rg-ace v5.0应用控制引擎实施指南

1、RG-ACEv5.0 应用控制引擎实施指导2011-8-24福建星网锐捷网络第 1 页, 共 42 页文件类型： 实施类版本号：V1.1（2011/08/24）文档作者：文档修订第 2 页, 共 42 页日期修订说明执行人2011-8-24第一次发布前言本文针对ACEv5.0 产品特性以及行业里的应用类型，给出相应的实施流程和解决方案，供客支工程师在项目实施中参考。内容简介阅读指南在阅读本文档之前，希望您能够基本了解该产品所涉及的技术原理。第 3 页, 共 42 页章节号名称内容简介1产品部署流程-2实施前部署准备收集、系统要求、设备的部署、部署注意事项及兼容性说明3常见应用模型具体的应用模型

2、4产品配置指导该设备中的重要功能策略和日志的配置参考5常见问题服务器、管理及策略配置等常见问题分析6术语及缩略语-目录1产品部署流程61.11.2部署流程图6流程介绍..41.2.5步骤 1：部署准备7步骤 2：环境搭建7步骤 3：流量观察与分析8步骤 4：具体功能配置8步骤 5：确认配置效果82实施前部署准备92.1收集9收集要点9收集目的10系统要求.3PM 服务器端要求10PC 客户端要求11设备版本要求112.3典型部署模式112.3.1NAT 前11部署注意事项.32.4.4安

3、装注意事项13链路安全防护功能13控制14全局设置防止 IP. 152.5兼容性说明153常见应用模型173.1应用模型一：校园网单出口.23.1.3组网图17配置思路17检验配置效果244产品配置指导254.1ACE 基础功能的配置...64.1.7登录设备25配置管理端地址25配置默认网关26启用 ACE 应用控制引擎的 http 服务26. 27启用网络接口28升级 firmware 和特征库29第 4 页, 共 42 页4.2PM 基础功能的配置3..4JAVA环境安装31P

4、M 设备连接32PM 报表功能设置33日志功能设置365常见问题405.45.5无法打开 ACE 管理页面40ACE 设备接到网络中，网络不通40ACE 设备接到网络中，策略设置不生效40ACE 设备在 web 界面配置完成后，设备重启策略丢失40PM 报表出不来416术语和缩写词42第 5 页, 共 42 页1产品部署流程第 6 页, 共 42 页项目实施流程图步骤工程师动作主导人1 部署准备掌握客户网络信息和需求收集工程师2 环境搭建根据步骤 1 的部署需求确定 ACE 部署位置，搭建设备环境和服务器3 割接后的流量观察和分析步骤 2 完成后，需要对现网的流量进行观察和分

5、析，详细了解客户的具体需求，不做任何策略配置4 具体功能配置根据观察到的流量分析和客户的具体需求，制定适合客户需求的 控制策略；开启相应的日志报表和 http 日志等功能（按需求）5 确认配置效果策略配置完成，需要不断的调整修正达到客户满意实际效果1.1部署流程图1.2.1步骤 1：部署准备项目实施前需向集成商或用户了解或提供项目实施所需必要条件，可提供收集表，请参照以下“客户环境表”，收集客户环境应尽可能的详细，环境收集可根据不同产品型号进行适当调整。当实施条件不具备时需等待实施条件准备充分时，再进行现场实施。1.2.2步骤 2：环境搭建此步骤有一个部署需求分析。客户的业务需求控制的流量是否

6、经过 NAT 设备，大部分情况是部署在NAT 设备之前的，可以清晰的观察到内网用户的流量情况。其次是服务器和客户端及设备的初始化配置。该流控系统基于 B/S 架构，采取带外管理，第 7 页, 共 42 页注：服务器端最好装载在非系统操作盘的 1TB 磁盘里（1 年日志需求，不做删除）环境表客户联系人客支联系人销售联系人办公移动设备型号RG-ACE 3000v5.0吞吐量6Gbps最大并发连接数4，000，000每秒新建连接数100，000操作系统类型Firmware ver2.8.40服务器台数1管理控制端操作系统版本需求量CPU 要求内存要求空间要求服务器Win2003/2008 R2 x6

7、41P4 3.0 以上2GB 以上1TB客户端Win XP/2003无512M 以上无1.2流程介绍配置信息及日志信息与网络的流量是分开的，因此服务器出现问题不会影响到设备的使用，重新启用一台服务器即可。最后是设备的初始化，详见环境安装章节。1.2.3步骤 3：流量观察与分析在完成设备的初始化及环境搭建后，将设备割接到网络中。初期不用急于配置策略，只需开启协议识别功能，将网络中的应用流量区分开来。这个步骤一般需要两到三个小时的时间。通过流量观察与分析，需要确认客户需要量，限制网络中的哪些流量。这一步网络中的哪些流量，保证网络中的哪些流。1.2.4步骤 4：具体功能配置确认客户需要网络中的哪些流

8、量，保证网络中的哪些流量，限制网络中的哪些流量后，进行具体的策略配置，详见部署具体功能参考章节1.2.5步骤 5：确认配置效果策略配置完成，需要不断的调整才能达到客户满意的需求。此步骤重复步骤三、四、五即可。第 8 页, 共 42 页2实施前部署准备项目实施前，首先需要收集客户网络的网络流量信息，按照客户需求进行流量策略设置。2.1.1 收集要点客户原有拓扑以及应用流量网络内最主要的流量，区分业务流量和非业务流量。是否以 P2P 应用为主的流量，大部分为非业务流量，如迅雷。是否以、网络电视为主的实时流量，可能为业务流量，如教学。其他特殊流量，需要外部用户的服务器，登录等。基于时段的流量峰值，控

9、制络资源。时段的拥塞，开放低峰时段的，充分利用网现有终端信息点类型及数量网络信息点中是否存在向外发布的服务器地址，在做相应策略时，考虑到服务器的地址，避免对重要的服务器如 DHCP 服务器的会话限制导致的网络问题。每个信息点需要保证或限制的流量数值，取决于不同用户对网络拥塞的承受程度，保证其正常业务流量，限制或其业务流量。需要确认客户是否有安全功能对于 RG-ACE 设备的安全扩展计划，该设备不具备的功能，需要对它进行保护；对于认证安全，可以结合该设备来做相应策略，如用户认证。终端信息点类型及数量扩展计划，对网络内用户采取计费上网的，如果没有流量经过该设备，不会计入到相应 IP 数里，显示 I

10、P 数会比计费系统的少。一些安全功能的开启，如开启全局设置策略。第 9 页, 共 42 页2.1收集2.1.2收集目的对客户网络拓扑情况的收集，确认该设备的正确部署位置。进一步的流量情况的收集，对设备的部署有更明确的位置（详细见下面章节的部署模式）。对客户网络流量行为的收集，确认客户对某些应用流量的度，如迅雷有些客户希望限制住它，有些客户则希望完全禁掉它，视具体情况而定。对客户网络信息点的收集，为后期精细化的流量整形做准备，具体到每个信息点需要保证或限制的流量数值。对客户功能的收集，网络中的认证系统、防护系统对网络的影响，直接会影响到设备的使用。结合认证系统可以在该设备上做精细化的认证，好的减

11、轻了设备进行应用分析的压力。防护系统2.2.1PM 服务器端要求要求操作系统：Win2003/2008 R2 x64浏览器：IE 7.0 以上JAVA 环境：JRE 1.6.0 以上硬件要求（最小配置要求）CPU：P4 3.0 以上内存：2GB 以上硬盘：最少 100GB 空间第 10 页, 共 42 页下文以 RG-ACE3000 为例介绍 RG-ACE 产品开局实施。2.2系统要求2.2.2 PC 客户端要求要求操作系统：Windows浏览器：IE 7.0 以上硬件要求无2.2.3设备版本要求Firmware ver2.8.40Ruijie Layer 7 Module ver4.2.12

12、1硬件RG-ACE 2000RG-ACE 3000RG-ACE 设备为应用控制引擎，对网络ernet 流量进行分析决定了该设备放置在网络经常发生拥塞的出口。根据实际的应用流量及出口 NAT 的行为，ACE 设备部署在NAT前。2.3.1NAT 前常见将 RG-ACE 设备部署在 NAT 设备前，可以区分内网地址，做精细化策略控制。拓扑图第 11 页, 共 42 页2.3典型部署模式网络描述此网络为某大学校园网，现分为东、西两大校区，有着 3 万余人的教师和学生。学校正在建设网络中心，由于其网络流量已达到满负荷，对流量控制有较大需求。出口设在东校区，使链行，网络出口分别为教育网 155M,网通出

13、口 400M，出口流量现已经满负荷。校区网络中迅雷和 P2P 的应用占到带宽很大的比例，已经严重影响正常网页浏览和日常网络办公业务。客户需求了解客户网络中的应用非常重要，决定了策略是保证什么，限制什么和什么；还将决定 ACE 设备是放在外还是内（虽然一般是放在内网口，但也有特殊案例，将在后续讲到）。该拓扑是放在和交换机之间。客户的需求：保证上网流畅，保证网页浏览和正常办公的网络质量。由于网络中迅雷、PPlive、PPstreACE、BT、eMule 等P2P业务流量占到总流量的70-80%，且这些流量抢占带宽非常厉害，导致正常办公和网页浏览受到很大影响。预留带宽给今后可能增加的应用，如近期的一

14、个服务器 210.44.的接入带宽保证，其对外的网页和保证质量。在网络出口带宽满负荷流量的情况下，也能够分出一部分带宽给特殊的应用，保证学校信息对外开放的及时性和稳定性，通过 dhcp 动态获取 ip 地址。对TOP 10 流量用户的限制，经常使用网络流量10 的用户将被限制在 1M 左右的带宽流量下。占据网络带宽流量 TOP 10 的网络用户，往往能占据总网络带宽流量的 20-40%，对这些用户进行限制，可以极好的缓解网络带宽过于紧张的压力。第 12 页, 共 42 页2.4.1安装注意事项RG-ACE 是以 inline 透明接入的形式串联在网络出口或测试链路中，客户非常希望设备是稳定的，

15、因此应该将旁路装置也要考虑在内，光口使用光旁路装置，电口 RG-ACE 设备自身具备电口旁路功能。PM 服务器端的安装如果 JAVA 存在版本，需要卸载掉其他版本的 JAVA，然后再安装JRE，否则流量分析会显示不出实时流量。PM 服务器上不要有其它的 JAVA 和应用式端口，否则管理服务器无法开启。不要占用及 80PM 服务器路由可达，使用其他PC 即可控制，请设置好权限。在服务器上将安装在较大空间的非系统磁盘，开启HTTP 日志后文件占用空间大小在10G 以上。初期会出现很多others 未识别的流量，这是由于链路切换，造成很多TCP、UDP 重新连接。待链路稳定后，others 流量会下

16、降到一个稳定值，因此在稳定后进行流量策略和流量整形比较合适，一般为一到半天的流量观察期。强烈建议 java 的插件更新要取消，避免更新后和管理端浏览器异常兼容性上出现显示和2.4.2链路安全防护功能ACE 设备中，RG-ACE 2000 和 RG-ACE 3000 型号的光纤接口需要配置外置光纤 Bypass交换机，以保证用户网络的最大可用性。电口内置bypass。光纤Bypass 交换机主要的作用是：一旦发生断电或ACE 设备发生硬件故障的情况下，光纤Bypass 交换机会直接桥接该链路，把 ACE 设备旁路掉，从而最大程度地保证用户网络的可用性。具体的接线方法如下图所示：第 13 页, 共

17、 42 页光旁路交换机的接口为 LC 接口，下图ACE 对应的是 SFP 类型的光口2.4部署注意事项1. Network 口用于连接用户交换机、路由器、等网络设备A 口和用户设备相连B 口和用户内网设备相连2. Monitor 口用于连接IP 带宽管理设备A 口连接 ACE 的EXT 口B 口连接ACE 的口3. Console 口用于控制ACE 的状态切换，与 ACE 设备的心跳线接口（PS/2 口）相连。4. 连接OBS 时，不接心跳线，先连 OBS 和上下行的设备，此时链路通，流量只经过OBS，OBS 灯不亮。5. 再连OBS 和 ACE，此时ACE 光纤灯亮不闪，流量还是只经过OBS

18、。6. 再接心跳线，ACE 光纤灯闪，流量进入ACE。在使用 Bypass 交换机时，应注意以下事项：Bypass 交换机单独加电时，应当处于 Bypass 状态；Bypass 交换机先加电，连接好Bypass 交换机与设备间的心跳线后再开启ACE 设备的电源，当设备完全启动后，Bypass 交换机会自动从 Bypass 状态切换到正常状 态；正常情况，Bypass 交换机的ER 灯亮，其他灯不亮；ACE 设备掉电后，Bypass 交换机会切换到 Bypass 状态；ACE 设备故障时，Bypass 交换机会切换到 Bypass 状态；ACE 设备REBOOT 和 SHUTDOWN 时，Byp

19、ass 交换机会切换到Bypass 状态；2.4.3控制设备的 IP 地址。默认状态下，所有能连接到设备的服务控制主要是设置可以器都可以WEB 管理端。一旦设置控制策略，只有允许的 IP 地址才可以第 14 页, 共 42 页WEB 管理端。点选控制点击控制后，如右图所示。可以根据用户的需求，针对不同子网、范围和主机地址设置动作允许或者。设置完毕后，点击右上角的保存按钮即可。查看控制列表点击控制后，如右图所示，可以查看到控制列表。2.4.4全局设置防止 IP通过全局配置的设置，可以设定对源地址所采取的动作方式（trusted 或者 untrusted）。同时，在此模块当中，也可以指定认证类型和

20、具体的认证配置。如可以选择“SACE 认证类型”，但是可以选择不同的“认证配置”，可以实现基于不同源地址的 eportal 重定向认证。本系统服务器端适用于 windows64 位操作系统，包括 windows2003 R2x64 和 windows2008 R2x64，IE 浏览器 7.0 以上，使用其它浏览器如遨游等，不能够看到实时流量分第 15 页, 共 42 页2.5兼容性说明析。该设备是透明接入设备，对网络的影响较小，不对网络做任何改动。设备基于 B/S 架构，因此流量控制和相关的日志、配置控制信息是互相网络流量的影响减小到最少。开来的，通过带外管理将设备对第 16 页, 共 42

21、页3常见应用模型3.1.1组网图3.1.2配置思路基础配置步骤参照本文档第 4 章内容对设备进行基础配置包括设置管理地址，默认网关，输入 license信息，打开相应接口，升级设备至相应 firmware 等。第 17 页, 共 42 页3.1应用模型一：校园网单出口策略配置网段为 /24 的用户组，组中每用户最大带宽 10Mbps，其中 p2p 应用最大1Mbps，应用最大 2Mbps。网段总带宽流量为 200Mbps，其中 p2p 应用 70Mbps,视频应用 60Mbps，其它应用 70Mbps。做出带宽嵌套的配置。下面分如下几步来完成：1. 第 1 步：新建对象新建网段 /24 的用户

22、组。注：配置方法如下图所示：注：只要在“对象”里面新建 /24 的网段即可。新建 P2P 和应用组。注：配置的方法如下图所示：第 18 页, 共 42 页P2P 应用注：新建两个应用组（p2p 应用组和应用组），然后把相应的应用增加到组里即可。2. 第 2 步：新建PIPE 和VC实例中提到每用户最大带宽 10Mbps，其中 p2p 应用最大 1Mbps，应用最大 2Mbps。网段总带宽流量为 200Mbps，其中 p2p 应用 70Mbps，应用 60Mbps，其它应用70Mbps。此时要新建一个 pipe，在此 pipe 下面新建二个 vc，分别是 p2p 应用 vc、第 19 页, 共

23、42 页应用应用 vc、其它应用的默认 vc。并且 vc 的属性是 perhost 属性。注：配置的方法如下图所示：PIPE 图先新建一个 pipe，最大带宽为 200Mbps，属性为 perhost 10Mbps。P2P 应用 VC 图第 20 页, 共 42 页应用 VC 图其它应用 VC 图第 21 页, 共 42 页3. 第 3 步：新建策略配置策略首先让内网用户流量进入 pipe 通道，然后再设置 p2p 应用流量进入 p2p 应用 vc 通道、应用 vc 通道、其它应用流量进入默认 vc 通道。应用流量进入注：配置的方法如下图所示：PIPE 策略第 22 页, 共 42 页流量管理

24、P2P 应用策略第 23 页, 共 42 页应用策略3.1.3检验配置效果1. 执行命令 show system cpu-utilization、show system memory-utilization，查看设备的cpu、system 内存的使用情况。2. 执行命令 showerface，查看详细的接口信息。3. 通过PM 报表系统查看各pipe 及 vc 流量情况。第 24 页, 共 42 页其它应用策略4产品配置指导4.1.1登录设备利用RS-232 console 线（随机附件），将 ACE 应用控制引擎设备的 console 端口与您用来配置ACE 应用控制引擎设备的PC 端COM

25、 口对接。您即可通过 CLI 指令来配置ACE应用控制引擎设备的系统参数。COM 端口配置每秒位数：115200数据位：8奇偶校验：无停止位：1数据流控制：无或者您也可以通过网线连接 MGMT 端口以标准 ssh 方式连接到设备，如果您选择用 ssh的话，首先要把 MGMT 接口设备 IP 地址，请确认用 ssh 方式登录的终端能够到此地址。一般情况下初次配置建议使用 console 口进行配置，两种登录方式下的操作完全相同。设备登陆：默认用户名：admin默认：admin当 Console 界面中出现“”提示符即表示登录成功。4.1.2配置管理端地址配置管理端地址是方便用户管理 ACE 应用

26、控制引擎设备。第 25 页, 共 42 页4.1ACE 基础功能的配置注： 配置的方法如下图所示( 假设 ACE 应用控制引擎设备的管理口地址为/24)：4.1.3配置默认网关ACE 应用控制引擎的管配置默认网关是为了让用户在全网的任何地方都可以理口。注：配置的方法如下图所示(假设网关地址 54)：4.1.4启用 ACE 应用控制引擎的 http 服务ACE 应用控制引擎设备已经内嵌了 web 服务器管理端，如果用户需要通过 web 远程登陆到 ACE 应用控制引擎，只要在浏览器里面输入设备的管理地址，就可以登陆了。注：配置的方法如下图所示：此时用户只要在浏览器里面输入设备的管理地址就可以。如

27、：应用控制引擎的管理地址，即，输入usernACEe/Password，通过确认后，管理页面。登录后的界面如下图所示。第 26 页, 共 42 页说明：ACE 应用控制引擎缺省的用户名和均为 admin。ACE3000# configureACE3000(configure)#http-serverACE3000# configureACE3000(configure)#ip default-gateway 54ACE3000# configure ACE3000(configure)#erface mgmtACE3000(configure-if-mgmt)#ip address ACE30

28、00(configure-if-mgmt)#no shutdown4.1.5ACE 设备对不同级别的用户提供不同的，可通过此功能进行 license 的升级管理。第 27 页, 共 42 页此处输入从正规获得的信息，即可完成设备。4.1.6 启用网络接口网络接口包括接口连接接口和外部接口，即一对物理接口，网络接口用于连接物理网络。即网络、外部接口连接外部网络。如果要把网络接口接入到网络中时，首先要人工把接口开启、开启RMOM 功能、开启 QOS 功能。注：配置此功能可以通过两种方式实现，即命令行和 web 方式。第一种：命令行方式配置方法如下图所示(此例以第 1 个网络接口为例)：第 28 页

29、, 共 42 页ACE3000# configure ACE3000(configure)#erface1ACE3000(configure-if-1)#no shutdown ACE3000(configure-if-1)#qosACE3000(configure-if-1)#rmon查看流控后数据须打开相应的 x/xext 口 Rmon 功能,具体命令同/ext 口第二种：web 方式4.1.7 升级 firmware 和特征库升级firmware 或特征库是从远端server 上加载firmware 或待征库文件至ACE 应用控制引擎的 firmware 文件下，ACE 应用控制引擎出厂

30、时 firmware 和特征库已经升级到固定版本了，如果用户要升级或者降级 firmware 或特征库时可以采用如下方式：注：配置此功能可以通过两种方式实现，即命令行和 web 方式。第一种：命令行方式第 29 页, 共 42 页ACE3000(configure-if-1)#exit ACE3000(configure)#erface ext1 ACE3000(configure-if-ext1)#no shutdown ACE3000(configure-if-ext1)#qosACE3000(configure-if-ext1)#rmon第二种：web 方式第 30 页, 共 42 页上

31、传特征库上传 firmwareurl -protocol:/usernACEe:passwordip_address/directory/file protocol 传输协议类型：Ftp、sFtpusernACE 应用控制引擎 e 远端服务器用户名password Ftp 或者 sFtp 的 ip_address 主机服务器的 ip 地址 directory 备份文件的路径file 备份文件的文件名说明：命令行的参数说明。上传 webui以上名称一定要以 firmware.bin、dpi-signature.bin、webui.bin 格式命名。4.2.1JAVA环境安装1. 步骤一、单击 J

32、RE 安装程序，如右图图标。2. 步骤二、选择典型安装，然后点接受。第 31 页, 共 42 页4.2PM 基础功能的配置3. 步骤三、完成JRE 的安装，点击完成。4.2.2PM 设备连接1. 打开本机浏览器 http:/*.*.*.*,如出现下图显示结果，则表示安装正常。2. 点击，打开安装cnt java 小程序，如本机没有安装java 运行环境，请先安装JRE，如安装成功运行后会出现如下图登录框。第 32 页, 共 42 页3. 输入用户名（默认全为 admin）进入PM 管理界面。4.2.3 PM 报表功能设置1. ACE 设备基础准备配置为了查询流控后数据，ACE 设备必须开启相关

33、接口的 RMON 功能（当前版本必须同时打开/ext 及 x/xext 接口,并且开启/ext 及 x/xext 接口的Rmon）。第一种：命令行方式配置方法如下图所示(此例以第 1 个网络接口为例)：第 33 页, 共 42 页ACE3000# configure ACE3000(configure)#erface1ACE3000(configure-if-1)#no shutdown查看流控后数据须同时打开相应的 x/xext 口 Rmon 功能,具体命令同/ext 口第二种：web 方式为了保证PM 设备能对已经知应用进行识别展示，ACE 设备必须DPI 中使能相应协议的识别。为了保证P

34、M 对进入不同桥组通道的流量进行识别区分，ACE 设备还必须在策略中心中打开相应 pipe 的RMON 及RMON2。第 34 页, 共 42 页ACE3000(configure-if-1)#qos ACE3000(configure-if-1)#rmon ACE3000(configure-if-1)#exit ACE3000(configure)#erface ext1 ACE3000(configure-if-ext1)#no shutdown ACE3000(configure-if-ext1)#qosACE3000(configure-if-ext1)#rmon2. 报表功能配置首

35、先是在PM 管理端添加ACE 设备,打开PM 管理界面后，选择一栏，添加设备信息如下图模块设备管理查看报表，选择流量报表菜单，打开前面添加的设备地址，即可查看相应报表第 35 页, 共 42 页4.2.4 日志功能设置PM 性能管理服务器提供了ACE 设备发出的 http、ses及quota 日志的功能，为了使用本功能，必须同时对PM 及ACE 进行相关设置。ACE 设备日志发送设置以下工作在 ACE 设备上完成：1. 首先是打开 ACE 策略中心日志（http 及会话数），具体设置如下图。第 36 页, 共 42 页2. 其次通过命令行设置 ACE 发送日志至PM 服务器。3. 然后保存退出

36、。PM 数据库初始化以下工作在PM 服务器上完成：1. 首先打开PM 管理界面，点击选项栏并打开数据库配置选项，初始安装时选择初始化数据库设置（此步骤需要安装册）。tgresq 数据库，数据库安装请参照 PM 安装手第 37 页, 共 42 页ACE-3000# configureACE-3000(config)# remooglogserver *.*.*.* 5140 sehttp endACE-3000#2. 点击下一步后出现如下图窗口，本界面需要设置的主要参数包括：IP 地址栏填写之前安装的tgresql 服务器地址（一般填写本机 地址）。用户名选择默认tgres，修改请填写修改后的用户名。即安装时输入的。3. 参数填完后，点击下一步提示初始化数据库成功（数据库初始化只能进行一次，如果已经初始化再次点击会显示失败提示）。第 38 页, 共 42 页4. 接下来可通过打开PM 管理界面设备日志选项查看日志，如下图：第 39 页, 共 42 页5常见问题