用网段区分业务，然后做限速。

这个一次做不好的，观察着做改动。

把业务网关放到交换机上。1000M的带宽100个用户。没必要限速

要为约100名用户配置F1000防火墙带宽管理，实现“闲时尽情用，忙时保底不卡顿”的效果，并在有高下载需求时尽量打满带宽，可以按照以下思路配置。核心是利用父子策略，让每个用户既有10Mbps的保底带宽，又能弹性复用剩余的1Gbps总带宽。针对访客IP，则会严格限制其最大带宽。

 功能逻辑与准备

• 核心功能如何运作：保证带宽（CIR）给每个用户提供最低速度保障，最大带宽（PIR）则设定速度上限。当多人共享总带宽时，通过“最大带宽”实现的弹性复用就允许用户在带宽空闲时突破保底速度，从而跑满出口。

• 带宽规划：

  • 用户总数：约100个用户。总出口带宽为1000Mbps（即1,000,000 kbps）。

  • 员工：分配保底带宽10Mbps/户。启用弹性带宽，确保单个用户在出口空闲时可用满1Gbps。

  • 访客：不设保底，但严格限制单用户最大带宽（例如2Mbps）。访客共享的总带宽建议设为50Mbps。

• 配置前准备：

  • 规划IP：为员工和访客规划不同的IP地址段或地址对象组。例如，员工为192.168.1.0/24，访客为192.168.2.0/24。

  • 了解版本差异：不同平台的命令和界面差异较大。建议先登录设备查看软件版本，再参考对应的配置手册。

 详细配置步骤（命令行方式）

1. 接口带宽校准：在外网出口的物理接口上，配置真实带宽，避免系统调度产生偏差。

   [FW] interface GigabitEthernet1/0/1 // 进入外网出口接口视图

   [FW-GigabitEthernet1/0/1] qos max-bandwidth 1000000 // 配置接口最大可用带宽为1Gbps [FW-GigabitEthernet1/0/1] quit

2. 创建带宽通道：为员工和访客分别创建独立的带宽通道。

   • 创建员工通道：创建一个名为staff的带宽通道。

     [FW] qos traffic profile staff然后，配置父子策略来实现弹性复用。
     # 父策略：定义员工组的整体带宽资源池

     [FW-qos-traffic-profile-staff] parent total-bandwidth 1000000 // 总带宽1000Mbps # 子策略：定义单个IP的保底和最大带宽 [FW-qos-traffic-profile-staff] per-ip guarantee-bandwidth 10000 max-bandwidth 1000000 // 每IP保底10Mbps，最大可到1000Mbps [FW-qos-traffic-profile-staff] quit逻辑说明：这种父子策略的组合，完美实现了“每用户保底10M，并可弹性复用至1Gbps”的需求。

   • 创建访客通道：创建一个名为guest的带宽通道。

     # 定义访客总带宽和每IP最大带宽限制
     [FW-qos-traffic-profile-guest] total-bandwidth 50000 // 访客总共使用50Mbps [FW-qos-traffic-profile-guest] per-ip max-bandwidth 2000 // 每访客IP最大2Mbps [FW-qos-traffic-profile-guest] quit

3. 定义匹配规则：创建ACL来区分员工和访客的流量。

   [FW] acl advanced 3000

   [FW-acl-ipv4-adv-3000] rule 0 permit ip source 192.168.1.0 0.0.0.255 // 匹配员工网段 [FW-acl-ipv4-adv-3000] quit [FW] acl advanced 3001 [FW-acl-ipv4-adv-3001] rule 0 permit ip source 192.168.2.0 0.0.0.255 // 匹配访客网段 [FW-acl-ipv4-adv-3001] quit

4. 应用带宽策略：创建并应用带宽策略，将流量与对应的带宽通道绑定。注意规则的顺序，确保ACL 3000的规则在前，以实现精确匹配。

   [FW] qos traffic-policy bandwidth_control

   [FW-qos-traffic-policy-bandwidth_control] rule 1 if-match source-ip acl 3000 action traffic-profile staff // 源IP匹配ACL 3000，应用员工通道 [FW-qos-traffic-policy-bandwidth_control] rule 2 if-match source-ip acl 3001 action traffic-profile guest // 源IP匹配ACL 3001，应用访客通道 [FW-qos-traffic-policy-bandwidth_control] quit # 在全局上下行方向应用此策略 [FW] qos apply traffic-policy bandwidth_control global inbound [FW] qos apply traffic-policy bandwidth_control global outbound

 验证与优化

• 验证命令：使用display qos traffic-profile查看通道配置，以及display qos traffic-policy bandwidth_control statistics来查看流量命中情况，确保策略生效。

• Web界面配置：

  • 员工带宽：在Web界面，于同一个带宽通道内分别配置整体保证带宽和每IP最大带宽。整体保证带宽为1000000 kbps，每IP最大带宽为1000000 kbps。

  • 访客限速：直接在带宽通道的每IP上下行最大带宽中设置2000 kbps即可。

• 开启应用识别：如果希望HTTP等应用流量能被精准识别和限速，需要确保防火墙已启用应用识别（DPI）功能。

• 策略生效检查：确保已为对象或策略启用规则状态，否则配置不会生效。

• 常见原因排查：若配置后策略不生效，请检查：

H3C SecPath F1000 1000M 出口 带宽管理完整配置方案

一、先算带宽规划（1000M 对等出口）

• 给正式用户：每人保底下行 8Mbps、上行 4Mbps
• 空闲无占用时：自动抢占剩余带宽，单用户可跑满千兆
• 访客：限制最大下行 10Mbps、上行 5Mbps，无保底

二、核心原理（F1000 V9 推荐模式）

1. 正式用户网段：配置最小保障带宽（保底）+ 最大带宽不限制
2. 访客网段：配置无保底、限制最大带宽
3. 全局做出口总带宽整形，防止超运营商限速丢包

三、配置思路

1. 定义带宽模板（正式用户、访客两套）
2. 划分地址对象：正式用户网段、访客网段
3. 全局出口上下行带宽整形
4. 配置带宽策略：绑定网段 + 对应带宽模板
5. 安全域间调用带宽策略（所有上网流量匹配）

四、可直接落地 CLI 配置

1. 定义地址对象（替换成你实际网段）

2. 创建带宽模板

3. 全局出口总带宽整形（关键，防超带宽丢包）

4. 配置带宽策略绑定网段和模板

五、Web 界面配置路径（不会命令行就用这个）

1. 页面：策略 > 带宽管理 > 带宽模板
   • 新建模板 1：正式用户，配置最小下行 8M、上行 4M，最大不填
   • 新建模板 2：访客，配置最大下行 10M、上行 5M
2. 对象 > 地址 > 地址组 新建正式、访客网段组
3. 策略 > 带宽管理 > 带宽策略
   • 新建规则：源地址选正式网段 → 绑定正式模板
   • 新建规则：源地址选访客网段 → 绑定访客模板
4. 接口 > 外网接口 配置总上下行 1000M 带宽整形

六、关键补充说明

1. 100 个用户同时满速也不会超
   每人保底 8M 下行：100×8=800M < 1000M，剩余 200M 空闲可给高需求用户抢占。
2. 只有没人占用带宽时，单用户可以直接跑满千兆下载上传。
3. 访客严格封顶，不会抢占正式员工带宽。
4. 如果你的用户不是固定网段，是 DHCP 随机 IP，我可以给你改成按每 IP 均分带宽的配置，不用划分网段