例

1. 组网需求

将设备Device虚拟成三台独立的Device：Context cnt1、Context cnt2、Context cnt3，并分给三个不同的用户网络进行安全防护。要求在用户侧看来，各自的接入设备是独享的。

·     LAN 1、LAN 2、LAN 3分别属于公司A、公司B、公司C，现各公司的网络均需要进行安全防护。公司A使用的网段为192.168.1.0/24，公司B使用的网段为192.168.2.0/24，公司C使用的网段为192.168.3.0/24。

·     公司A的用户多，业务需求复杂，因此需要给Context cnt1提供较大的磁盘/内存空间使用上限，以便保存配置文件、启动文件和系统信息等；对公司B使用系统缺省的磁盘空间即可；公司C人员规模小，上网流量比较少，对接入Device的配置及性能要求较低，因此对Context cnt3提供较低的CPU权重。

·     GigabitEthernet1/0/1和GigabitEthernet1/0/4分配给Context cnt1、GigabitEthernet1/0/2和GigabitEthernet1/0/5分配给Context cnt2、GigabitEthernet1/0/3和GigabitEthernet1/0/6分配给Context cnt3。

2. 组网图

图1-2 Context基本组网配置组网图

‌

3. 配置步骤

(1)     创建并配置Context cnt1，供公司A使用

# 创建Context cnt1，设置描述信息。

<Device> system-view

[Device] context cnt1

[Device-context-2-cnt1] description context-1

# 配置Context cnt1的磁盘和内存使用上限均为60%、CPU权重为8，具体配置步骤如下。

[Device-context-2-cnt1] limit-resource disk slot 1 cpu 0 ratio 60

[Device-context-2-cnt1] limit-resource memory slot 1 cpu 0 ratio 60

[Device-context-2-cnt1] limit-resource cpu weight 8

# 将接口GigabitEthernet1/0/1和GigabitEthernet1/0/4分配给Context cnt1。

[Device-context-2-cnt1] allocate interface gigabitethernet 1/0/1 gigabitethernet 1/0/4

Configuration of the interfaces will be lost. Continue? [Y/N]:y

# 启动Context cnt1。

[Device-context-2-cnt1] context start

It will take some time to start the context...

Context started successfully.

[Device-context-2-cnt1] quit

# 切换到Context cnt1。

[Device] switchto context cnt1

******************************************************************************

* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

******************************************************************************

 

<H3C> system-view

# 配置Telnet功能，保证管理用户可以正常登录设备，具体配置步骤请参考“基础配置指导”中的“登录设备”。

# 将Context cnt1的名称修改为cnt1，以便和其它Context区别。

[H3C] sysname cnt1

# 配置接口GigabitEthernet1/0/1的IP地址为192.168.1.251，供公司A的管理用户远程登录。

[cnt1] interface gigabitethernet 1/0/1

[cnt1-GigabitEthernet1/0/1] ip address 192.168.1.251 24

# 从自定义Context cnt1返回缺省Context。

[cnt1-GigabitEthernet1/0/1] return

<cnt1> quit

[Device]

(2)     创建并配置Context cnt2，供公司B使用

# 创建Context cnt2，设置描述信息

[Device] context cnt2

[Device-context-3-cnt2] description context-2

# 将接口GigabitEthernet1/0/2和GigabitEthernet1/0/5分配给Context cnt2。

[Device-context-3-cnt2] allocate interface gigabitethernet 1/0/2 gigabitethernet 1/0/5

Configuration of the interfaces will be lost. Continue? [Y/N]:y

# 启动Context cnt2。

[Device-context-3-cnt2] context start

It will take some time to start the context...

Context started successfully.

[Device-context-3-cnt2] quit

# 切换到Context cnt2。

[Device] switchto context cnt2

******************************************************************************

* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

******************************************************************************

 

<H3C> system-view

# 配置Telnet功能，保证管理用户可以正常登录设备，具体配置步骤请参考“基础配置指导”中的“登录设备”。

# 将Context cnt2的名称修改为cnt2，以便和其它Context区别。

[H3C] sysname cnt2

# 配置接口GigabitEthernet1/0/2的IP地址为192.168.2.251，供公司B的管理用户远程登录。

[cnt2] interface gigabitethernet 1/0/2

[cnt2-GigabitEthernet1/0/2] ip address 192.168.2.251 24

# 从自定义Context cnt2返回缺省Context。

[cnt2-GigabitEthernet1/0/2] return

<cnt2> quit

[Device]

(3)     创建并配置Context cnt3，供公司C使用

# 创建Context cnt3，设置描述信息

[Device] context cnt3

[Device-context-4-cnt3] description context-3

#配置Context cnt3的CPU权重为2。

[Device-context-4-cnt3] limit-resource cpu weight 2

# 将接口GigabitEthernet1/0/3和GigabitEthernet1/0/6分配给Context cnt3。

[Device-context-4-cnt3] allocate interface gigabitethernet 1/0/3 gigabitethernet 1/0/6

Configuration of the interfaces will be lost. Continue? [Y/N]:y

# 启动Context cnt3。

[Device-context-4-cnt3] context start

It will take some time to start the context...

Context started successfully.

[Device-context-4-cnt3] quit

# 切换到Context cnt3。

[Device] switchto context cnt3

******************************************************************************

* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

******************************************************************************

 

<H3C> system-view

# 配置Telnet功能，保证管理用户可以正常登录设备，具体配置步骤请参考“基础配置指导”中的“登录设备”。

# 将Context cnt3的名称修改为cnt3，以便和其它Context区别。

[H3C] sysname cnt3

# 配置接口GigabitEthernet1/0/3的IP地址为192.168.3.251，供公司C的管理用户远程登录。

[cnt3] interface gigabitethernet 1/0/3

[cnt3-GigabitEthernet1/0/3] ip address 192.168.3.251 24

# 从自定义Context cnt3返回缺省Context。

[cnt3-GigabitEthernet1/0/3] return

<cnt3> quit

[Device]

4. 验证配置

(1)     查看Context是否存在并且运转正常。（此时，Device上应该有四台处于正常工作active状态的Context）

[Device] display context

ID     Name             Status       Description

1      Admin            active       DefaultContext

2      cnt1             active       context-1

3      cnt2             active       context-2

4      cnt3             active       context-3

(2)     模拟公司A的管理用户登录到Context cnt1，可以查看本设备的当前配置。

C:\> telnet 192.168.1.251

******************************************************************************

* Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.*

* Without the owner's prior written consent,                                 *

* no decompiling or reverse-engineering shall be allowed.                    *

******************************************************************************

 

<cnt1> display current-configuration

……