H3C SecPath ACG1000系列应用控制网关 Web配置指导(R6616)-6W101

21-流控策略

1 流控策略

1.1 流控策略概述

流控策略是通过流量分析，对各种网络流量进行精细控制和调度的一种方法。

流控策略具有如下特点：

· 使用线路和通道，实现层次化的流控策略。

· 线路的流控功能支持动态生效和失效。

· 支持保障带宽和最大带宽。

· 支持弹性带宽或带宽借用，充分利用网络资源。

· 能够根据应用、服务、用户、地址对象等进行流量控制。

· 支持优先级，确保高优先级的应用能够获得带宽。

· 支持按IP及用户进行流量限速。

· 流控策略可以在指定的时间内生效。

· 流量监控可以查看各线路及通道当前流量速率。

· 流量监控支持查看个线路及通道当前和历史流量详情。

· 流控通道支持分级分权管理。

流控策略涉及的概念解释如表1-1所示：

表1-1 流控策略概念表

概念	解释
线路	一般和一个物理接口对应，说明数据流量从哪个接口出或入，才匹配该线路。
动态流控	线路或者接口流量大于设置的阈值时，该线路下的流控功能生效，以保证带宽使用。反之流控功能不生效。
通道	根据应用、服务、用户、地址对象等，虚拟的控制带宽单元的概念。
管理员分级分权	关闭时，具有流控策略权限的管理员可以管理所有线路、通道、限制通道和惩罚通道。开启时，根据管理员的级别来控制权限（管理员仅分为两级：超级管理员和普通管理员）。开启后，超级管理员可以为线路下的一级通道指定普通管理员。普通管理员只能在被指定的一级通道下创建和维护子通道（流量监控页面，排除策略的权限不受该开关限制）。
限制通道	根据接口、应用、服务、用户、地址对象等进行带宽限制的通道。
惩罚通道	当用户接入网络超过指定的时长或流量限额时进行惩罚的通道，只能在限额策略中引用。
保障带宽	当网络繁忙的时候，需要保证使用的带宽。
最大带宽	当网络空闲的时候，能够最大使用的带宽。
默认通道	未匹配用户指定通道的流量，按照默认通道进行流量控制。

图1-1 流控策略工作原理示意图

· ge0接口上行带宽为10M，市场部、财务部和研发部共享10M带宽，其中市场部的保障带宽为6M，研发部为4M，财务部保障带宽为0M。

· 即时聊天优先级最高，HTTP服务优先级次之，P2P服务优先级最低。

· 当研发部和市场部都在使用带宽的时候，市场部和研发部的保障带宽分别为6M和4M。

· 如果研发部和财务部不使用带宽，则市场部可以充分使用10M带宽资源。

· 即时聊天有较高优先级、P2P有较低优先级，因此即使P2P流量很大，也不会导致即时聊天丢包。

1.2 线路

线路是流量进出设备的物理接口。新建线路的操作方法如下：

(1) 选择“策略配置>流量控制策略”，选择流量控制页签查看设备上已有的线路。

管理员分级分权开关默认为关闭，关闭时，具有流控策略权限的管理员可以管理所有线路、通道、限制通道和惩罚通道。

开启时，根据管理员的级别来控制权限。

· 超级管理员：管理员admin或是拥有admin角色的管理员，控制流控策略的分级分权开关的开启和关闭，创建和修改线路和通道，为线路下的一级通道指定普通管理员。

· 普通管理员：手动创建的自定义角色的管理员被称之为普通管理员。

只能在被指定的一级通道下创建和维护子通道（流量监控页面，排除策略的权限不受该开关限制）。

管理员分为两级：超级管理员和普通管理员。

管理员分级分权开关只有管理员admin或者具有admin角色的管理员能够控制。

普通管理员登录后该开关状态置灰。

(2) 点击<新建>并从下拉框选择线路，编辑相关信息，点击<提交>即可创建线路。

图1-2 线路设置页面

表1-2 线路设置详细配置

标题项	说明
启用	是否启用线路规则。
名称	输入线路的名称。1~63字符。
绑定接口	线路绑定的接口，一个接口仅能够和一个线路绑定。
带宽管理（出）	配置接口出方向带宽，单位可以选择Kb/Mb/Gb。
带宽管理（入）	配置接口入方向带宽，单位可以选择Kb/Mb/Gb。
动态流控	是否启用动态流控功能，默认为关闭。启用动态流控功能后，线路或者接口流量值大于设置的阈值时，流控功能生效，以保证带宽使用；线路或者接口流量值小于等于设置的阈值时，流控功能不生效，以保证带宽资源充分使用。
统计方式	设置动态流控监控方式，可以选择监控接口流量或者监控线路流量。
持续监控时间	速率持续的时间，时间范围在2-30秒，无默认值。
带宽使用阈值（出）	配置该线路的出方向监控带宽阈值，单位可以选择Kb/Mb/Gb。
带宽使用阈值（入）	配置该线路的入方向监控带宽阈值，单位可以选择Kb/Mb/Gb。

· 线路的出方向带宽是指该接口发送报文方向的带宽。

· 线路的入方向带宽是指该接口接收报文方向的带宽。

1.3 通道

设备以通道为单位对出入物理线路的流量进行划分，并根据通道的策略配置对通道内的流量进行管控。为方便配置，系统支持多级通道，即线路中的每个通道还可以包含子通道。可以通过多级通道的方式将不同属性的流量限制在一定的带宽内，保障重要的用户或应用优先使用线路带宽。

(1) 在“流量控制”列表中点击线路名称左侧的图标展开查看线路下配置的通道。

选择线路或通道，点击<新建>并从下拉框选择通道创建新的通道，新建通道可以归属于线路，也可以归属于其他通道，即嵌套于上级通道的子通道，如图1-3所示。通道详细配置说明，如表1-3所示。

图1-3 通道配置页面

表1-3 通道详细配置

标题项	说明
启用	启用通道。
名称	通道的名称。
上一级	父通道或线路。
级别	通道的优先级，优先级高的通道，就有更多可能借用上级父通道的带宽，共有高、中、低三个优先级级别。
最大带宽（出）	该通道的上行最大带宽，不能大于其上级通道的带宽，支持百分比配置，当线路带宽改变后，该带宽也会按百分比自动做相应调整。
上行保障带宽	通道的上行最大保障带宽，不能大于其上级通道的保障带宽。支持百分比配置，当线路带宽改变后，该带宽也会按百分比自动做相应调整。
最大带宽（入）	该通道的下行最大带宽，不能大于其上级通道的带宽。支持百分比配置，当线路带宽改变后，该带宽也会按百分比自动做相应调整。
下行保障带宽	通道的下行最大保障带宽，不能大于其上级通道的保障带宽。支持百分比配置，当线路带宽改变后，该带宽也会按百分比自动做相应调整。
每终端限速配置	选择限速的对象：每IP限速：根据IP地址进行限速。每用户限速：根据用户名进行限速。
出	每终端流量限制的上行流量的最大带宽。
入	每终端流量限制的下行流量的最大带宽。
匹配用户/组	流量控制匹配的用户对象或用户组名称。
匹配应用	流量控制匹配的应用对象名称。
服务	流量控制匹配的服务对象名称。
源地址	流量控制匹配的源地址对象。
目的地址	流量控制匹配的目的地址对象。
终端型号	选择终端型号，默认为any。此功能依赖于第三方用户同步中的ddi终端用户功能，需要将终端型号信息同步给设备。
时间	流量控制匹配的时间对象。
VLAN	选择策略匹配的虚拟局域网，any表示所有。可配置的范围为0~4094，单个/范围(用-连接)，多项用,隔开，最多可配置8组。
DSCP	选择策略匹配的差分服务代码点，any表示所有。可配置的范围为0~63，单个/范围(用-连接)，多项用,隔开，最多可配置8组。
管理员	选择指定管理员来管理通道，需要预先创建管理员用户，有关管理员的配置信息请参考系统管理章节管理员配置。

· 管理员分级分权开关开启后，才在线路下的一级通道中会显示管理员匹配条件，其他通道不显示该匹配条件。

· 管理员分级分权开关关闭后，管理员匹配条件不可见。

1.4 限制通道

在导航栏中选择“策略配置 > 流量控制策略 > 流量控制”，单击<新建>按钮，选择<限制通道>进入限制通道配置页面，如图1-4所示。限制通道详细配置说明，如表1-4所示。

图1-4 限制通道

表1-4 限制通道详细配置

标题项	说明
启用	启用限制通道。
名称	限制通道的名称。
带宽设定	设定限制通道的总带宽。
出	限制通道上行流量总带宽。
入	限制通道下行流量总带宽。
每终端限速配置	选择限速的对象：每IP限速：根据IP地址进行限速。每用户限速：根据用户名进行限速。
出	每终端流量限制的上行流量的最大带宽。
入	每终端流量限制的下行流量的最大带宽。
接口	限制通道绑定的接口。
匹配用户/组	流量控制匹配的用户对象或用户组名称。
匹配应用	流量控制匹配的应用对象名称。
服务	流量控制匹配的服务对象名称。
源地址	流量控制匹配的源地址对象。
目的地址	流量控制匹配的目的地址对象。
时间	流量控制匹配的时间对象。
VLAN	选择策略匹配的虚拟局域网，any表示所有。可配置的范围为0~4094，单个/范围(用-连接)，多项用,隔开，最多可配置8组。
DSCP	选择策略匹配的差分服务代码点，any表示所有。可配置的范围为0~63，单个/范围(用-连接)，多项用,隔开，最多可配置8组。

限制通道是实现带宽限速的通道，不依赖于线路，可以直接绑定接口，且限制通道匹配优先级高于通道优先级。

1.5 惩罚通道

惩罚通道是用户上网流量或时长超过设置阈值时进行惩罚限速处理的通道。惩罚通道不依赖于线路及接口，只能被限额策略引用，当用户达到限额阈值时流量才会被引流到相应的惩罚通道。有关用户限额策略配置的更多信息请参考用户限额策略章节。

在导航栏中选择“策略配置 > 流量控制策略 > 流量控制”，单击<新建>按钮，选择<惩罚通道>进入惩罚通道配置页面，如图1-5所示。惩罚通道详细配置说明，如表1-5所示。

图1-5 惩罚通道

表1-5 惩罚通道详细配置

标题项	说明
名称	限制通道的名称。
带宽设定	设定惩罚通道的总带宽。
出	惩罚通道上行流量总带宽。
入	惩罚通道下行流量总带宽。
每终端限速配置	选择限速的对象：每IP限速：根据IP地址进行限速。每用户限速：根据用户名进行限速。
出	每终端流量限制的上行流量的最大带宽。
入	每终端流量限制的下行流量的最大带宽。

惩罚通道是实现当用户上网流量或时长超过设置阈值时进行惩罚限速处理的通道，不依赖于线路，也不依赖于接口，只能被限额策略引用，当用户达到限额阈值时才会进入相应的惩罚通道。

1.6 排除策略

在导航栏中选择“策略配置 > 流量控制策略 > 排除策略”，单击<新建>按钮进入排除策略配置页面，如图1-6所示。排除策略详细配置说明，如表1-6所示。

图1-6 排除策略

表1-6 排除策略详细配置

标题项	说明
用户	用户或用户组对象，点击“选择用户”会弹出用户选择框。
源地址	地址或地址组对象。
目的地址	地址或地址组对象。