《北京汉远网智园区QoS设计》由会员分享，可在线阅读，更多相关《北京汉远网智园区QoS设计（66页珍藏版）》请在金锄头文库上搜索。
1、园区QoS设计,北京汉远网智IT咨询CNS_DOC_09060208,汉远使命为企业信息中心提升支撑能力，创造企业IT信息化新价值。,QoS园区QoS设计PerUserQoSDesignWebCache交换端口分析器,什么是QoS?,带宽丢包延迟延迟变化(抖动),QoS组件,QoS有各种组件组成：分类标记拥塞管理拥塞避免流量调节链路效率,分类标记,QoS提供以下几种途径对数据进行分类:数据链路层：ClassofService(CoS)bits,MultiprotocolLabelSwitchingExperimentalValues(MPLSEXP)网络层：IPPrecedence(IPP),
2、DifferentiatedServicesCodePoints(DSCP)传输层：协议类型(TCP/UDP),端口号应用层：应用层数据检测,拥塞管理,拥塞管理机制先进先出（FIFO）优先队列（PQ）常规队列（CQ）加权公平队列（WFQ）,拥塞避免,流量整形与链路效率,拥塞避免早期随机检测（RED）加权早期随机检测（WRED）流量调节令牌桶CAR链路效率实时协议头部压缩（CRTP）链路分段和交叉,QoS园区QoS设计PerUserQoSDesignWebCache交换端口分析器,Qos设计原则,明确规定了目标保护语音?视频?数据?DoS/wormmitigation?,从目标开始,而不是工具,
3、成功部署QoS的5个步骤,一、区分和标记不同的应用二、制定QoS策略三、测试QoS策略四、部署Qos策略五、监视和调整QoS策略,应用的分类,企业并不需要严格按11种流量分类标准确定要保护的流量,分类打标记,基于企业的商业目标考虑业务对QoS的需求基于硬件，DSCP标记分类和打标记尽可能离源近,QoS策略设计准则,在哪里及如何进行流量管制?分析网络的拓扑需要部署的节点设备性能考虑可信任边界的范围在哪里及如何进行排队?需要留25%的带宽给best-effort服务对于严格优先级队列占用链路的33%园区网，WAN，VPN尽量使用一致的队列调度机制针对TCP流量开启WRED机制,建立可信任边界,1,
4、3,2,TRUSTBOUNDARY,EndpointCategories,TrustedendpointsUntrustedendpointsConditionally-trustedendpoints,信任边界扩展和操作,PCVLAN=10,2,3,4,PhoneSetsCoSto5forVoIPandto3forCall-SignalingTraffic,PhoneRewritesCoSfromPCPortto0,SwitchTrustsCoSfromPhoneandMapsCoSDSCPforOutputQueuing,在园区网中哪里要求QoS?,使用QoS缓解DoS和蠕虫病毒,Dos攻
5、击主要分为SmurfSynfloodFraggle控制层面实现DOS防护数据层面实现病毒的防护优先级别设置低,优先级,prioritypriority-levelundoprioritypriority-level：端口优先级的取值，范围为07。#设置Ethernet1/0/1端口的优先级为7。Quidway-Ethernet1/0/1priority7,PriorityTrust,prioritytrustundopriority#设置信任端口Ethernet1/0/1接收报文自己带有的优先级。Quidway-Ethernet1/0/1prioritytrust,示例,system-view
6、SystemView:returntoUserViewwithCtrl+Z.H3CinterfaceEthernet1/0/1H3C-Ethernet1/0/1undopriorityH3C-Ethernet1/0/1priority7H3C-Ethernet1/0/1prioritytrust,重新指定优先级,traffic-priorityinbound|outboundacl-ruledscpdscp-value|ip-precedencepre-value|from-cos|cospre-value|from-ipprec|local-precedencepre-value*引用ACL
7、进行流识别，为匹配的报文重新指定优先级。单独下发一个IP型ACL中所有规则ip-groupacl-number单独下发一个Link型ACL中所有规则link-groupacl-number单独下发一个用户自定义ACL中所有规则user-groupacl-number,示例,交换机的Ethernet1/0/1接入了10.1.1.1/24网段将来自10.1.1.1/24网段的流量的DSCP优先级重新标记为56system-viewSystemView:returntoUserViewwithCtrl+Z.H3Caclnumber2000H3C-acl-basic-2000rulepermitsou
8、rce10.1.1.10.0.0.255H3C-acl-basic-2000quitH3CinterfaceEthernet1/0/1H3C-Ethernet1/0/1traffic-priorityinboundip-group2000dscp56,TrafficLimit,traffic-limitinbounduser-groupacl-numberrulerule|ip-groupacl-numberrulerulelink-groupacl-numberrulerule|link-groupacl-numberruleruletarget-rateexceedactionundotr
9、affic-limitinbounduser-groupacl-numberrulerule|ip-groupacl-numberrulerulelink-groupacl-numberrulerule|link-groupacl-numberrulerule#下面的命令对匹配4000号访问控制列表中permit规则的数据包进行流量监管。限制速率设为128kbps，丢弃超过此流量的数据包。Quidway-Ethernet1/0/1traffic-limitinboundlink-group4000128exceeddrop,TrafficLimit,inbound：表示对端口接收到的数据包进行
10、流量监管。user-groupacl-number：表示用户自定义的访问控制列表，acl-number：访问控制列表序号，取值范围为50005999。ip-groupacl-number：表示基本或高级访问控制列表，acl-number：访问控制列表序号，取值范围为20003999。link-groupacl-number：表示二层访问控制列表，acl-number：访问控制列表序号，取值范围为40004999。rulerule：指定访问控制列表中的哪个子项，取值范围为065534，如果不指定则表示访问控制列表中的所有子项。target-rate：对端口接收报文限制的总速率，单位Kbps，速率
11、限制的粒度为64kbps，如果用户输入的数字在N*64(N+1)*64之间（N为自然数），交换机自动将该参数取值为(N+1)*64kbs，百兆端口和千兆端口的取值范围分别为：百兆以太网口：6499968千兆以太网口：641,000,000exceedaction：可选参数，为数据包的流量超过设定流量时采取的动作，有如下动作：drop：丢弃报文；remark-dscpvalue：设置新的DSCP值。,Traffic-Priority,traffic-priorityinbound|outbounduser-groupacl-numberrulerule|ip-groupacl-numberrul
12、erulelink-groupacl-numberrulerule|link-groupacl-numberruleruledscpdscp-value|ip-precedencepre-value|from-cos|cospre-value|from-ipprec|local-precedencepre-value*undotraffic-priorityinbound|outbounduser-groupacl-numberrulerule|ip-groupacl-numberrulerulelink-groupacl-numberrulerule|link-groupacl-number
13、rulerule#将匹配4000号访问控制列表中permit规则的数据包的802.1p优先级标记为1。Quidway-Ethernet1/0/1traffic-priorityinboundlink-group4000cos1,Traffic-Priority,inbound：表示对端口接收到的数据包进行优先级重新标记。outbound：表示对端口发送的数据包进行优先级重新标记。user-groupacl-number：表示用户自定义的访问控制列表，acl-number：访问控制列表序号，取值范围为50005999。ip-groupacl-number：表示基本或高级访问控制列表，acl-nu
14、mber：访问控制列表序号，取值范围为20003999。link-groupacl-number：表示二层访问控制列表，acl-number：访问控制列表序号，取值范围为40004999。rulerule：指定访问控制列表中的哪个子项，取值范围为065534，如果不指定则表示访问控制列表中的所有子项。dscpdscp-value：设置DSCP优先级，取值范围为063。ip-precedencepre-value|from-cos：设置IP优先级，pre-value为IP优先级，取值范围为07，from-cos表示将IP优先级设为与802.1p优先级相同。cospre-value|from-ip
15、prec：设置802.1p优先级，pre-value为802.1p优先级，取值范围为07，from-ipprec表示将802.1p优先级设为与IP优先级相同。local-precedencepre-value：设置本地优先级，取值范围为07。,流量监管和端口限速配置实例,公司企业网通过以太网交换机的百兆端口实现各部门之间的互连。财务部门的工资查询服务器由Ethernet1/0/1端口接入（子网地址129.110.1.2）。组网需求为要求限制其它部门访问工资服务器的流量为128kbps，限制工资服务器向外发送流量的平均速率不能超过640kbps，超出规格的报文将报文优先级为4。,工资查询服务器1
16、29.110.1.2,E1/0/1,(1)定义工资服务器向外发送的流量#进入3000号的高级访问控制列表视图。Quidwayaclnumber3000#定义3000号高级访问控制列表的规则。Quidway-acl-adv-3000rule1permitipsource129.110.1.20.0.0.0destinationany(2)对访问工资服务器的流量进行流量限制#限制工资服务器向外发送报文的平均速率为640kbps，对超出规格的报文设置优先级为4。Quidway-Ethernet1/0/1traffic-limitinboundip-group3000640exceedremark-dscp4#限制端口Ethernet1/0/1发往工资服务器的速率为128kbps。Quidway-Ethernet1/0/1line-rateoutbound128,优先级标记配置实例,对PC1（IP：1.0.0.2）每天8：0018：00发出的报文打上ef标记，为上层设备提供优先级依据。,工资查询服务器129.110.1.2,E1/0/1,E1/0/2,VLAN21.0.0.1/
