限速功能的原理及相应的配置文档.doc

流量速率限制模块用户配置和使用手册本章包括如下内容：l 概述l 限速原理及实现l 限速的相关配置l 显示配置信息l 使用举例第一章 概述目前，随着Internet的广泛应用，网络中的通信量越来越大，网络中传输的数据流很可能会汇聚到一个链路上从而导致网络的拥塞甚至瘫痪，使网络资源的利用率大大下降。同时网络运营商希望通过用户的不同级别来合理分配带宽，以达到根据使用者的付费来分配带宽的目的。此外网络中的安全性也是一个重要的问题。HammerOS系列交换机的限速技术就是一种灵活分配带宽、有效防止非法攻击的一种网络资源调控技术。HammerOS系列交换机就是通过和路由引擎相结合而具备有多种限速的功能，从而达到了指定速率的效果。它可根据用户的不同等级分别给予用户不同的带宽。HammerOS系列交换机可按64Kbps为单位进行速率限制，至64Mbps。用户可根据需要，实现端口、VLAN、SIP、DIP、SMAC、TOS、VPT等多种限速方案，同时还可实现QOS（IP到TOS映射、VPT到TOS映射和TOS到COS映射等）系列标准，满足了不同级别的服务需求，具有很强的灵活性。从而提高了网络带宽利用率，使网络资源得到有效的控制，增强了网络性能。第二章 限速原理及实现原理HammerOS系列交换机的限速功能主要是通过令牌桶算法实现的，令牌桶算法的基本思想是：任何数据要进入网络，一定要先从令牌桶中获取一个令牌。如果此时令牌桶为空，则所到数据就要被丢弃。令牌桶的大小规定了可以发送流的数目，从而可以控制流量的突发速率。一个令牌桶过滤器可由三个参数完全描述：T表示系统的时钟模式，即每个包可划分的 令牌数，HammerOS交换机系统规定每个包划分为一个字节的令牌。L表示令牌桶的最大深度，R表示令牌连续注入令牌桶的速率。当长度为P 的流通过时，将消耗桶内P个令牌。除非令牌桶内有足够的令牌，否则数据将不被发送。如果发送源在发送数据时，若令牌桶内始终有足够的令牌供其使用（不会因没有令牌而等待），则称发送源的流量符合令牌桶过滤器（R，L）。考虑到R对L的影响，对于给定的流量产生过程，HammerOS系统定义了一个非递增的函数L（R），使得该过程符合令牌桶（R，L（R）。令牌桶过滤器允许发送源发送突发的数据，此时突发数据的总的比特数等于令牌桶内令牌的数量，显然，它小于令牌桶的最大深度L。因此，符合令牌桶过滤器（R，L）的发送源其平均发送速率应小于或等于R（bit/s）。而且，在任意增加的时间t内，一个由令牌桶过滤器刻划其特征的发送源的流量都不会超过R*t + L。根据上述特征，HammerOS系列交换机成功的实现了限速功能。HammerOS系列交换机流匹配实现HammerOS系统中限速模块主要维护两张表结构：Select table（流选择表）和Flow table（流表）。其匹配流的过程如下图：流程说明：流分类单元根据流类型从每个到达的包中选出16个字节（字节的选取是由Select table决定的），利用hash算法算出一个18位的hash值。通过此hash值查找到相应流表进行匹配，每个流表都由16个字节的pattern值和mask值，如果包中每个字节按位与上相应字节的mask值，结果与其相应的pattern值相等，则为匹配流。如果不匹配，进入缺省的流表作相应处理。对于匹配流表的流，根据流表中的处理行为对匹配流作限速或其他操作。第三章 配置详解第一节限速相关配置在交换机上实现限速功能包含以下内容：l 配置流量的特征绑定l 配置流类型的缺省行为l 配置绑定的客户接入文件l 将用户接入配置文件和相应端口进行绑定，并且将这种流量绑定到流类型上，在端口上进行配置文件激活l 删除配置操作或关闭限速功能操作配置流量的特征绑定，将流类型和相应属性进行绑定HammerOS系列交换机支持四种流类型。在限速模块中只使用了三种流类型。对于每种流类型，通过查找至多16个字节来对所有流进行匹配。每种流类型可绑定的特征有源IP、目地IP、源MAC、VLAN、端口、VPT（Vlan Priority tag）、TOS等，并且支持这七种特征相互组合绑定（注：系统不支持vlan和port组合绑定）。要配制流的特征绑定，用以下命令：config flowtype bind port|vlan|smac|dip|sip|vpt|tos*7在配置流量和SIP、DIP、SMAC进行绑定时，可制定绑定的掩码，掩码的含义是流量可以通过 IP and MASK或SMAC and 源MAC MASK的方式进行区分。使用命令：config flowtype sipmask config flowtype dipmask config flowtype smacmask 例如：将流类型1绑定到DIP上，使用掩码8位。则键入命令：conflg flowtype 1 bind dipconfig flowtype 1 dipmask 8按回车，就执行此命令。配置流类型的缺省动作在HammerOS系统中，对于某种流类型不匹配的流缺省的行为是直接被转发的。但也可设置其缺省动作为drop。利用命令：config flowtype default action continue|drop例如：配置流类型1的缺省动作为drop，则键入命令：config flowtype 1 default action drop按回车，就执行此命令。配置绑定的客户接入文件，对每一个流量进行限制或其他操作，限速单位为64Kbps。客户接入文件中定义了用户所需要设置的一些流属性。如限制速率、COS值、TOS值、IP、SMAC值等。可配置的参数包括：l 所要限制的速率l SIP地址及其子网掩码l DIP地址及其子网掩码l 源MACl VPT和TOS之间的映射关系l VLAN IDl TOSl COS（class of service）创建一个customer-profile（客户接入文件）首先创建一个customer-profile，名字为name，name最长为六个字符。利用命令：create customer-profile 例如：创建一个名字为t11的接入文件，则键入命令：create customer-profile t11按回车，就执行此命令。配置限制速率配置customer-profile的限制速率，范围为从0到1000，0为不需要限速，单位为64kbps。利用命令：config customer-profile input-bandwidth 例如：对接入文件t11限制速率为32 * 64Kbps，则键入命令：config customer-profile t11 input-bandwidth 32按回车，就执行此命令。配置源IP地址及其掩码利用命令：config customer-profile sip 例如：对接入文件t11配置sip为10.1.30.30/8，则键入命令：config customer-profile t11 sip 10.1.30.30/8按回车，就执行此命令。配置目的IP地址及其掩码利用命令：config customer-profile dip 例如：对接入文件t11配置dip为10.1.30.30/8，则键入命令：config customer-profile t11 dip 10.1.30.30/8按回车，就执行此命令。配置源MAC地址利用命令：config customer-profile smac 例如：对接入文件t11配置smac为00015055ed45，则键入命令：config customer-profile t11 smac 00015055ed45按回车，就执行此命令。配置COS值COS（class of service）包括2位的优先级、1位的丢弃优先权和3位的VPT，HammerOS交换机可对这三个参数作配置，已达到不同需求。利用命令：config customer-profile priority discardability vpt 例如：配置接入文件t11的COS值为priority为1，discardability为0，vpt为1，则键入命令：config customer-profile t11 priority 1 discardability 0 vpt 1按回车，就执行此命令。配置TOS值对每个匹配的流，HammerOS系统可以对其IP头中的TOS进行自设置。允许用户来配置其值，要求此值范围在0-63之间，同时此命令还可以设置绑定的tos值。利用命令：config customer-profile tos 例如：配置接入文件t11的TOS值为1，则键入命令：config customer-porfile t11 tos 1按回车，就执行此命令。配置从VPT到TOS的映射关系利用命令：config customer-profile vpt tos 例如：配置接入文件t11中vpt为1，tos为2，则键入命令：config customer-profile t11 vpt 1 tos 2按回车，就执行此命令。配置VLAN ID利用命令：config customer-profile vid 例如：配置接入文件t11中vid为11，则键入命令：config customer-profile t11 vid 11按回车，就执行此命令。将用户接入配置文件和相应端口进行绑定，并且将这种流量绑定到流类型上，在端口上进行配置文件激活当用户接入配置文件建成之后，需要和相应的端口绑定，才能使这个配置文件有效。使能这个配置文件使用以下命令，同时需要遵循一定规则。绑定端口和接入文件将相应端口和用户接入文件绑定，利用命令：config port |all bind customer-profile 此命令允许一次绑定多个配置文件在端口列表上。例如：要将配置文件t11与端口8绑定，则键入命令：config port 8 bind customer-profile t11按回车，就执行此命令。绑定端口和流类型在绑定配置文件和端口后，还需将流类型绑定到相应端口上。利用命令：config port |all service customer-profile flow-type 例如：将流类型1绑定到端口8上，此端口上已绑定了配置文件t11，则键入命令：config port 8 service customer-profile t11 flow-type 1按回车，就执行此命令。使能流计数在绑定配置文件到相应端口后，允许将流计数功能打开（或关闭）。利用命令：config port |all service customer-profile counter enable|disable例如：使能端口8上绑定的配置文件t11的流计数，则键入命令：config port 8 service customer-profile t11 counter enable按回车，就执行此命令。如果输入disable，则表示关闭流计数功能。一般情况下最好关闭流计数功能，因为使能此项功能可能会导致每秒收到的包总量降低。激活配置文件当完成以上配置后，需要在端口上激活此配置文件，才能使配置有效。利用命令：config port |all service customer-profile status active|inactive例如：在端口8上激活配置文件t11，则键入命令：config port 8 service customer-profile t11 status active按回车，就执行此命令。如果键入inactive，则表示使此配置无效。如果更改配置文件中任意一项内容，要使此更改内容有效，一定要先inactive此配置，再active才能使之生效。配置匹配流的缺省行为在HammerOS系统中，对于在端口上绑定的匹配流的缺省动作是直接转发的。但我们可以设置这种缺省行为，利用命令；config port |all service customer-profile action continue|drop例如：要配置在端口8上匹配配置文件t11属性的流的缺省动作为drop。则键入命令：config port 8 service customer-profile t11 action drop按回车，就执行此命令。如果已经激活了这个配置文件，又改变了其缺省行为，要使此缺省行为有效，一定要先inactive此配置，再active才能生效。删除配置操作在做删除操作时，需遵循一定规则。使配置文件绑定无效要使端口上绑定的配置文件无效。利用命令：config port |all unbind customer-profile 例如：使端口8绑定的配置文件t11无效。则键入命令：config port 8 unbind customer-profile t11按回车，就执行此命令。在作此操作时，一定要先inactive此配置文件在端口上，才能执行此命令。删除配置文件利用命令：delete customer-profile 例如：要删除配置文件t11，则键入命令：delete customer-profile t11按回车，就执行此命令。在作此操作时，如果此配置文件已经在端口上激活，不允许删除此配置文件。使流的特征绑定无效要使流类型上绑定的属性无效，利用命令：config flowtype unbind例如：要是流类型1的特征绑定无效。则键入命令：config flowtype 1 unbind按回车，就执行此命令。第二节 显示状态信息显示配置文件信息用以下命令可以显示配置文件的状态： show customer-profile *1name可键入也可不键入。当不输入name值时，显示当前所有配置文件的状态信息。如键入某个customer-profile的名字，则仅显示当前配置文件的状态信息。show 命令所显示的配置文件信息包括以下内容：l 配置文件namel 输入带宽l 源IP及其掩码l 目的IP及其掩码l 源MAC值l VPT l TOS示例：显示配置文件t11的配置信息：HammerOS(config)# show customer-profile t11NAME INPUT-BW SIP DIP SMAC VPT TOSt11 32 10.0.0.0/8 0.0.0.0/0 00:00:00:00:00:00 0 23显示流表信息要显示流表信息，利用命令：show flow table示例：显示流表信息：HammerOS(config)# show flow table-Device: 3-FlowTableIndex: 2168skip:0 st:0 aging:0 cmd:0 prio:0 discard:0 vlanPrioTag:0FlowType:0 modifyTarget:0 modifyToS:0 newToS:0 newTrgPort:0 newTrgDevice:0P(1-4):0x0a000000 P(5-8):0x00000000 P(9-12):0x00000000 P(13-16):0x00000000M(1-4):0xff000000 M(5-8):0x00000000 M(9-12):0x00000000 M(13-16):0x00000000userDefined:0 packetCnt:675590597 reserved:0 flowcnt:1 octetsCnt:1880730216 I:1041 tet:0 L:4000000 enLB:1 lbMark:0 tickMode:1显示流选择表信息要显示流选择表信息，利用命令：show flow select示例略。第三节 限速配置举例下例是在HammerOS交换机中，有三种需求：1、 在24端口上对dip为10.1.30.250/32主机的下行流量进行限制，限制的带宽为2Mbps。2、 在5端口对smac为00102e3c67ed的上行流量进行限制，限制带宽是1Mbps。3、 在14端口上对sip为10.1.30.250的主机设置NEWTOS值为23，实现sip到tos的映射。要完成上述设置，键入命令：将smac绑定到流类型1上，dip绑定到流类型2上，并且设置dipmask为32。sip绑定到流类型3上，设置sipmask为32：config flowtype 1 bind smacconfig flowtype 2bind dipconfig flowtype 2 dipmask 32config flowtype 3 bind sipconfig flowtype 3 sipmask 32配置流属性接入文件，键入命令：create customer-profile t11config customer-profile input-bandwidth 32config customer-profile dip 10.1.30.250/32create customer-profile t12config customer-profile input-bandwidth 16config customer-profile smac 00102e3c67edcreate customer-profile t13config customer-profile sip 10.1.30.250/32config customer-profile tos 23激活customer-profile t11在端口24上、t12在端口5、t13绑定在端口14上，键入命令：config port 5 bind customer-profile t12config port 5 service customer-profile t12 flow-type 1config port 5 service customer-profile t12 couter enableconfig port 5 service customer-profile t12 status activeconfig port 14 bind customer-profile t13config port 14 service customer-profile t13 flow-type 3config port 14 service customer-profile t13 counter enableconfig port 14 service customer-profile t13 status activeconfig port 24 bind customer-profile t11config port 24 service customer-profile t11 flow-type 2config port 24 service customer-profile t11 counter enableconfig port 24 service customer-profile t11 status active组网如下图所示:第四节 命令列表下表列出了限速功能中使用的所有配置命令。HammerOS中限速的配置命令表：命令解释config flowtype bind port|vlan|smac|dip|sip|vpt|tos*7对流量进行特征绑定，可绑定的属性为port、vlan、smac、dip、sip、vpt的任意组合，但注意520模块不允许port和vlan一起绑定。config flowtype dipmask 配置绑定dip的流类型的dip掩码值。范围为1到32中任意整数值。config flowtype sipmask 配置绑定sip的流类型的sip掩码值。范围为1到32中任意整数值。config flowtype smacmask 配置绑定smac的流类型的smac掩码值。config flowtype default action continue|drop配置流类型的缺省动作。create customer-profile 创建一个customer-profile，名字为name，要求最长不超过6个字符。config customer-profile input-bandwidth 配置一个名字为name的customer-profile的限制带宽，范围为0到1000，0为不限速，单位是64Kbps。config customer-profile dip 配置customer-profile的dip值及掩码。掩码范围为1到32。config customer-profile sip 配置customer-profile的sip值及掩码。掩码范围为1到32。config customer-profile smac 配置custo