第222篇：带宽管理与应用限速

关键词：带宽管理、QoS、流量整形、流量监管、CAR、HIRS、应用限速、拥塞避免

一、引言

在共享带宽的网络环境中，某些应用或用户可能占满全部带宽，导致关键业务体验下降。带宽管理通过对不同流量分配不同的带宽资源，确保关键业务获得保障带宽，非关键业务在不影响其他流量的前提下合理利用空闲带宽。

华为设备提供了从简单限速到精细 QoS 的多层次带宽管理能力，能够针对用户、应用、VLAN 等维度进行差异化管控。

二、核心概念

2.1 带宽管理技术对比

2.2 带宽分配模型

2.3 队列调度算法

三、技术细节

3.1 流量分类与标记

带宽管理的前提是准确分类流量，华为设备支持多维分类：

3.2 HIR 整形流程

HIR（Hierarchical Information Rate）支持双层流量整形：

3.3 WRED 丢包策略

四、实战配置/案例分析

4.1 华为 AR 路由器带宽管理配置

# 1. 定义流量分类
# 分类1：视频会议流量（基于DPI应用识别）
traffic classifier video_conference
 if-match application-type video-conference
quit

# 分类2：P2P下载流量
traffic classifier p2p_download
 if-match application-type p2p
quit

# 分类3：办公网页浏览
traffic classifier web_browse
 if-match application-type web-browsing
quit

# 2. 定义流行为
# 行为1：视频会议保障带宽300Mbps
traffic behavior video_behavior
 queue hq wrr-weight 6
 queue hq hie-rate 300 0
remark dscp ef
quit

# 行为2：P2P限速50Mbps
traffic behavior p2p_behavior
 queue hq wrr-weight 1
 queue hq hie-rate 50 0
remark dscp 0
quit

# 行为3：网页浏览保障200Mbps
traffic behavior web_behavior
 queue hq wrr-weight 4
 queue hq hie-rate 200 0
remark dscp af21
quit

# 3. 绑定分类与行为为策略
qos policy bandwidth_management
 classifier video_conference behavior video_behavior
 classifier p2p_download behavior p2p_behavior
 classifier web_browse behavior web_behavior
quit

# 4. 应用到出接口
interface GigabitEthernet0/0/0
 qos apply policy bandwidth-management outbound
quit

# 5. 配置入口流量监管（CAR）
# 限制入方向总流量不超过800Mbps
qos car inbound
 cir 800
 pir 800
 cbs 400000
 pbs 400000
 action pass
quit

# 6. 配置WRED
qos wred default
 dscp 0 min-threshold 30 max-threshold 60
 dscp 10 min-threshold 40 max-threshold 70
 dscp 46 min-threshold 70 max-threshold 90
quit

4.2 故障排查案例：P2P限速失效导致出口带宽耗尽

故障现象：办公网络出口带宽为 1Gbps，某员工使用 BT 下载大型文件，导致其他同事上网卡顿，视频会议掉线。经查 P2P 限速策略未生效。

排查步骤：

1. 检查应用识别是否工作

# 查看P2P应用识别统计
display application-identify statistics application p2p

结果显示识别计数为 0，说明 P2P 流量未被正确识别。

1. 检查流量方向

# 查看会话表
display firewall session-table | include p2p

发现 P2P 流量使用了非标准端口，且策略应用方向为 outbound，但部分 P2P 流量在入方向已建立会话。

1. 根因分析
2. P2P 应用识别策略仅应用在出接口 outbound，但部分 P2P 连接通过非标准端口绕过 DPI 识别

3. BT 协议使用了加密传输（PE），特征库未能匹配加密后的 P2P 特征

4. 解决方案

# 方案1: 双向应用策略
interface GigabitEthernet0/0/0
 qos apply policy bandwidth-management outbound
 qos apply policy bandwidth-management inbound
quit

# 方案2: 补充基于行为的分类（不依赖DPI）
traffic classifier p2p_behavior_match
 if-match protocol udp
 if-match destination-port range 6881 6999
quit

traffic behavior p2p_behavior
 queue hq wrr-weight 1
 queue hq hie-rate 50 0
remark dscp 0
quit

qos policy bandwidth_management
 classifier p2p_behavior_match behavior p2p_behavior
quit

# 方案3: 更新应用特征库
update-application-signature url tftp://192.168.1.100/app-signature.dat

# 方案4: 配置用户级别限速（终极手段）
interface GigabitEthernet0/0/1
 qos lr outbound cbs 100000 pbs 100000
quit
# 每个接入端口限速100Mbps，单个用户无法独占全部带宽

五、DDoS攻击防护与高可用架构

4.1 DDoS攻击类型与带宽影响

4.2 DDoS防护方案对比

4.3 高可用架构设计

# DDoS防护配置示例（华为设备）
# 1. SYN Flood防护
aaa
 local-user admin password irreversible-cipher Admin@123
quit

# 配置SYN Cookie
tcp syncookie enable

# 配置SYN代理
firewall tcp-synproxy enable
firewall tcp-synproxy timeout 60

# 2. 速率限制
qos car inbound
 cir 1000
 pir 2000
 cbs 500000
 pbs 1000000
 action pass
 excess action reject
quit

# 3. ICMP限速
traffic classifier icmp_class
 if-match protocol icmp
quit

traffic behavior icmp_limit
 car cir 100 pir 100 cbs 5000 pbs 5000
quit

qos policy icmp_rate_limit
 classifier icmp_class behavior icmp_limit
quit

interface GigabitEthernet0/0/0
 qos apply policy icmp-rate-limit inbound
quit

# 4. ACL封禁已知攻击源
acl number 3000
 rule 5 deny ip source 203.0.113.0 0.0.0.255
 rule 10 deny ip source 198.51.100.0 0.0.0.255
 rule 15 permit ip
quit

interface GigabitEthernet0/0/0
 traffic-filter inbound acl 3000
quit

4.4 带宽管理 + DDoS防护联动

六、带宽管理高级配置与DDoS防护扩展

5.1 多级QoS策略分层设计

# 用户级QoS配置（基于认证用户组）
# 在AC或认证服务器上配置用户组带宽
user-group vip-users
 qos
  upload-bw 100
  download-bw 500
 quit
quit

user-group normal-users
 qos
  upload-bw 20
  download-bw 100
 quit
quit

user-group guest-users
 qos
  upload-bw 5
  download-bw 20
 quit
quit

5.2 DDoS 攻击类型与防护对策

5.3 带宽利用率监控指标

# 带宽监控配置（华为NetStream）
# 1. 全局启用NetStream
netstream version v9
netstream export 10.1.1.200 9996
netstream export source-interface Vlanif100
netstream export template data timeout active 30
netstream export template data timeout inactive 15

# 2. 在接口上采集
interface GigabitEthernet0/0/1
 netstream inbound
 netstream outbound
quit

# 3. 基于NetStream的分类限速
traffic classifier p2p_traffic
 if-match application p2p
quit

traffic behavior p2p_limit
 car cir 50 pir 50 cbs 25000 pbs 25000
 action police then reject
quit

qos policy p2p_qos
 classifier p2p_traffic behavior p2p_limit
quit

interface GigabitEthernet0/0/1
 qos apply policy p2p_qos inbound
quit

5.4 带宽管理故障排查

# 带宽管理诊断命令集
# 查看QoS策略应用状态
display qos policy interface GigabitEthernet0/0/1

# 查看接口流量统计
display interface GigabitEthernet0/0/1

# 查看队列状态
display qos queue interface GigabitEthernet0/0/1

# 查看CAR统计
display qos car interface GigabitEthernet0/0/1

# 查看HIR统计
display qos hir interface GigabitEthernet0/0/1

# 查看WRED统计
display qos wred interface GigabitEthernet0/0/1

# 查看应用识别统计
display application statistics interface GigabitEthernet0/0/1

5.5 带宽管理与安全联动场景

七、总结

思考

1. HIR 两层整形中，PIR 和 CIR 分别设置在什么位置？为什么需要两层？
2. 当所有队列的保障带宽之和超过接口物理带宽时，会发生什么？
3. WRED 的丢包概率如何计算？最小阈值和最大阈值之间的报文如何处理？

下篇预告：第223篇：内网安全：微隔离与零信任入门