ZoneBasedFirewall对系统性能影响

wunderup wunderup 博客等级 墨衍会员 · AI 创作全网分发 墨衍智能分发 本文由作者通过墨衍一键同步至各平台 1分发平台 1.1k累计阅读 1.1k平均单平台 已同步平台 优快云 微信公众号 微博 知乎 掘金 百家号 博客园 抖音 小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网 我也要 码龄20年
关注
原创 最新推荐文章于 2026-02-19 15:27:13 发布 1.1k 阅读 AI 写同款· GEO 优化 ›
NAT和GRE tunnel在思科路由器上的实现 Topology: Client: 90.1.0.8) 阅读详情

当zone based firewall激活的时候，1002X平台上，在14MPPS流量情况下，QFP利用率是86%
当zone based firewall没有激活的时候，1002X平台上，在14MPPS流量情况下，QFP利用率是38%

UUT： 1002X，36G Throughput License

ASR1002x-3#show inter sum


 *: interface is up
 IHQ: pkts in input hold queue     IQD: pkts dropped from input queue
 OHQ: pkts in output hold queue    OQD: pkts dropped from output queue
 RXBS: rx rate (bits/sec)          RXPS: rx rate (pkts/sec)
 TXBS: tx rate (bits/sec)          TXPS: tx rate (pkts/sec)
 TRTL: throttle count


  Interface                   IHQ       IQD       OHQ       OQD      RXBS      RXPS      TXBS      TXPS      TRTL
-----------------------------------------------------------------------------------------------------------------
  GigabitEthernet0/0/0          0         0         0         0         0         0         0         0         0
  GigabitEthernet0/0/1          0         0         0         0         0         0         0         0         0
  GigabitEthernet0/0/2          0         0         0         0         0         0         0         0         0
  GigabitEthernet0/0/3          0         0         0         0         0         0         0         0         0
  Gi0/0/3.2                     -         -         -         -         -         -         -         -         -
  Gi0/0/3.3                     -         -         -         -         -         -         -         -         -
  GigabitEthernet0/0/4          0         0         0         0         0         0         0         0         0
  GigabitEthernet0/0/5          0         0         0         0         0         0         0         0         0
* Te0/1/0                       0         0         0         0 3583855000   6999716 3583793000   6999595         0
* Te0/2/0                       0         0         0         0 3583898000   6999799 3583959000   6999918         0
* Te0/3/0                       0         0         0         0         0         0         0         0         0
* GigabitEthernet0              1         0         0         0      1000         0         0         0         0
NOTE:No separate counters are maintained for subinterfaces
     Hence Details of subinterface are not shown
ASR1002x-3#show pl hard qfp ac datapath utilization 
  CPP 0: Subdev 0            5 secs        1 min        5 min       60 min
Input:  Priority (pps)            0            0            0            0
                 (bps)            0            0            0            0
    Non-Priority (pps)     14000534     14000702     10850439      9822333
                 (bps)   7616290816   7616381944   5902638992   5343349568
           Total (pps)     14000534     14000702     10850439      9822333
                 (bps)   7616290816   7616381944   5902638992   5343349568
Output: Priority (pps)            0            0            0            0
                 (bps)          160          208          208          208
    Non-Priority (pps)     14000538     14000705     10850172      9821847
                 (bps)   8960362424   8960464096   6944123032   6285992912
           Total (pps)     14000538     14000705     10850172      9821847
                 (bps)   8960362584   8960464304   6944123240   6285993120
Processing: Load (pct)           86           86           66           59


ASR1002x-3#sh ip inter br
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0/0   unassigned      YES NVRAM  down                  down    
GigabitEthernet0/0/1   unassigned      YES NVRAM  down                  down    
GigabitEthernet0/0/2   unassigned      YES NVRAM  down                  down    
GigabitEthernet0/0/3   unassigned      YES NVRAM  down                  down    
GigabitEthernet0/0/3.2 14.0.0.2        YES NVRAM  down                  down    
GigabitEthernet0/0/3.3 34.0.0.2        YES NVRAM  down                  down    
GigabitEthernet0/0/4   unassigned      YES NVRAM  down                  down    
GigabitEthernet0/0/5   unassigned      YES NVRAM  down                  down    
Te0/1/0                10.1.0.1        YES manual up                    up      
Te0/2/0                10.2.0.1        YES manual up                    up      
Te0/3/0                unassigned      YES NVRAM  up                    up      
GigabitEthernet0       10.74.6.3       YES NVRAM  up                    up      
ASR1002x-3#
ASR1002x-3#
ASR1002x-3#sh run inte  
ASR1002x-3#show
ASR1002x-3#show ru
ASR1002x-3#show running-config inter
ASR1002x-3#show running-config interface te
ASR1002x-3#show running-config interface tenGigabitEthernet 0/1/0
Building configuration...


Current configuration : 129 bytes
!
interface TenGigabitEthernet0/1/0
 ip address 10.1.0.1 255.255.0.0
 zone-member security in
 load-interval 30
 cdp enable
end


ASR1002x-3#show running-config interface tenGigabitEthernet 0/2/0
Building configuration...


Current configuration : 130 bytes
!
interface TenGigabitEthernet0/2/0
 ip address 10.2.0.1 255.255.0.0
 zone-member security out
 load-interval 30
 cdp enable
end


ASR1002x-3#cppload
  CPP 0: Subdev 0            5 secs        1 min        5 min       60 min
Input:  Priority (pps)            0            0            0            0
                 (bps)            0            0            0            0
    Non-Priority (pps)     14000535     14000659     14000749      9261866
                 (bps)   7616291472   7616358768   7616407704   5038455336
           Total (pps)     14000535     14000659     14000749      9261866
                 (bps)   7616291472   7616358768   7616407704   5038455336
Output: Priority (pps)            0            0            0            0
                 (bps)          248          208          208          208
    Non-Priority (pps)     14000540     14000663     14000753      9261379
                 (bps)   8960361640   8960436784   8960494336   5927294304
           Total (pps)     14000540     14000663     14000753      9261379
                 (bps)   8960361888   8960436992   8960494544   5927294512
Processing: Load (pct)           86           86           86           56


ASR1002x-3#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
ASR1002x-3(config)#inter
ASR1002x-3(config)#interface te
ASR1002x-3(config)#interface tenGigabitEthernet 0/1/0
ASR1002x-3(config-if)#no zone
ASR1002x-3(config-if)#no zone-member se
ASR1002x-3(config-if)#no zone-member security in 
ASR1002x-3(config-if)#interface tenGigabitEthernet 0/2/0
ASR1002x-3(config-if)#no zone-member security out       
ASR1002x-3(config-if)#end
ASR1002x-3#
ASR1002x-3#
*Nov 12 06:39:26.510: %SYS-5-CONFIG_I: Configured from console by vty0 (10.74.9.190)
ASR1002x-3#cppload
  CPP 0: Subdev 0            5 secs        1 min        5 min       60 min
Input:  Priority (pps)            0            0            0            0
                 (bps)            0            0            0            0
    Non-Priority (pps)     14000531     14000682     14000739      9234333
                 (bps)   7616289080   7616371384   7616402040   5023477352
           Total (pps)     14000531     14000682     14000739      9234333
                 (bps)   7616289080   7616371384   7616402040   5023477352
Output: Priority (pps)            0            0            0            0
                 (bps)          160          208          208          200
    Non-Priority (pps)     14000534     13009622     13802529      9217329
                 (bps)   8960350720   8326170896   8833631560   5899101824
           Total (pps)     14000534     13009622     13802529      9217329
                 (bps)   8960350880   8326171104   8833631768   5899102024
Processing: Load (pct)           38           78           85           56


ASR1002x-3#


收录于
Networking

当前文章被收录于：

Networking
22 篇文章 0 人学习
订阅专栏 查看详情
标签
#防火墙 #Firewall
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
Packet Tracer - Configuring a Zone-Based Policy Firewall (配置基于区域的策略防火墙 ZPF) Packet Tracer - Configuring a Zone-Based Policy Firewall (ZPF) Packet Tracer - 配置基于区域的策略防火墙（ZPF） Packet Tracer - 配置基于区域的策略防火墙（ZPF） 目标 在防火墙配置前验证设备之间的连通性。 在路由器R3上配置基于区域的策略（ZPF）防火墙。 使用ping、Telnet和网页浏览器验证ZPF防火墙功能。 阅读详情

相关推荐

第四节、C# 上位机面向对象编程详解（工控硬件继承实战版）

继承核心价值：在 C# 上位机工控开发中，继承的核心是通用逻辑复用与接口统一，将所有硬件的通用属性 / 方法封装到抽象基类，子类只需实现独有逻辑，大幅减少冗余代码。基类设计要点：优先使用抽象基类，合理分配访问修饰符（privateprotectedpublic），定义通用事件与虚方法，提供资源释放机制，兼顾复用性与扩展性。子类设计要点：通过: base()调用基类构造函数，强制实现抽象方法（保证接口统一），选择性重写虚方法（实现独有逻辑），复用基类的protected成员。多设备管理。

kylezhao2019的博客 787

STM32驱动MG996R舵机的PWM控制与闭环原理

舵机是一种典型的模拟闭环伺服系统，其核心是通过电位器反馈实现角度位置的自动校正。工作原理基于负反馈控制：目标PWM脉宽决定期望角度，电位器输出实时反馈实际角度，控制电路计算偏差并驱动电机消除误差。该机制赋予舵机强带载能力与抗干扰性，是机器人、云台、智能执行器等场景的关键执行单元。在嵌入式开发中，STM32通过定时器生成标准20ms周期、0.5–2.5ms脉宽的PWM信号，需严格遵循电气规范，并解决PA15引脚SWJ复用冲突、定时器重映射及CCR精度计算等关键问题。本文深入解析MG996R舵机控制全流程，涵盖

weixin_42600407的博客 563

CNA—Cisco Network Assistant (VTP,VLAN,ETHERNET-CHANNEL)

在思科为中小型企业（SMBs）生产的产品线中，它为大家提供了一个免费的工具Cisco Network Assistant （CNA）来帮助大家配置思科的设备。当然，你可能会认为，这个目标直指中小型企业的工具对你来说并不一定适用，但是，要记住的是在思科的术语中，"中小型企业"可能是一个相当大的企业，至少在我的观点中是这样的。这个工具是免费的，因此，你可以从思...

weixin_34167043的博客 565

（超详细）Qt入门和配置Visual Studio的Qt环境

内容写了Qt入门，创建并编写第一个Qt程序，以及配置VS编写Qt程序的环境。（超级详细）

LY549826LY549264的博客 7679

使用 Simulink 进行电力电子系统的大信号模型仿真

电力电子系统（Power Electronics System）包括各种功率转换器（如 DC-DC 转换器、逆变器等）。这些设备中的关键组件（如 MOSFET、IGBT、电容器、电感器等）不仅影响系统的性能，还直接关系到系统的稳定性、效率和可靠性。因此，在设计阶段进行详细的建模和仿真至关重要。大信号模型仿真的目的是通过模拟系统在非线性条件下的真实行为，评估其瞬态响应、稳态性能以及对不同负载和输入电压变化的响应。通过本教程，我们介绍了如何使用 Simulink 进行电力电子系统的大信号模型仿真。背景介绍。

xiaoheshang_123的博客 303

路由器taildrop丢包原因总结分析

Taildrop在路由器上是一种非常常见的丢包策略。如果路由器进来数据包的总bps超过了路由器能处理的bps，那么，某些数据包就会被丢弃，而丢包原因就是taildrop。 这种情况下的丢包，和路由器过载无法处理（一般是pps达到了路由器处理的上限）是完全不一样的。路由器因为pps过大导致路由器过载而丢包，这样的包很可能都没有丢包原因的。 下面的这个例子，路由器dataplane的处理能

跳着Samba的狮子 9306

Plecs电力电子仿真专业教程-第一季 第一节 Plecs简介

Plces 电力电子仿真专业教程系列依托专业的电力电子仿真软件Plecs对各种电力电子常用的拓扑及实际设计的方案进行系统及仿真与软件代码仿真实践。通过对各种电路仿真原理的讲解及专业C语言代码程序的编写，提升学员的系统设计能力，软件编程能力与理论分析能力。

3646

Cisco的ios防火墙技术之一--ciso zone-based FW的原理及配置实例解析

Cisco的ios防火墙技术之一–ciso zone-based FW 续上篇的CBAC，本篇再讲ios防火墙的另外一个–cisco zone-based ,相对而已是比CBAC更加优化了许多。感兴趣的话请您往下看。 zone-based firewall 介绍 我们知道CBAC提供了基于接口的流量保护，可以在任意的接口上针对流量进行保护，所有穿过这个接口的流量收到相同的审查策略的保护，这样就降...

Stephen_jj的博客 1817

手把手教你学Simulink——基于多能互补微电网系统的建模与优化场景实例：风柴储联合供电系统在孤岛模式下的功率分配建模

本文介绍了使用MATLAB/Simulink和Simscape Electrical构建风柴储联合供电系统的建模方法。系统包含风力发电、柴油发电、储能电池等模块，重点研究孤岛模式下功率分配策略。详细说明了从创建项目、添加模块到搭建风力发电系统（含MPPT控制）、柴油发电系统及集成各模块的全过程，并提供了仿真参数设置建议。通过分析频率偏差、电池SOC等关键指标，验证了系统在维持稳定运行的同时能有效利用可再生能源。该模型为研究多能互补微电网提供了实验平台，未来可拓展更高效的能量管理策略和AI技术的应用。

MHD0815的博客 1万+

【一看就会】Autoware.universe中静态绕障路线的生成逻辑

在路径行为规划中，前期根据地图和起点终点，生成了一组连续可行的路径段序列（lanelets），然后后续路径行为规划，又会进行起始点，终止点，避障绕障路径的路径规划，并且会调用route_handler中的函数，进行中心线生成，最后生成路径，后续再给速度行为规划进行速度规划。在autoware.universe的规划中，是基于规则的规划，而其中的规则又是为了解决不同场景的。而这些场景，大部分是为了解决路上障碍物（静态、动态、行人、车辆等等）。

weixin_48386130的博客 321

Cisco Zone Base FireWall介绍及配置

ZFW技术对原有的CBAC功能进行了增强，ZFW策略防火墙改变了基于接口的配置模式，并且提供了更容易理解和更灵活的配置方法。接口需要加入区域，针对流量的审查策略在区域间内部生效。区域内部策略提供了更灵活和更细致的流量审查，不同的审查策略可以应用在与路由器相同接口相连的多个组上。 ZFW提供了状态型的包检测，URL过滤，对DOS攻击的减缓等功能，同时提供了多种协议的支持，例如HTTP、POP3、I...

风云刀的优快云博客 2397

网络安全 | 企业网络安全的十大挑战及解决方案

网络安全 | 企业网络安全的十大挑战及解决方案，随着信息技术的飞速发展，企业数字化转型进程不断加速，网络安全问题日益成为企业运营与发展面临的关键挑战。本文深入剖析企业网络安全的十大挑战，包括网络攻击日益复杂、数据泄露风险、内部威胁、物联网安全、云安全、合规性要求、移动办公安全、供应链安全、人才短缺以及安全预算有限等，并针对每个挑战详细阐述相应的解决方案，旨在为企业构建全面、有效的网络安全体系提供指导与参考，助力企业在复杂多变的网络环境中保障自身信息资产安全，实现可持续发展。

不踩坑，不知道坑有多深；不总结，踩过的坑白踩。 4万+

show命令

数据库show databases;表show tables;show tables in xxdb;show tables 'a*';tblpropertiesshow tblproperties t1;分区show partitions t1;show partitions t1 partition(xx=yy);函数show functions;来自为知笔记(Wiz) 转载于:https:/...

weixin_30273931的博客 137

Statistics and Machine Learning Toolbox

Statistics and Machine Learning Toolbox（带书签），MATLAB统计学习工具

大中型超市收银系统(可直接运行)

光步前台收银系统系统功能：商品销售、商品退货、挂单、收银员权限、会员销售、单品取消、整单取消、商品查询、脱机销售、脱机数据上传，基本资料下载，开钱箱、小票打印、收款结算，支持多币种付款方式（现金、储值卡、礼券、微信等）,支持多种促销。运行环境：.net 4.0登陆信息用户名:1001 密码:123456内置商品信息，商品编码可输入00001000 - 00010000,测试效果相关功能键F5 结算 F9挂单 F11商品查询 F8退货 Insert单品取消 Del整单取消 F12开钱箱F2 会员 Ctrl+Z退出系统 Home 锁屏 相关源码待公开

iproute: tc

名称：tc - 显示／维护流量控制设置  命令格式：  tc qdisc [ add | change | replace | link ] dev DEV [ parent qdisc-id | root ] [ handle qdisc-id ] qdisc [ qdisc specific parameters ]  tc class [ add | change

daniel117的专栏 2014

迈瑞BS系列全自动生化分析仪LIS协议接口手册(内含HL7和ASTM)

迈瑞BS系列全自动生化分析仪LIS协议接口手册，内含HL7和ASTM)

网络性能测试（系统层面、针对Linux、安卓）

网络性能指标以及ping测试（Linux） 1、网络可用性 测试方式：ping命令验证网络连通。 命令参数： -d 使用Socket的SO_DEBUG功能。 -f 极限检测。大量且快速地送网络封包给一台机器，看它的回应。压它！ -n 只输出数值。 -q 不显示任何传送封包的信息，只显示最后的结果。 -r 忽略普通的Routing Table，直接将数据包送到远端主机上。通常是查看本机的网络接口是否有问题。 -R 记录路由过程。 -v 详细显示指令的执行过程。 <p>-c 数目：在发送指定数

博客 3292

Data-Structures-and-Algorithm-Analysis-in-Java.pdf

作者: Weiss, Mark A. 出版社: Addison Wesley Data Structures and Algorithm Analysis in Java is an “advanced algorithms” book that fits between traditional CS2 and Algorithms Analysis courses. In the old ACM Curriculum Guidelines, this course was known as CS7. This text is for readers who want to learn good programming and algorithm analysis skills simultaneously so that they can develop such programs with the maximum amo...

firewall中zone概念

由firewalld 提供的区域按照从不信任到信任的顺序排序。 丢弃 drop 任何流入网络的包都被丢弃，不作出任何响应。只允许流出的网络连接。 阻塞 block 任何进入的网络连接都被拒绝，并返回 IPv4 的 icmp-host-prohibited 报文或者 IPv6 的 icmp6-adm-prohibited 报文。只允许由该系统初始化的网络连接。 公开 public 用以可

可能青蛙的专栏 5890

Cisco IOS Zone-Based Firewall

要求： outbound流量： 1。监控http/smtp/telnet/ICMP协议 2. 限制tcp三次握手必须在15秒内完成 3.进行半开连接限制（high：1000/low：800） inbound 流量： 1，放行访问内部服务器的http流量 2.进行半开连接限制（high：100/low：80） 简单配置： ******************************

blakegao的专栏 1829

介绍反向代理以及反向代理对服务器性能的影响

什么是反向代理 通常的代理服务器，只用于代理内部网络对Internet的连接请求，客户机必须指定代理服务器,并将本来要直接发送到Web服务器上的http请求发送到代理服务器中。由于外部网络上的主机并不会配置并使用这个代理服务器，普通代理服务器也被设计为在Internet上搜寻多个不确定的服务器,而不是针对Internet上多个客户机的请求访问某一个固定的服务器，因此普通的Web代理服务器不支持外...

zhongliangtang的专栏 5669

Zone-based User Based Firewall

User Group Firewall is a mechanism to authenticate each user and provide access privileges based on the type of user being authenticated. The authentication is done by a RADIUS server. The ...

weixin_33709364的博客 169

西班牙电信阿根廷公司推出由Mavenir提供的信令防火墙

基于人工智能/机器学习(AI/ML)的解决方案，加上已推出的反垃圾邮件解决方案，将为阿根廷Movistar客户提供保护和改进服务 德州理查森--(美国商业资讯)--致力于帮助通信服务提供商(CSP)加速软件网络转型和重新定义移动网络经济的领导者Mavenir和西班牙电信阿根廷公司(Telefónica Argentina)已部署Mavenir的信令防火墙，将通过检测和阻止基于信号的攻击来...

美国商业资讯的博客 914

基本Zone-base firewall知识及配置

ZFW技术对原有的CBAC功能进行了增强，ZWF策略防火墙改变了基于接口的配置模式，并且提供了更容易理解和更灵活的配置方法。接口需要加入区域，针对流量的审查策略在区域间内部生效。区域内部策略提供了更灵活和更细致的流量审查，不同的审查策略可以应用在与路由器相同接口相连的多个组上。 ZFW提供了状态型的包检测，URL过滤，对DOS***的减缓等功能，同时提供了多...

weixin_34221775的博客 451

Firewall 防火墙基础

防火墙技术防火墙是用于阻止计算机之间直接通信，位于两个或多个网络间，实施网络之间访问控制的组件集合。 技术 协议栈 判据 检测内容 逻辑位置 物理位置 代表 静态包过滤 网络层 访问控制表 源地址, 目的地址 网络边界 负责内外网络转换的网关, 个人计算机 已退出市场 动态包过滤 网络层, 传输层 访问控制表 端口号, 协议状态

王慧勇 1113

如何让EIGRP支持64bit的Metric

在默认情况下，思科路由器只支持32bit的metric计算方法。如果要让路由器支持64bit的m

跳着Samba的狮子 6445
上一篇： 路由器taildrop丢包原因总结分析
下一篇： 如何让EIGRP支持64bit的Metric
点赞 0
评论 0
书签 书签 0
wunderup
wunderup
博客等级 码龄20年 13粉丝 79原创
+ 关注 专栏目录 订阅专栏
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值