目  录

1 IP性能优化

1.1 IP性能优化配置任务简介

1.2 配置允许接口接收和转发直连网段的定向广播报文

1.3 配置接口发送IPv4报文的MTU

1.4 开启IP分片报文本地重组功能

1.5 开启IP虚拟分片重组功能

1.6 开启IPv4虚拟分片透传功能

1.7 强制关闭IPv4虚拟分片重组功能

1.8 开启IPv6虚拟分片透传功能

1.9 强制关闭IPv6虚拟分片重组功能

1.10 配置DF标记位处理方式

1.11 配置ICMP差错报文发送功能

1.11.1 功能简介

1.11.2 开启ICMP重定向报文发送功能

1.11.3 开启ICMP超时报文发送功能

1.11.4 开启ICMP目的不可达报文发送功能

1.12 配置发送ICMP差错报文对应的令牌刷新周期和令牌桶容量

1.13 指定ICMP报文源地址

1.14 配置接口的TCP最大报文段长度

1.15 配置TCP连接的Path MTU探测功能

1.16 开启SYN Cookie功能

1.17 配置TCP连接的缓冲区大小

1.18 配置TCP定时器

1.19 配置发送TCP报文时添加TCP时间戳选项信息

1.20 IP性能优化显示和维护

 

1 IP性能优化

1.1  IP性能优化配置任务简介

如下所有配置均为可选，请根据实际情况选择配置。

·     配置IP报文功能

¡     配置允许接口接收和转发直连网段的定向广播报文

¡     配置接口发送IPv4报文的MTU

¡     开启IP分片报文本地重组功能

本功能适用于IRF组网环境。

¡     开启IP虚拟分片重组功能

¡     开启IPv4虚拟分片透传功能

¡     强制关闭IPv4虚拟分片重组功能

¡     开启IPv6虚拟分片透传功能

¡     强制关闭IPv6虚拟分片重组功能

¡     配置DF标记位处理方式

·     配置ICMP报文功能

¡     配置ICMP差错报文发送功能

¡     配置发送ICMP差错报文对应的令牌刷新周期和令牌桶容量

¡     指定ICMP报文源地址

·     配置TCP报文功能

¡     配置接口的TCP最大报文段长度

¡     配置TCP连接的Path MTU探测功能

¡     开启SYN Cookie功能

¡     配置TCP连接的缓冲区大小

¡     配置TCP定时器

¡     配置发送TCP报文时添加TCP时间戳选项信息

1.2  配置允许接口接收和转发直连网段的定向广播报文

1. 功能简介

定向广播报文是指发送给特定网络的广播报文。该报文的目的IP地址中网络号码字段为特定网络的网络号，主机号码字段为全1。

接口接收和转发直连网段的定向广播报文包括以下几种情况：

·     在接收定向广播报文的情况下，如果在接口上配置了此命令，设备允许接收此接口直连网段的定向广播报文。

·     在转发定向广播报文的情况下，如果在接口上配置了此命令，设备从其他接口接收到目的地址为此接口直连网段的定向广播报文时，会从此接口转发此类报文。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置允许接口接收和转发面向直连网段的定向广播报文。

ip forward-broadcast

缺省情况下，设备禁止转发直连网段的定向广播报文；设备允许接收直连网段的定向广播报文。

1.3  配置接口发送IPv4报文的MTU

1. 功能简介

当设备使用某个接口发送报文时，发现报文长度大于该接口的发送IPv4报文的MTU值，则进行下列处理：

·     如果报文不允许分片，则将报文丢弃；

·     如果报文允许分片，则将报文进行分片转发。

为了减轻转发设备在传输过程中的分片和重组数据包的压力，更高效的利用网络资源，请根据实际组网环境设置合适的接口MTU值，以减少分片的发生。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置发送IPv4报文的MTU。

ip mtu mtu-size

缺省情况下，未配置接口发送IPv4报文的MTU。

1.4  开启IP分片报文本地重组功能

1. 功能简介

当某单板收到目的为本设备的IP分片报文时，需要把分片报文送到主用主控板进行重组，这样会导致报文重组性能较低的问题。当开启IP分片报文本地重组功能后，分片报文会在该单板直接进行报文重组，这样就能提高报文的重组性能。开启IP分片报文本地重组功能后，如果分片报文是从设备上不同的单板进入的，会导致IP分片报文本地无法重组成功。

多台设备组成的IRF环境下，当某成员设备收到目的为本IRF设备的IP分片报文时，需要把分片报文送到主设备进行重组，这样会导致报文重组性能较低的问题。当开启IP分片报文本地重组功能后，分片报文会在该成员设备上直接进行报文重组，这样就能提高分片报文的重组性能。开启IP分片报文本地重组功能后，如果分片报文是从设备上不同的成员设备进入的，会导致IP分片报文本地无法重组成功。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启IP分片报文本地重组功能。

ip reassemble local enable

缺省情况下，IP分片报文本地重组功能处于关闭状态。

1.5  开启IP虚拟分片重组功能

1. 功能简介

为了避免由于后片先到（报文分片后）的情况而导致设备重组分片报文复杂度过高的问题，设备需要对收到的分片报文先进行虚拟分片重组。IP虚拟分片重组功能可以对分片报文进行检验、排序和缓存，保证后续的报文重组功能处理的都是顺序正确的分片报文。

同时，IP虚拟分片重组功能还可以对下面几种分片攻击进行检测。如果检测到分片攻击，则设备会丢弃收到的分片报文，从而提高了设备的安全性。

·     Tiny Fragment攻击：如果设备收到分片报文的首片长度非常小，并且传输层协议（如：TCP、UDP）头字段放在第二个分片中，则认为是受到了Tiny Fragment攻击；

·     Overlapping Fragment攻击：如果设备收到了完全相同的分片报文，或者收到的分片报文与其前一分片或后一分片出现重叠时，则认为是受到了Overlapping Fragment攻击；

·     Fragment-flood攻击：如果设备收到的分片报文个数超过了指定的队列允许的最大分片报文个数或者设备上创建的分片队列个数超过了指定的最大分片队列个数，则认为是受到了Fragment-flood攻击。

2. 配置限制和指导

IP虚拟分片重组功能的开启或关闭支持业务调用和命令行控制两种方式，命令行控制方式主要适用于不存在可调用IP虚拟分片重组功能的业务，但需要进行报文重组的组网环境中。这两种方式的结果不会互相影响，即只要有任意一个业务调用本功能或执行ip virtual-reassembly enable命令开启本功能后，功能就处于开启状态。执行ip virtual-reassembly suppress命令强制关闭IP虚拟分片重组功能后，通过以上两种方式开启的功能均会被强制关闭。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启IP虚拟分片重组功能。

ip virtual-reassembly enable

缺省情况下，IP虚拟分片重组功能处于关闭状态。

1.6  开启IPv4虚拟分片透传功能

1. 功能简介

在高可靠性组网环境下，如果设备上开启了IPv4虚拟分片重组功能，当出现同一条流的分片报文分别到达了两个设备的情况时，每个设备上收到的分片报文都不完整，IPv4虚拟分片重组功能无法对不完整的分片报文进行重组，因此会对分片报文进行丢弃。配置本命令后，未收到首个分片的设备，会将接收到的分片报文全部透传给收到同一条流首片报文所在的设备，实现同一条流的分片报文在一个设备上集中处理，即IPv4虚拟分片重组。

2. 配置限制和指导

在非高可靠性组网环境中，或者设备上未开启IPv4虚拟分片重组功能，不建议配置本功能。

有关高可靠性组网，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

本功能在三层转发加INLINE转发的场景下生效，且不支持隧道功能。关于INLINE转发的详情请参考“二层技术-以太网交换配置指导”中的“二层转发”。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启IPv4虚拟分片透传功能。

ip virtual-reassembly centralize

缺省情况下，IPv4虚拟分片透传功能处于关闭状态。

1.7  强制关闭IPv4虚拟分片重组功能

1. 功能简介

IPv4虚拟分片重组功能可以提前对到达设备的分片报文进行检验、排序和缓存。开启IPv4虚拟分片重组功能，可以保证后续的报文重组功能处理的都是顺序正确的分片报文。

在高可靠性组网环境中，如果出现同一条流的分片报文分别到达了两个设备的情况，则每个设备上收到的分片报文都不完整，此时设备的IPv4虚拟分片重组功能无法对不完整的分片报文进行重组，因此会对其进行丢弃。

如果需要设备对接收到不完整的分片报文进行放行，则可以强行关闭设备的IPv4虚拟分片重组功能，此时通过业务调用和执行ip virtual-reassembly enable命令行控制方式开启的IPv4虚拟分片重组功能均会被关闭。

对于已配置ASPF、连接数限制业务的设备，配置本功能后，ASPF、连接数限制业务将不会对分片报文进行校验，而是直接放行。

2. 配置限制和指导

本命令仅对三层转发的安全策略业务生效，关于安全策略的详请请参见“安全配置指导”中的“安全策略”。请明确实际组网对分片报文重组功能的需求后，谨慎配置本功能。

有关高可靠性组网，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     强制关闭IPv4虚拟分片重组功能。

ip virtual-reassembly suppress

缺省情况下，强制关闭IP虚拟分片重组功能处于关闭状态。

1.8  开启IPv6虚拟分片透传功能

1. 功能简介

在高可靠性组网环境下，如果设备上开启了IPv6虚拟分片重组功能，当出现同一条流的分片报文分别到达了两个设备的情况时，每个设备上收到的分片报文都不完整，IPv6虚拟分片重组功能无法对不完整的分片报文进行重组，因此会对分片报文进行丢弃。配置本命令后，未收到首个分片的设备，会将接收到的分片报文全部透传给收到同一条流首片报文所在的设备，实现同一条流的分片报文在一个设备上集中处理，即IPv6虚拟分片重组。

2. 配置限制和指导

在非高可靠性组网环境中，或者设备上未开启IPv6虚拟分片重组功能，不建议配置本功能。

有关高可靠性组网，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启IPv6虚拟分片透传功能。

ipv6 virtual-reassembly centralize

缺省情况下，IPv6虚拟分片透传功能处于关闭状态。

1.9  强制关闭IPv6虚拟分片重组功能

1. 功能简介

IPv6虚拟分片重组功能可以提前对到达设备的分片报文进行检验、排序和缓存。开启IPv6虚拟分片重组功能，可以保证后续的报文重组功能处理的都是顺序正确的分片报文。

在高可靠性组网环境中，如果出现同一条流的分片报文分别到达了两个设备的情况，则每个设备上收到的IPv6分片报文都不完整，此时设备的IPv6虚拟分片重组功能无法对不完整的分片报文进行重组，因此会对其进行丢弃。

如果需要设备对接收到不完整的分片报文进行放行，则可以强行关闭设备的IPv6虚拟分片重组功能。

对于已配置ASPF、连接数限制业务的设备，配置本命令后，ASPF、连接数限制业务将不会对分片报文进行校验，而是直接放行。

2. 配置限制和指导

请明确实际组网对分片报文重组功能的需求后，谨慎配置本功能。

有关高可靠性组网，请参见“高可靠性配置指导”中的“双机热备（RBM）”。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     强制关闭IPv6虚拟分片重组功能。

ipv6 virtual-reassembly suppress

缺省情况下，强制关闭IPv6虚拟分片重组功能处于关闭状态。

1.10  配置DF标记位处理方式

1. 功能简介

设备转发IP报文时，由于链路MTU值可能会对IP报文进行分片。如果设备收到携带DF（Don’t Fragment，不分片）标记的IP报文，设备不会转发该IP报文，但会向报文发送端发送ICMP差错报文，这样会导致通信中断。

当用户在设备上配置IP报文DF标志位后，设备会直接修改IP报文中的DF标志位，使得该IP报文可以被分片转发。

配置本功能后，设备会修改所有转发IP报文的DF标志位，不会修改本设备生成的IP报文的DF标志位。

2. 硬件适配关系

本特性的支持情况与设备型号有关，请以设备实际情况为准。

F1000系列	型号	说明
F1000-X-G5系列	F1000-A-G5、F1000-C-G5、F1000-C-G5-LI、F1000-E-G5、F1000-H-G5、F1000-S-G5	支持
F1000-X-G3系列	F1000-A-G3、F1000-C-G3、F1000-E-G3、F1000-S-G3	支持
F1000-X-G2系列	F1000-A-G2、F1000-C-G2、F1000-E-G2、F1000-S-G2	支持
F1000-9X0-AI系列	F1000-9390-AI、F1000-9385-AI、F1000-9380-AI、F1000-9370-AI、F1000-9360-AI、F1000-9350-AI、F1000-9310-AI、F1000-9305-AI、F1000-990-AI、F1000-980-AI、F1000-970-AI、F1000-960-AI、F1000-950-AI、F1000-930-AI、F1000-920-AI、F1000-910-AI、F1000-905-AI	支持
	F1000-9330-AI、F1000-9320-AI	不支持
F1000-C83X0系列	F1000-C8395、F1000-C8390、F1000-C8385、F1000-C8380、F1000-C8370、F1000-C8360、F1000-C8350、F1000-C8320、F1000-C8310、F1000-C8305	支持
	F1000-C8330	不支持
F1000-C81X0系列	F1000-C8180、F1000-C8170、F1000-C8160、F1000-C8150、F1000-C8130、F1000-C8120、F1000-C8110	支持
F1000-7X0-HI系列	F1000-770-HI、F1000-750-HI、F1000-740-HI、F1000-720-HI、F1000-710-HI	支持
	F1000-730-HI	不支持
F1000-C-X系列	F1000-C-EI、F1000-C-HI、F1000-C-XI、F1000-E-XI	支持
F1000-V系列	F1000-E-VG、F1000-S-VG	支持
SecBlade IV	LSPM6FWD8、LSQM2FWDSC8	支持

 

F100系列	型号	说明
F100-X-G5系列	F100-C-G5、F100-C-G5-EI、F100-C-G5-SI、F100-E-G5 、F100-M-G5、F100-S-G5	支持
	F100-A-G5、F100-M-G5-EI	不支持
F100-X-G3系列	F100-A-G3、F100-C-G3、F100-E-G3 、F100-M-G3、F100-S-G3	支持
F100-X-G2系列	F100-A-G2、F100-C-G2、F100-E-G2、F100-M-G2、F100-S-G2	支持
F100-WiNet系列	F100-A80-WiNet、F100-C80-WiNet、F100-C60-WiNet、F100-C50-WiNet、F100-S80-WiNet、F100-A81-WiNet	支持
	F100-A91-WiNet	不支持
F100-C-A系列	F100-C-A6、F100-C-A5、F100-C-A3、F100-C-A2、F100-C-A1、F100-C-A6-WL、F100-C-A5-W、F100-C-A3-W	支持
F100-X-XI系列	F100-A-EI、F100-A-HI、F100-A-SI、F100-A-XI、F100-C-EI、F100-C-HI、F100-C-XI、F100-E-EI、F100-S-HI、F100-S-XI	支持

 

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置DF标记位处理方式。

ip df-bit { clear | set }

缺省情况下，保留当前IP报文DF标志位取值。

1.11  配置ICMP差错报文发送功能

1.11.1  功能简介

ICMP报文通常被网络层或传输层协议用来在异常情况发生时通知相应设备，从而便于进行控制管理。ICMP差错报文的发送虽然方便了网络的控制管理，但是也存在缺陷：发送大量的ICMP报文，增大网络流量；如果有用户发送ICMP差错报文进行恶意攻击，会导致设备性能下降或影响正常工作。为了避免上述现象发生，缺省情况下，ICMP差错报文发送功能处于关闭状态，用户可以根据需要开启ICMP差错报文发送功能。

ICMP差错报文包括重定向报文、超时报文和目的不可达报文。

1.11.2  开启ICMP重定向报文发送功能

1. 功能简介

ICMP重定向报文发送功能可以简化主机的管理，使具有很少选路信息的主机逐渐建立较完善的路由表，从而找到最佳路由。

主机启动时，它的路由表中可能只有一条到缺省网关的缺省路由。当满足一定的条件时，缺省网关会向源主机发送ICMP重定向报文，通知主机重新选择正确的下一跳进行后续报文的发送。

同时满足下列条件时，设备会发送ICMP重定向报文：

·     接收和转发数据报文的接口是同一接口；

·     报文的源IP地址和报文接收接口的IP地址在同一个网段；

·     数据报文中没有源路由选项。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启ICMP重定向报文发送功能。

ip redirects enable

缺省情况下，ICMP重定向报文发送功能处于关闭状态。

1.11.3  开启ICMP超时报文发送功能

1. 功能简介

ICMP超时报文发送功能是在设备收到IP数据报文后，如果发生超时差错，则将报文丢弃并给源端发送ICMP超时差错报文。

设备在满足下列条件时会发送ICMP超时报文：

·     设备收到IP数据报文后，如果报文的目的地不是本地且报文的TTL字段是1，则发送“TTL超时”ICMP差错报文；

·     设备收到目的地址为本地的IP数据报文的第一个分片后，启动定时器，如果所有分片报文到达之前定时器超时，则会发送“重组超时”ICMP差错报文。

2. 配置限制和指导

关闭ICMP超时报文发送功能后，设备不会再发送“TTL超时”ICMP差错报文，但“重组超时”ICMP差错报文仍会正常发送。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启ICMP超时报文发送功能。

ip ttl-expires enable

缺省情况下，ICMP超时报文发送功能处于关闭状态。

1.11.4  开启ICMP目的不可达报文发送功能

1. 功能简介

ICMP目的不可达报文发送功能是在设备收到IP数据报文后，如果发生目的不可达的差错，则将报文丢弃并给源端发送ICMP目的不可达差错报文。

设备在满足下列条件时会发送目的不可达报文：

·     设备在转发报文时，如果在路由表中未找到对应的转发路由，且路由表中没有缺省路由，则给源端发送“网络不可达”ICMP差错报文；

·     设备收到目的地址为本地的数据报文时，如果设备不支持数据报文采用的传输层协议，则给源端发送“协议不可达”ICMP差错报文；

·     设备收到目的地址为本地、传输层协议为UDP的数据报文时，如果报文的端口号与正在使用的进程不匹配，则给源端发送“端口不可达”ICMP差错报文；

·     源端如果采用“严格的源路由选择”发送报文，当中间设备发现源路由所指定的下一个设备不在其直接连接的网络上，则给源端发送“源站路由失败”的ICMP差错报文；

·     设备在转发报文时，如果转发接口的MTU小于报文的长度，但报文被设置了不可分片，则给源端发送“需要进行分片但设置了不分片比特”ICMP差错报文。

2. 配置限制和指导

设备开启DHCP服务后，在未发送ICMP回显请求（ECHO-REQUEST）报文情况下，收到非法ICMP回显应答（ECHO-REPLY）报文，此时设备不会回应“协议不可达”ICMP差错报文。执行dhcp enable命令可以开启DHCP服务，关于dhcp enable的详细介绍，请参见“三层技术-IP业务命令参考”中的“DHCP”。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启ICMP目的不可达报文发送功能。

ip unreachables enable

缺省情况下，ICMP目的不可达报文发送功能处于关闭状态。

1.12  配置发送ICMP差错报文对应的令牌刷新周期和令牌桶容量

1. 功能简介

如果网络中短时间内发送的ICMP差错报文过多，将可能导致网络拥塞。为了避免这种情况，用户可以控制设备在指定时间内发送ICMP差错报文的最大数目，目前采用令牌桶算法来实现。

用户可以设置令牌桶的容量，即令牌桶中可以同时容纳的令牌数；同时可以设置令牌桶的刷新周期，即每隔多长时间发放一个令牌到令牌桶中，直到令牌桶中的令牌数达到配置的容量。一个令牌表示允许发送一个ICMP差错报文，每当发送一个ICMP差错报文，则令牌桶中减少一个令牌。如果连续发送的ICMP差错报文超过了令牌桶的容量，则后续的ICMP差错报文将不能被发送出去，直到按照所设置的刷新频率将新的令牌放入令牌桶中。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置发送ICMP差错报文对应的令牌刷新周期和令牌桶容量。

ip icmp error-interval interval [ bucketsize ]

缺省情况下，令牌刷新周期为100毫秒，令牌桶容量为10。

刷新周期为0时，表示不限制ICMP差错报文的发送。

1.13  指定ICMP报文源地址

1. 功能简介

在网络中IP地址配置较多的情况下，收到ICMP报文时，用户很难根据报文的源IP地址判断报文来自哪台设备。为了简化这一判断过程，可以指定ICMP报文源地址。用户配置特定地址（如环回口地址）为ICMP报文的源地址，可以简化判断。

设备发送ICMP差错报文（TTL超时、端口不可达和参数错误等）和ping echo request报文时，都可以通过上述命令指定报文的源地址。

2. 配置限制和指导

用户发送ping echo request报文时，如果ping命令中已经指定源地址，则使用该源地址，否则使用ip icmp source配置的源地址。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     指定ICMP报文源地址。

ip icmp source [ vpn-instance vpn-instance-name ] ip-address

缺省情况下，未指定ICMP报文源地址。

发送ICMP差错报文（TTL超时、端口不可达和参数错误等）时，设备使用触发ICMP差错报文的原始报文的入接口IP地址作为ICMP报文源地址。

发送ICMP echo request报文时，设备使用出接口IP地址作为ICMP报文源地址。

发送ICMP echo reply报文时，设备使用ICMP echo request报文的目的地址作为ICMP报文源地址。

1.14  配置接口的TCP最大报文段长度

1. 功能简介

TCP最大报文段长度（Maximum Segment Size，MSS）表示TCP连接的对端发往本端的最大TCP报文段的长度，目前作为TCP连接建立时的一个选项来协商：当一个TCP连接建立时，连接的双方要将MSS作为TCP报文的一个选项通告给对端，对端会记录下这个MSS值，后续在发送TCP报文时，会限制TCP报文的大小不超过该MSS值。当对端发送的TCP报文的长度小于本端的TCP最大报文段长度时，TCP报文不需要分段；否则，对端需要对TCP报文按照最大报文段长度进行分段处理后再发给本端。

2. 配置限制和指导

·     用户可以通过下面的命令配置接口的TCP最大报文段长度，配置后该接口接收和发送的TCP报文的大小都不能超过该值。

·     该配置仅对新建的TCP连接生效，对于配置前已建立的TCP连接不生效。

·     该配置仅对IP报文生效。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     配置接口的TCP最大报文段长度。

tcp mss value

缺省情况下，未配置接口的TCP最大报文段长度。

1.15  配置TCP连接的Path MTU探测功能

1. 功能简介

通过开启TCP连接的Path MTU探测功能，用户可确定TCP路径上从源端到目的端的最小MTU（Path MTU），按照Path MTU组织TCP分段长度，避免IP分片的发生。为了在Path MTU增大时，减少资源浪费，可以开启Path MTU老化定时器，保证设备尽量按照TCP路径允许的最大报文长度发送数据。

RFC 1191中规定的TCP连接的Path MTU探测机制如下：

(1)     TCP源端将发送的TCP数据段的外层IP报文设置DF（不可分片）标记。

(2)     如果TCP路径上某路由器的出接口MTU值小于该IP报文长度，则会丢弃报文，并给TCP源端发送ICMP差错报文，报文中会携带该出接口MTU值。

(3)     TCP源端通过解析该ICMP差错报文，可知TCP路径上当前最小的单向MTU值。

(4)     后续TCP源端发送数据段的长度不超过MSS。其中，MSS＝最小MTU值－IP头部长度－TCP头部长度。

当MSS已经达到系统规定的最小的32字节后，如果再次收到减少MSS的ICMP差错报文，系统将允许该TCP连接发送的报文进行分片。

产生ICMP差错报文的路由器可能不支持RFC 1191，其产生的ICMP差错报文中的出接口MTU字段值为0，对于这种报文，TCP源端将按照RFC 1191中规定的MTU表获取比当前路径MTU更小的值作为计算TCP MSS的基础。MTU表的内容为（单位为字节）：68、296、508、1006、1280、1492、2002、4352、8166、17914、32000、65535（由于系统规定的TCP最小MSS为32，所以对应最小的MTU实际为72字节）。

Path MTU的老化机制如下：

·     当TCP源端收到ICMP差错报文后，除了减小Path MTU值，同时会为该Path MTU值启动老化定时器。

·     当该定时器超时后，系统将按照RFC 1191规定的MTU表依次递增TCP的MSS值。

·     如果增加一次MSS之后的2分钟内未收到ICMP差错报文，则继续递增，直到MSS增长到对端在TCP三次握手阶段通告的MSS值。

2. 配置准备

TCP连接的Path MTU探测功能依赖IP报文的DF标记位设置后触发ICMP差错报文，因此需要TCP路径上的所有设备打开ICMP差错报文发送功能（ip unreachables enable），以确保ICMP差错报文可以发送到TCP源端。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启TCP连接的Path MTU探测功能。

tcp path-mtu-discovery [ aging age-time | no-aging ]

缺省情况下，TCP连接的Path MTU探测功能处于关闭状态。

1.16  开启SYN Cookie功能

1. 功能简介

SYN Cookie功能用来防止SYN Flood攻击。SYN Flood攻击中，攻击者向设备发送大量请求建立TCP连接的SYN报文，而不回应设备的SYN ACK报文，导致设备上建立了大量的TCP半连接。从而，达到耗费设备资源，使设备无法处理正常业务的目的。配置SYN Cookie功能后，当设备收到TCP连接请求时，不建立TCP半连接，而直接向发起者回复SYN ACK报文。设备接收到发起者回应的ACK报文后，建立连接，并进入ESTABLISHED状态。通过这种方式，可以避免在设备上建立大量的TCP半连接，防止设备受到SYN Flood攻击。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启SYN Cookie功能。

tcp syn-cookie enable

缺省情况下，SYN Cookie功能处于关闭状态。

1.17  配置TCP连接的缓冲区大小

(1)     进入系统视图。

system-view

(2)     配置TCP连接的接收和发送缓冲区的大小。

tcp window window-size

缺省情况下，TCP连接的接收和发送缓冲区大小为63KB。

1.18  配置TCP定时器

1. TCP定时器简介

可以配置的TCP定时器包括：

·     synwait定时器：当发送SYN报文时，TCP启动synwait定时器和重传SYN报文定时器，当synwait定时器超时且SYN报文重传未达到最大次数时，如果设备未收到回应报文，则TCP连接建立不成功；当synwait定时器未超时但是SYN报文重传达到最大次数时，如果设备未收到回应报文，则TCP连接建立不成功。

·     finwait定时器：当TCP的连接状态为FIN_WAIT_2时，启动finwait定时器，如果在定时器超时前未收到报文，则TCP连接终止；如果收到FIN报文，则TCP连接状态变为TIME_WAIT状态；如果收到非FIN报文，则从收到的最后一个非FIN报文开始重新计时，在超时后中止连接。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置TCP的synwait定时器超时时间。

tcp timer syn-timeout time-value

缺省情况下，synwait定时器超时时间为75秒。

(3)     配置TCP的finwait定时器超时时间。

tcp timer fin-timeout time-value

缺省情况下，finwait定时器超时时间为675秒。

1.19  配置发送TCP报文时添加TCP时间戳选项信息

1. 功能简介

TCP报文中携带TCP时间戳选项信息时，建立TCP连接的两台设备通过TCP报文中的时间戳字段就可计算出RTT（Round Trip Time，往返时间）值。在某些组网中，由于安全隐患，需要防止TCP连接上的中间设备获取到TCP时间戳信息，可以在建立TCP连接任意一端关闭发送TCP报文时添加时间戳选项信息功能。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置发送TCP报文时添加TCP时间戳选项信息。

tcp timestamps enable

缺省情况下，发送TCP报文时会添加TCP时间戳选项信息。

1.20  IP性能优化显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置IP性能优化功能后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令清除IP、TCP和UDP的流量统计信息。

表1-1 IP性能优化显示和维护

操作	命令
显示ICMP流量统计信息	display icmp statistics [ slot slot-number ]
显示IP报文统计信息	display ip statistics [ slot slot-number ]
显示RawIP连接摘要信息	display rawip [ slot slot-number ]
显示RawIP连接详细信息	display rawip verbose [ slot slot-number [ pcb pcb-index ] ]
显示TCP连接摘要信息	display tcp [ slot slot-number ]
显示TCP连接的流量统计信息	display tcp statistics [ slot slot-number ]
显示TCP连接详细信息	display tcp verbose [ slot slot-number [ pcb pcb-index ] ]
显示TCP代理连接的简要信息	display tcp-proxy slot slot-number
显示TCP代理非保留端口的使用信息	display tcp-proxy port-info slot slot-number
显示UDP连接摘要信息	display udp [ slot slot-number ]
显示UDP流量统计信息	display udp statistics [ slot slot-number ]
显示UDP连接详细信息	display udp verbose [ slot slot-number [ pcb pcb-index ] ]
清除IP报文统计信息	reset ip statistics [ slot slot-number ]
清除TCP连接的流量统计信息	reset tcp statistics
清除UDP流量统计信息	reset udp statistics