Cisco端口限速配置

思考的牛

Cisco 3550端口限速例子

　　一、网络说明

　　PC1接在 Cisco 3550 F0/3上，速率为1M;

　　PC2接在Cisco3550 F0/5上，速率为2M;

　　Cisco3550的f0/1为出口。

　　二、详细配置过程

　　注：每个接口每个方向只支持一个策略;一个策略可以用于多个接口。因此所有PC的下载速率的限制都应该定义在同一个策略(在本例子当中为policy-map user-down)，而PC不同速率的区分是在Class-map分别定义。

　　1、在交换机上启动QOS

　　Switch(config)#mls qos //在交换机上启动QOS

　　2、分别定义PC1(10.10.1.1)和PC2(10.10.2.1)访问控制列表

      Switch(config)#access-list 10 permit 10.10.1.0 0.0.0.255 //控制pc1上行流量
    Switch(config)#access-list 100 permit ip any 10.10.1.0 0.0.0.255 //控制pc1下行流量
    Switch(config)#access-list 11 permit 10.10.2.0 0.0.0.255 //控制pc2上行流量
    Switch(config)#access-list 111 permit ip any 10.10.2.0 0.0.0.255 //控制pc2下行流量

　　3、定义类，并和上面定义的访问控制列表绑定

　　Switch(config)# class-map user1-up //定义PC1上行的类，并绑定访问列表10

　　Switch(config-cmap)# match access-group 10

　　Switch(config-cmap)# exit

　　Switch(config)# class-map user2-up

　　Switch(config-cmap)# match access-group 11 //定义PC2上行的类，并绑定访问列表10

　　Switch(config-cmap)# exit

　　Switch(config)# class-map user1-down

　　Switch(config-cmap)# match access-group 100 //定义PC1下行的类，并绑定访问列表100

　　Switch(config-cmap)# exit

　　Switch(config)# class-map user2-down

　　Switch(config-cmap)# match access-group 111 //定义PC2下行的类，并绑定访问列表111

　　Switch(config-cmap)# exit

　　4、定义策略，把上面定义的类绑定到该策略

　　Switch(config)# policy-map user1-up //定义PC1上行的速率为1M

　　Switch(config-pmap)# class user1-up

　　Switch(config-pmap-c)# trust dscp

　　Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop

　　Switch(config)# policy-map user2-up //定义PC2上行的速率为2M

　　Switch(config-pmap)# class user2-up

　　Switch(config-pmap-c)# trust dscp

　　Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop

　　Switch(config)# policy-map user-down

　　Switch(config-pmap)# class user1-down

　　Switch(config-pmap-c)# trust dscp

　　Switch(config-pmap-c)# police 1024000 1024000 exceed-action drop

　　Switch(config-pmap-c)# exit

　　Switch(config-pmap)# class user2-down

　　Switch(config-pmap-c)# trust dscp

　　Switch(config-pmap-c)# police 2048000 1024000 exceed-action drop

　　Switch(config-pmap-c)# exit

　　5、在接口上运用策略

　　Switch(config)# interface f0/3

　　Switch(config-if)# service-policy input user1-up

　　Switch(config)# interface f0/5

　　Switch(config-if)# service-policy input user2-up

　　Switch(config)# interface f0/1

　　Switch(config-if)# service-policy input user-down

赚钱娶媳妇

学习

小华

学习

IT民工

好东西，必须顶

思考的牛

近期很多朋友都在咨询我关于端口限速的问题，大部分的是外出面试的朋友被公司问到。其实公司应用端口限速的技术在公司内网管理中并不经常被用到，多是一些ISP的公司租售带宽采用的技术方法。
         如上图所示，节点交换机3550是被放在一座写字楼的机房里，所有这家写字楼的公司的网络都源自这里。那么运营商如何在这台设备中配置对各个公司的网络带宽设置呢？让我们以图中的荣新外企IT培训中心为例，荣新外企IT培训中心申请了2M的链路。
         
Step-1
Rongxin#config t
Rongxin(config)# mls qos //开启qos服务
Rongxin(config)#access-list 1 permit 218.247.142.192 0.0.0.63
//定义端口所链接的网络分配的地址范围。一般来说，运营商都会在客户申请链路后分配给客户相应的地址段。一般2M的带宽会有一个32位的地址段，这还主要看运营商的态度问题。
Rongxin(config)#access-list 101 permit ip any 218.247.142.192 0.0.0.63
//上面的两条命令分别以标准及扩展的ACL命令定义了218.247.142.192/27这个地址范围的上下行速率。
Step-2
定义了地址范围后，需要定义一个类与这个地址范围绑定
Rongxin(config)#class-map vfast-up
//定义一个类名字为vfast，up是指针对于上行速率
Rongxin(config-cmap)#match access-group 1
//匹配定义好的列表1
Rongxin(config)#class-map vfast-down
Rongxin(config-cmap)#match access-group 101
//匹配定义好的列表101
//定义一个类名字为vfast，down是指针对于下行速率
Step-3
定义好了类，我们就需要把类加入具体的策略中
Rongxin(config)# policy-map vfast-up
//定义上行流量策略
Rongxin((config-pmap)#class vfast-up
//绑定刚才我们用于定义上行速率的类
Rongxin((config-pmap)# trust dscp
//信任差分服务代码点,用来对每一类流量实施各种QOS策略，用户进来的数据包的DSCP缺省都为0
Rongxin((config-pmap)# police 2048000 1024000 exceed-action drop
//定义速率为2Ｍ
Rongxin(config)# policy-map vfast-down
//定义下行流量策略
Rongxin((config-pmap)#class vfast-down
//绑定刚才我们用于定义下行速率的类
Rongxin((config-pmap)# trust dscp
//信任差分服务代码点,用来对每一类流量实施各种QOS策略，用户进来的数据包的DSCP缺省都为0
Rongxin((config-pmap)# police 2048000 1024000 exceed-action drop
//定义速率为2Ｍ
Step-4
将定义好的策略加入到链接到相应网络的端口中
Ronxin(config)#interface f 0/22
Ronxin(config-if)# service-policy input vfast-up
//这个端口与荣新网络的接口绑定的
Rongxin(config)#interface f 0/1
Rongxin(config-if)# service-policy input vfast-down
//这个端口是整个网络的出口接口
我经常说，其实网络设备的配置就是一个大圈套小圈的问题，我们先建立类似于ACL这样的小圈然后加入需要关联的策略组的圈子，最后都需要把具体的组合出来的功能应用放入需要这个应用的端口中。其实配置的规律多是如此，大同小异。

思考的牛

在Cisco设备中，只有支持思科快速转发（CEF，Cisco Express Forward）的路由器或交换机才能使用

rate-limit来限制流量，具体设置分三步

rate-limit input 2048000 8000 16000 conform-action transmit exceed-action drop

rate-limit output 2048000 8000 16000 conform-action transmit exceed-action drop




1. 在全局模式下开启cef：

configure terminal

Router(config)#ip cef




2. 定义标准或者扩展访问列表（定义一个方向就可以了）：

Router(config)#access-list 111 permit ip 192.168.1.0 0.0.0.255 any




3. 在希望限制的端口上进行rate-limit：

Router(config)#interface FastEthernet 0/1

Rounter(config-if)#rate-limit input access-group 111 2000000 40000 60000 conform-action transmit

                              exceed-action drop

这样我们就对192.168.1.0网段进行了限速，速率为2Mbps。注意，是对整个网段，因为你定义的ACL就

是针对整个网段的。

rate-limit命令格式：

#rate-limit {input|output} [access-group number] bps burst-normal burst-max conform-action action

                 exceed-action action

input|output：这是定义数据流量的方向。

access-group number：定义的访问列表的号码。

bps：定义流量速率的上限，单位是bps。

burst-normal burst-max：定义的数据容量的大小，一般采用8000，16000，32000，单位是字节，当到

达的数据超过此容量时，将触发某个动作，丢弃或转发等，从而达到限速的目的。

conform-action和exceed-action：分别指在速率限制以下的流量和超过速率限制的流量的处理策略。

action：是处理策略，包括drop和transmit等





另外，阻止非法地址的命令是

Router(config)# interface <interface>

Router(if-config)# no ip unreachables

如果此命令不能禁止，可参考下面这个命令

Elab(config)# ip icmp rate-limit unreachable <millisecond


CISCO 路由器简单命令：

1.看流量：       #sh int


2.看内网发包：   #sh ip acco

3.清除内网发包记录：#clear ip acco
注意：一般查看当时的发包记录，是先清除再查看。

4.看cpu占用率：
#sh proc cpu