限制流量之cisco配置

1)建立一个访问控制列表(ACL); 2)建立一个类(CLASS)，并在这个类上引用刚建立的那个访问控制列表(ACL); 3)建立一个策略(POLICY)，在这个策略上指定相应的带宽，并引用相应的类; 4)将这个策略应用具体的端口上。 具体操作如下： CISCO3550交换机： 1、在交换机上启动QOS Switch(config)#mls qos //在交换机上启动QOS 2、定义访问控制列表 Switch(config)#access-list 1 permit 10.59.0.0 0.0.255.255 //针对10.59/16这个网段进行上行流量控制 Switch(config)#access-list 101 permit ip any 10.59.0.0 0.0.255.255 //针对10.59/16这个网段进行下行流量控制 3、定义类，并和上面定义的访问控制列表绑定 Switch(config)# class-map xsup //定义上行的类，并绑定访问列表 1 Switch(config-cmap)# match access-group 1 Switch(config-cmap)# exit Switch(config)# class-map xsdown Switch(config-cmap)# match access-group 101 //定义下行的类，并绑定访问列表101 Switch(config-cmap)# exit 4、定义策略，把上面定义的类绑定到该策略 Switch(config)# policy-map xsup //定义上行的速率为1M,超过的丢弃 Switch(config-pmap)# class xsup Switch(config-pmap-c)# trust dscp Switch(config-pmap-c)# police 1000000 1000000 exceed-action drop Switch(config)# policy-map xsdown //定义下行的速率为1M,超过的丢弃 Switch(config-pmap)# class xsdown Switch(config-pmap-c)# trust dscp Switch(config-pmap-c)# police 1000000 1000000 exceed-action drop Switch(config-pmap-c)# exit 5、在接口上运用策略 Switch(config)# interface fa0/1 Switch(config-if)# service-policy input xsup Switch(config)# interface fa0/24 Switch(config-if)# service-policy input xsdown //24口为上行接口 华为3552交换机： 1、sys [ZXJF_3552]acl name xs advanced //建立名为xs的高级ACL [ZXJF_3552-acl-adv-chen]rule 1 permit ip source 10.67.0.0 0.0.255.255 //允许67网段的主机通过 [ZXJF_3552-acl-adv-chen]q 2、sys [ZXJF_3552]int e0/1 [ZXJF_3552-Ethernet0/1]packet-filter inbound ip-group xs//在1口上激活了ACL“xs” 3、sys [ZXJF_3552]int e0/1 [ZXJF_3552-Ethernet0/1]traffic-limit inbound ip-group xs 10240 1280000 1280000 //对1口上接收的流量速率限制为10M=10240kbps。 [ZXJF_3552-Ethernet0/1]traffic-shape 10400 192 //对1口上发送的流量速率限制为10M=10400kbps，突发尺寸192kbytes。 当我们这样做好以后，局域内的带宽使用就会被有效的限制下一个数量级，比如原来日常8、90M的带宽使用就会降到6、70M了。 当然我们也可以挖掘一下核心层交换机的高级应用，比如通过限制某些端口通过的方式来限制某些网络应用(比如迅雷下载)，但实际限制起来的效果并不是太好，因为迅雷此类的程序其实使用了很复杂的网络协议，但靠限制某些端口是很难把它搞定的，所以还是要靠专业流控设备。

一、识别流量：

可以用acl和nbar技术综合定义数据流。Acl定义可以采用下述参数：源IP地址、目的IP 地址、第4层协议（如UDP）、源端口号码以及目的端口号码等。与一套已定义参数相匹配的数据包都被视为属于相同的流，NBAR技术可以识别应用层流；

建立ACL用来识别P2P应用端口或者服务器ip地址，可根据实际情况配置，例如：

ip access-list extended edonkey

permit tcp any any range 4661 4662

permit tcp any any range 4242 4243

permit udp any any eq 4665

同时应用pdlm包

ip nbar pdlm bittorrent.pdlm

ip nbar pdlm eDonkey.pdlm

二、建立策略：

具体实施时，需要先配置一个用户定制的Policing，该Policing应该包括以下三个参数：平均速率、最大突发量和超过限制时所进行的处理。为提供更灵活的带宽限制，Policing又分为两种：Microflow和Aggregate.MicroflowPolicing可以提供对单一流使用带宽限制，而AggregatePolicing则可以对所有流总使用带宽进行限制。

将定制的Policing放到一个访问控制列表中，并定义到一个端口或一个VLAN上，即可以实现对用户的带宽管理。如果同时应用集合和微流策略器，则QoS就会总是执行策略器所制定的最严重的行为。例如，如果一个策略器要求丢弃数据包，而另外一个策略器则指示数据包降级，那么数据包将会被丢弃。默认状态下，微流策略器仅对被路由的（第3层）流量起作用。如果要对桥接的（第2层）流量也起作用，则需要启用桥接微流策略mls QoS bridged.

Catalyst6000中的策略可以根据“漏桶”概念来实施：与入局流量数据包对应的令牌都被置入一个桶中（每个令牌代表1位，从而大数据包比小数据包对应更多的令牌）。在正常时间间隔内，一定数量的令牌数将从桶中取出并被发送。如果桶中没有更多空间容纳输入的数据包，则数据包被视为超出配置文件范围而被丢弃或者根据配置的策略操作实行降级处理。

计算参数

多种参数控制令牌桶的行为：

·Rate 定义每个时间间隔内将有多少令牌取出。低于速率的所有流量都被视为是符合配置要求的。

· Interval 定义令牌隔多长时间从桶内取出一次。间隔固定在0.00025秒，从而令牌每秒钟将从桶中取出4000次。时间间隔不能更改。

·Burst 定义在任何一个时刻桶内能够容纳的最大令牌数。为了维持规定的流量速率，突发速率的大小不应该低于速率与时间间隔的乘积。另外一种考虑就是最大尺寸的数据包也必须能够置入桶内。

可以用以下公式来确定突发速率参数：

突发速率＝（速率（bps）*0.00025（秒/时间间隔））或（最大数据包大小（位）），取两者

中较大的值。

例如，计算需要在以太网上维持1 Mbps速率所需的最小突发速率值。速率定义为1 Mbps，而最大的以太网数据包为1518 字节，这样公式变为：

突发速率＝（1，000，000bps*0.00025）或（1518字节* 8位/字节）＝250 或12144

两者中较大的值为12144，我们可将其折算为13 Kbps. 注：在Cisco IOS中，策略速率以bps定义。此外，突发速率在Cisco IOS中以字节来定义。

注：由于受硬件策略粒度的影响，实际速率和突发速率都应该折算为最接近的支持值。确认突发速率值不低于最大的数据包尺寸，否则所有大于最大突发速率尺寸的数据包都将被丢弃。

例如，如果用户想在Cisco IOS中将突发速率设置为1518，则它将会被折算为1000字节，从而所有大于1000字节的帧都将被丢弃。解决方案是将突发速率配置为2000.

在定义突发速率时，需要考虑一些协议（如TCP）会针对丢包而采用流控制机制。例如，TCP将把每个要丢失的数据包的窗口缩小一半，相应地，当对某个速率进行策略时，有效的链路使用率就会低于配置的速率。您可以增加突发速率从而实现更高的利用率。对这些流量来说，比较简单易行的方式就是将突发速率的大小增加一倍（在我们的例子中可以从13 Kbits增加到26 Kbits），监控性能，然后根据需要进行调整。

mls QoS

!--- 激活QoS

mls QoS flow-policing

class-map match-any bit

match protocol bittorrent

match protocol eDonkey

match access-group edonkey

match …！－用户根据实际情况定义

policy-map P2P

class bit

police flow 100000 2000 conform-action transmit exceed-action drop

!--- 定义微流管理器，限制每个P2P应用流为100 Kbps的微流量

police 20000000 13000 26000 conform-action transmit exceed-action drop

!--- 定义聚合管理器，以便限制所有P2P应用流为20Mbps聚合流量

三、在接口上应用策略（设备可能仅支持input方向）

interface gigabitEthernet0/2

service-policy input P2P

service-policy output P2P

如果实施基于VLAN的QoS配置，需要在二层接口配置mls QoS vlan-based

四、验证策略实施情况

sh mls QoS

sh mls QoS ip gigabitEthernet 0/2

sh mls ip detail #进行微流策略统计

sh int g0/2 rate-limit

show policy-map interface g0/2

show ip nbar unclassified-port-stats

show ip nbar protocol stats byte-count

show ip nbar port-map | include custom

注：以上配置适用于cisco6509sup720平台，可用IOS版本12.1以上。

限制端口的流量大小

选定了解决故障的可行方案后，网络管理员立即动手准备对故障交换机的各个交换端口访问速度进行限制了。由于不同型号的交换机，限制端口流量大小的方法是不一样的，网络管理员发现单位网络中故障交换机使用的是Quidway品牌的交换机，上网搜索相关资料后，他发现该品牌的交换机往往使用line-rate命令来限制端口流量速度，同时他发现该品牌的交换机报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。

考虑到整个大楼网络的出口带宽大小为共享1000MB，网络管理员决定将楼层交换机上每个普通交换端口最大传输速度的大小限制为5Mbps；假设，局域网中的某台普通计算机要是连接到了楼层交换机的第2个以太端口上，网络管理员现在希望这个以太端口的最大传输速度只能为5Mbps，要达到这个控制目的，那么他只要先以系统管理员身份进入目标楼层交换机后台管理系统，执行“system”字符串命令，将其切换到系统全局配置状态，在该状态下

继续执行字符串命令“interface Ethernet 0/2”，进入第2个以太端口配置模式，在该配置界面下执行“line-rate outbound 32”命令，这样一来就能将目标交换端口的出方向报文流量速度限制为5Mbps了；按照同样的操作方法，再执行“line-rate intbound 32”命令，将目标交换端口的入方向报文流量速度也限制为5Mbps。之后，再对其他交换端口执行相同的操作，将它们的流量传输速度全部限制为5Mbps，那样的话整个交换机出口带宽资源就不会被某一个交换端口过度消耗了，那么交换机也就不容易被大容量数据“顶死”了。

当然，在局域网规模比较大、计算机数量比较多的情况下，我们就不能简单地针对普通楼层交换机的交换端口进行限制流量了，毕竟这种限制方法工作量非常大，不利于提高网络的管理效率，而且日后需要恢复普通交换端口的工作状态时，也是比较麻烦的。此时，我们可以尝试在局域网的核心交换机上，对每个楼层交换机的级联端口访问流量进行限制，以便限制各个楼层网络对整个核心交换机产生大流量“冲击

Switch(config)# access-list 1 permit 10.1.0.0 0.0.255.255

Switch(config)# class-map ipclass1

Switch(config-cmap)# match access-group 1

Switch(config-cmap)# exit

Switch(config)# policy-map flow1t

Switch(config-pmap)# class ipclass1

Switch(config-pmap-c)# police 5000000 8192 exceed-action dscp 10

Switch(config-pmap-c)# exit

Switch(config-pmap)# exit

Switch(config)# interface gigabitethernet0/1

Switch(config-if)# switchport mode access

Switch(config-if)# service-policy input flow1t

一、网络说明

PC1接在Cisco3550 F0/1上，速率为1M；

PC2接在Cisco3550 F0/2上，速率为2M；

Cisco3550的G0/1为出口。

二、详细配置过程

注：每个接口每个方向只支持一个策略；一个策略可以用于多个接口。因此所有PC的下载速率的限制都应该定义在同一个策略（在本例子当中为policy-map user-down），而PC不同速率的区分是在Class-map分别定义。

1、在交换机上启动QOS

Switch(config)#mls qos //在交换机上启动QOS

2、分别定义PC1（10.10.1.1）和PC2（10.10.2.1）访问控制列表

Switch(config)#access-list 10 permit 10.10.1.0 0.0.0.255 //控制pc1上行流量

Switch(config)#access-list 100 permit any 10.10.1.0 0.0.0.255 //控制pc1下行流量

Switch(config)#access-list 11 permit 10.10.2.0 0.0.0.255 //控制pc2上行流量

Switch(config)#access-list 111 permit any 10.10.2.0 0.0.0.255 //控制pc2下行流量

Ip nat inside destination list 1 pool Webser

Ip nat inside destination list 2 pool Ftpser

3、定义类，并和上面定义的访问控制列表绑定

Switch(config)# class-map user1-up //定义PC１上行的类，并绑定访问列表10

Switch(config-cmap)# match access-group 10

Switch(config-cmap)# exit

Switch(config)# class-map user2-up

Switch(config)# class-map user1-down

Switch(config-cmap)# match access-group 100 //定义PC1下行的类，并绑定访问列表100

Switch(config)# class-map user2-down

Switch(config-cmap)# match access-group 111 //定义PC2下行的类，并绑定访问列表111

Switch(config-cmap)# exit

4、定义策略，把上面定义的类绑定到该策略

Switch(config)# policy-map user1-up //定义PC１上行的速率为1M

Switch(config-pmap)# class user1-up

Switch(config-pmap-c)# trust dscp 信任差分服务代码点,用来对每一类流量实施各种QOS策略，用户进来的数据包的DSCP缺省都为0

Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop 任何超过策略限制速率的通信流将会被丢弃（bits、bytes）

Switch(config)# policy-map user2-up //定义PC２上行的速率为2M

Switch(config-pmap)# class user2-up

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop

Switch(config)# policy-map user-down

Switch(config-pmap)# class user1-down

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop

Switch(config-pmap-c)# exit

Switch(config-pmap)# class user2-down

Switch(config-pmap-c)# trust dscp

Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop

Switch(config-pmap-c)# exit

5、在接口上运用策略

Switch(config)# interface f0/1

Switch(config-if)# service-policy input user1-up

Switch(config)# interface f0/2

Switch(config-if)# service-policy input user2-up

Switch(config)# interface g0/1

Switch(config-if)# service-policy input user-down

计算参数

多种参数控制令牌桶的行为：

· Rate 定义每个时间间隔内将有多少令牌取出。低于速率的所有流量都被视为是符合配置要求的。

· Interval 定义令牌隔多长时间从桶内取出一次。间隔固定在0.00025秒，从而令牌每秒钟将从桶中取出4000次。时间间隔不能更改。

· Burst 定义在任何一个时刻桶内能够容纳的最大令牌数。为了维持规定的流量速率，突发速率的大小不应该低于速率与时间间隔的乘积。另外一种考虑就是最大尺寸的数据包也必须能够置入桶内。

可以用以下公式来确定突发速率参数：

突发速率＝（速率（bps）*0.00025（秒/时间间隔））或（最大数据包大小（位）），取两者中较大的值。

例如，计算需要在以太网上维持1 Mbps速率所需的最小突发速率值。速率定义为1 Mbps，而最大的以太网数据包为1518 字节，这样公式变为：

突发速率＝（1，000，000bps*0.00025）或（1518字节* 8位/字节）＝250 或12144 两者中较大的值为12144，我们可将其折算为13 Kbps. 注：在Cisco IOS中，策略速率以bps定义。此外，突发速率在Cisco IOS中以字节来定义。

注：由于受硬件策略粒度的影响，实际速率和突发速率都应该折算为最接近的支持值。确认突发速率值不低于最大的数据包尺寸，否则所有大于最大突发速率尺寸的数据包都将被丢弃。

例如，如果用户想在Cisco IOS中将突发速率设置为1518，则它将会被折算为1000字节，从而所有大于1000字节的帧都将被丢弃。解决方案是将突发速率配置为2000.

在定义突发速率时，需要考虑一些协议（如TCP）会针对丢包而采用流控制机制。例如，TCP将把每个要丢失的数据包的窗口缩小一半，相应地，当对某个速率进行策略时，有效的链路使用率就会低于配置的速率。您可以增加突发速率从而实现更高的利用率。对这些流量来说，比较简单易行的方式就是将突发速率的大小增加一倍（在我们的例子中可以从13 Kbits 增加到26 Kbits），监控性能，然后根据需要进行调整。

mls qos

!--- 激活QoS

mls qos flow-policing

class-map match-any bit

match protocol bittorrent

match protocol eDonkey

match access-group edonkey

match …！－用户根据实际情况定义

policy-map p2p

class bit

police flow 100000 2000 conform-action transmit exceed-action drop

!--- 定义微流管理器，限制每个p2p应用流为100 Kbps的微流量

police 20000000 13000 26000 conform-action transmit exceed-action drop

!--- 定义聚合管理器，以便限制所有p2p应用流为20Mbps聚合流量

三、在接口上应用策略（设备可能仅支持input方向）

interface gigabitEthernet0/2

service-policy input p2p

service-policy output p2p

如果实施基于VLAN的QoS配置，需要在二层接口配置mls qos vlan-based

四、验证策略实施情况

sh mls qos

sh mls qos ip gigabitEthernet 0/2

sh mls ip detail #进行微流策略统计

sh int g0/2 rate-limit

show policy-map interface g0/2

show ip nbar unclassified-port-stats

show ip nbar protocol stats byte-count

show ip nbar port-map | include custom

注：以上配置适用于cisco6509sup720平台，可用IOS版本12.1以上。

华为三层交换机如何限制某端口的流量(华为交换机端口限速配置说明)

2008-03-28 22:36

华为三层交换机如何限制某端口的流量

端口限速配置

『配置环境参数』

1. PC1和PC2的IP地址分别为10.10.1.1/24、10.10.1.2/24

『组网需求』

1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传

速率限制在1Mbps

2数据配置步骤

『S2000EI系列交换机端口限速配置流程』

使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】

1. 进入端口E0/1的配置视图

[SwitchA]interface Ethernet 0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet0/1]line-rate outbound 30

3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet0/1]line-rate inbound 16

【补充说明】

报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。

此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。

『S2000-SI和S3000-SI系列交换机端口限速配置流程』

使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】

1. 进入端口E0/1的配置视图

[SwitchA]interface Ethernet 0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps

[SwitchA- Ethernet0/1]line-rate outbound 2

3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet0/1]line-rate inbound 1

【补充说明】

对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，1.25M，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示3.12M，6.25M，9.38M，12.5M，20M，40M，60M，80M。

此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。

『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』

使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。

【SwitchA相关配置】

1. 进入端口E0/1的配置视图

[SwitchA]interface Ethernet 0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet0/1]line-rate 3

3. 配置acl，定义符合速率限制的数据流

[SwitchA]acl number 4000

[SwitchA-acl-link-4000]rule permit ingress any egress any

4. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet0/1]traffic-limit inbound link-group 4000 1 exceed drop 【补充说明】

line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl 的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。

端口出入方向限速的粒度为1Mbps。

此系列交换机的具体型号包括：S3026E/C/G/T、S3526E/C/EF、S3050C、S5012G/T 和S5024G。

『S3528、S3552系列交换机端口限速配置流程』

使用以太网物理端口下面的traffic-shape和traffic-limit命令，分别来对该端口的出、入报文进行流量限速。

【SwitchA相关配置】

1. 进入端口E0/1的配置视图

[SwitchA]interface Ethernet 0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet0/1]traffic-shape 3250 3250

3. 配置acl，定义符合速率限制的数据流

[SwitchA]acl number 4000

[SwitchA-acl-link-4000]rule permit ingress any egress any

4. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet0/1]traffic-limit inbound link-group 4000 1000 150000 150000 1000 exceed drop

【补充说明】

此系列交换机的具体型号包括：S3528G/P和S3552G/P/F。

『S3900系列交换机端口限速配置流程』

使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制。

【SwitchA相关配置】

1. 进入端口E1/0/1的配置视图

[SwitchA]interface Ethernet 1/0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet1/0/1]line-rate 3000

3. 配置acl，定义符合速率限制的数据流

[SwitchA]acl number 4000

[SwitchA-acl-link-4000]rule permit ingress any egress any

4. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet1/0/1]traffic-limit inbound link-group 4000 1000 exceed drop

【补充说明】

line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl 的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入方向数据报文进行流量限制。

端口出入方向限速的粒度为64Kbps。

此系列交换机的具体型号包括：S3924、S3928P/F/TP和S3952P。

『S5600系列交换机端口限速配置流程』

使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合acl，使用以太网物理端口下面的traffic-limit命令，对匹配指定访问控制列表规则的端口入方向数据报文进行流量限制。

【SwitchA相关配置】

1. 进入端口E1/0/1的配置视图

[SwitchA]interface Ethernet 1/0/1

2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps

[SwitchA- Ethernet1/0/1]line-rate 3000

3. 配置acl，定义符合速率限制的数据流

[SwitchA]acl number 4000

[SwitchA-acl-link-4000]rule permit ingress any egress any

4. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps

[SwitchA- Ethernet1/0/1]traffic-limit inbound link-group 4000 1000 exceed

drop

【补充说明】

line-rate命令直接对端口的所有出方向数据报文进行流量限制，而traffic-limit命令必

须结合acl使用，对匹配了指定访问控制列表规则的数据报文进行流量限制。在配置acl

的时候，也可以通过配置三层访问规则，来对指定的源或目的网段报文，进行端口的入

方向数据报文进行流量限制。

端口出入方向限速的粒度为64Kbps。

此系列交换机的具体型号包括：S5624P/F和S5648P。

一、标记的配置方法

1.先定义一个class map的匹配列表,可以定义规定的特定的流量,policy map就可以对class map里面的东西进行更改操作.

(config)#class-map [match-all | match-any] {map-name}

2.定义匹配语句:

(config)#{confition}

condition的配置选项有

match access-group {ACL} 匹配IP ACL (主要对应数据包)

match protocol {protocol} 匹配协议

match input-interface {interface} 匹配进站接口

match qos-group {group ID} 匹配组ID

match destination-address {mac mac-address} 匹配目标MAC地址

match soure-address {mac mac-address} 匹配源MAC地址

match ip {dscp dscp} 匹配IP DSCP值

match ip {precedence precedence} 匹配IP优先级

match class-map {map-name} 匹配class map

match vlan {vlan-id} 匹配vlan

3.设置policy map(即定义分类的策略):

(config)#policy-map {policy-name}

4.调用class map:

(config)#class {class-map}

5.设置标记:

(config)#{action}

常用标记动作:

set ip {precedence precedence} 设置IP优先级

set ip {dscp dscp} 设置IP DSCP值

set qos-group {group ID} 设置组ID

set cos {cos} 设置COS值

priority {kbps | percent percent} [Bc] 定义优先级流量的保留的带宽以及突发流量bandwidth {kbps | percent percent} 定义保留的带宽

police {CIR Bc Be } conform-action {action} exceed-action {action}

[violate-action {action}] 使用令牌桶算法进行限速

random-detect 启用WRED

queue-limit {packets} 定义队列中数据包的最大个数

service-policy {policy-map} 使用别的策略进行嵌套,做为match语句匹配的标准shape {average | peak } {CIR [Bc] [Be]} 定义CIR,Bc以用Be进行整形

6.加载到接口上:

(config-if)#service-policy [input | output] plicy-name

7.查看命令:

show policy-map [policy-name]

二、示例

1.限制源自19

2.168.10.0/24的流量的带宽为1000kbps.

(config)#class-map match-all kkblue

(config-cmap)#match access-group 1

(config-cmap)#exit

(config)#policy-map blue

(config-pmap)#class kkblue 匹配class map kkblue

(config-pmap)#bandwidth 1000 限制带宽1000K

(config-pmap)#queue-limit 30 限制队列数据包上限30个包

(config-pmap)#class class-default 其他的放置到默认队列

(config-pmap)#exit

(config)#interface serial1

(config-if)#ip address 172.16.10.1 255.255.255.252

(config-if)#service-policy output blue 就用到出站接口上

(config-if)#exit

(config)#access-list 1 permit 192.168.10.0 0.0.0.255 访问控制列表

2.对匹配192.168.0.0/24的出站流量进行限速

(config)#interface serial1

(config-if)#ip address 10.0.0.1 255.255.255.252

(config-if)#rate-limit output access-group 1 20000000 24000 32000

conform-action transmit exceed-action drop

(config-if)#exit

(config)#access-list 1 permit 192.168.0.0 0.0.0.255

3.对于源MAC地址是00e0.34b0.7777的流量进行限速

(config)#interface Serial1

(config-if)#rate-limit input access-group rate-limit 100 80000000

64000 80000 conform-action transmit exceed-action drop

(config-if)#ip address 200.200.6.1 255.255.255.0

(config-if)#exit

(config)#access-list rate-limit 100 00e034b07777

限制来自192.168.0.0/24的进站数据包的平均速率为8000bps,突发流量(bc)

为2000字节,额外突发流量(be)为4000字节,对突发流量和额外突发流量分别采取

转发和设置(Qos)组IP为25的策略,对违反突发流量和客外突发流量的数据流量采取丢弃的策略:

配置命令如下:

(config)#class-map match-all test1 创建一个可以匹配任何条件的列表

(config-cmap)#match access-group 1 匹配IP的ACL访问控制列表

(config-cmap)#exit

(config)#policy-map kiss 设置policy-map

(config-pmap)#class test1 调用class-map

(config-pmap-c)#police 8000 2000 4000 conform-action

transmit exceed-action set-qos-transmit 25

violate-action drop

设置Qos组ID并发送该数据包

(config-pmap-c)#exit

(config-pmap)#exit

(config)#interface Serial1

(config-if)#ip address 172.16.0.1 255.255.255.252

(config-if)#service-policy input kiss 加载到serial1的接口上

(config-if)#exit

(config)#access-list 1 permit 192.168.0.0 0.0.0.255