第十章，防火墙带宽管理

概述

带宽的理论流动数据量 与 实际的流量数据量；

对通过防火墙的流量进行管理和控制，带宽保证、带宽限制以及连接数限制。从而提高带宽利用

率，避免带宽耗尽。

• 带宽保证 --- 企业网络中关键业务所需的基本带宽，当线路繁忙的时候，确保此类业务不受影响
• 带宽限制 --- 限制网络中的一些非关键性业务占据过多的带宽，避免资源消耗
• 连接数限制 --- 限制业务会话数量，有利于降低该业务占据的带宽

• 对企业总数据进行带宽管理
• 对每个IP/每个用户来实施带宽管理
• 多级策略方式，按部门实施带宽管理
• 动态分配

实现原理

总体流程

• 带宽通道 --- 定义了被管理对象所能使用的带宽资源；该通道会被带宽策略引用
• 带宽策略 --- 定义了被管理的对象和动作
• 接口带宽 --- 分为接口入方向和接口出方向的实际带宽
  • 当发生拥塞时，队列调度机制
  • 
  • 流量匹配带宽策略，经过带宽策略的分流后，进入相应的带宽通道进行处理。

丢弃超过预定义最大带宽的流量

• 限制业务连接数
• 标记流量的优先级，作为后续队列调度的依据
  • 受入接口带宽限制，如果流量大于入接口，将依据带宽通道中设定的转发优先级来对流量进行队列调度，保证高优先级的报文优先发送
  • 流量最终会从出接口发送，并且收到出接口带宽限制，如果流量大于出接口，则按照转发优先级来调度。

带宽通道

        将物理的带宽资源从逻辑上划分为多个虚拟的带宽资源。

• 整体的保证带宽和最大带宽
  • 处理方式：
    • 如果流量<保证带宽，则这部分流量直接发送
    • 如果流量>最大带宽，则这部分流量直接被丢弃
    • 如果流量<最大带宽，>保证带宽，则这部分流量会在出接口发送环节与其他带宽通道中的同类型流量自由竞争带宽资源。
      • 依靠优先级竞争，优先级高的占据剩余带宽资源。优先级低的被丢弃。
  • 在带宽通道中，最大带宽、保证带宽和连接数限制，均支持上下行设置。
• 设定每一个用户/IP的保证带宽和最大带宽
• 连接数限制
  • 一条会话连接 --- FW通过限制自身生成的会话数量，来实现连接数的限制。
  • 主要限制P2P业务。
• 优先级重标记 --- DSCP
  • DSCP --- 差分服务代码点 --- 一种指示网络流量优先级的字段
• IP头部中的服务类型字段