F1070防火墙如何限制P2P下载的策略配置

如下图所示，内网主机通过Device与外网相连，通过在Device上配置带宽管理功能，实现当内网流量的出口发生拥塞时优先保证FTP业务的需求。具体要求如下：

• 限制内网用户，访问外网爱奇艺应用流量的上行最大带宽和下行最大带宽均为30Mbps。

• 保证内网用户，访问外网FTP应用流量的上行保证带宽和下行保证带宽均为30Mbps。

• 限制内网用户的上行最大带宽和下行最大带宽均为50Mbps。

图-1 父子通道模式带宽管理配置组网图

注意事项

带宽管理业务会占用较多的系统资源，仅建议内存在2GB以上的设备启用，其他设备请谨慎启用。

配置带宽管理时，需要注意的是：

• 带宽策略支持嵌套关系，目前支持配置四级带宽策略。

• 子策略引用的带宽通道中的最大带宽不能大于父策略引用的带宽通道中的最大带宽。

• 父策略引用的带宽通道中的保证带宽不能小于子策略引用的带宽通道中的保证带宽之和。

• 子策略与父策略不能引用同一个带宽通道。

• 接口期望带宽的缺省值较小时，在流量较大的情况下，很容易出现丢包现象，这时可以将此接口的期望带宽值调大。比如Tunnel口的默认带宽是64kbps，流量比较大的情况下，易出现丢包现象，这时可将Tunnel接口的期望带宽值调大。

• 如果被复制的带宽策略中含有子带宽策略，则只会复制父带宽策略的内容。

配置步骤

1. 配置接口的IP地址，并将接口加入安全域

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

·            安全域：Trust。

·            选择“IPv4地址”页签，配置IP地址/掩码长度：10.1.1.1/24。

·            其他配置项保持默认情况即可。

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2，配置如下。

·            安全域：Untrust。

·            选择“IPv4地址”页签，配置IP地址/掩码：20.1.1.1/24。

·            其他的配置项保持默认情况即可。

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

2. 配置安全策略

# 选择“策略 > 安全策略> 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。

# 新建安全策略，并进行如下配置：

• 名称：Trust-Untrust

• 源安全域：Trust

• 目的安全域：Untrust

• 动作：允许

• 源IPv4地址：10.1.1.2/24

• 其他配置项使用缺省值

# 单击<确定>按钮，完成安全策略的配置。

3. 配置带宽通道

# 选择“策略 > 带宽管理 > 带宽通道”，单击<新建>按钮，进入新建带宽通道页面，配置如下。

图-2 新建带宽通道profile

# 其他配置项使用缺省值。

# 单击<确认>按钮，完成配置。

# 按照同样的步骤，添加带宽通道aiqiyi，配置如下。

图-3 新建带宽通道aiqiyi

# 其他配置项使用缺省值。

# 单击<确认>按钮，完成配置。

# 按照同样的步骤，添加带宽通道profileftp，配置如下。

图-4 新建带宽通道profileftp

# 其他配置项使用缺省值。

# 单击<确认>按钮，完成配置。

4. 配置父带宽策略

# 选择“策略 > 带宽管理 > 带宽策略”，单击<新建>按钮，进入新建带宽策略页面，新建名为policy的带宽策略，配置如下。

图-5 新建带宽策略policy

图-6 新建带宽策略policy

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 新建带宽策略成功后，选中此策略，并单击<启用>按钮，开启带宽策略。

5. 配置子带宽策略

# 选择“策略 > 带宽管理 > 带宽策略”，单击<新建>按钮，进入新建带宽策略页面，新建带宽策略aiqiyi，配置如下。

图-7 新建带宽策略aiqiyi

图-8 新建带宽策略aiqiyi

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 新建带宽策略成功后，选中此策略，并单击<启用>按钮，开启带宽策略。

# 按照同样的步骤，新建带宽策略FTP，配置如下。

图-9 新建带宽策略FTP

图-10 新建带宽策略FTP

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 新建带宽策略成功后，选中此策略，并单击<启用>按钮，开启带宽策略。

验证配置

配置完成后，内网用户的实际流量会被限制在50Mbps以内，并且爱奇艺应用的流量被限制在30Mbps；当网络发生拥塞时，能够保证FTP应用的流量够达到30Mbps。