h3c.com/cn/pub/Document_Center/2024/07/WebHelp_ SecPath_FHQCP_DXPZALJ_V7_F9900_6W100/default_auto.htm?CHID=1160410

您好，通过流策略 + ACL + 流量监管实现三层网段分级限速的完整配置方案，适用于出口网关或核心交换机，按 “总网段 300M→子网 3M/5M” 的层级进行带宽控制

二、完整配置步骤
1. 配置 ACL 匹配目标网段流量
# 进入系统视图
<H3C> system-view
[H3C]

# 定义总网段ACL（10.10.0.0/16）
[H3C] acl number 2000
[H3C-acl-basic-2000] rule permit source 10.10.0.0 0.0.255.255
[H3C-acl-basic-2000] quit

# 定义子网1 ACL（10.10.1.0/24）
[H3C] acl number 2001
[H3C-acl-basic-2001] rule permit source 10.10.1.0 0.0.0.255
[H3C-acl-basic-2001] quit

# 定义子网2 ACL（10.10.2.0/24）
[H3C] acl number 2002
[H3C-acl-basic-2002] rule permit source 10.10.2.0 0.0.0.255
[H3C-acl-basic-2002] quit
2. 配置流分类匹配 ACL 流量

# 总网段流分类
[H3C] traffic classifier total_net operator and
[H3C-classifier-total_net] if-match acl 2000
[H3C-classifier-total_net] quit

# 子网1流分类
[H3C] traffic classifier subnet1 operator and
[H3C-classifier-subnet1] if-match acl 2001
[H3C-classifier-subnet1] quit

# 子网2流分类
[H3C] traffic classifier subnet2 operator and
[H3C-classifier-subnet2] if-match acl 2002
[H3C-classifier-subnet2] quit
3. 配置流行为设置带宽限制

# 总网段流行为（上传/下载各300M）
[H3C] traffic behavior total_net
[H3C-behavior-total_net] car cir 307200 pir 307200 inbound # 下载（入方向）
[H3C-behavior-total_net] car cir 307200 pir 307200 outbound # 上传（出方向）
[H3C-behavior-total_net] quit

# 子网1流行为（上传/下载各3M）
[H3C] traffic behavior subnet1
[H3C-behavior-subnet1] car cir 3072 pir 3072 inbound
[H3C-behavior-subnet1] car cir 3072 pir 3072 outbound
[H3C-behavior-subnet1] quit

# 子网2流行为（上传/下载各5M）
[H3C] traffic behavior subnet2
[H3C-behavior-subnet2] car cir 5120 pir 5120 inbound
[H3C-behavior-subnet2] car cir 5120 pir 5120 outbound
[H3C-behavior-subnet2] quit
car cir：承诺信息速率（限制带宽）；pir：峰值信息速率，此处与 cir 一致，禁止带宽借用。
4. 配置流策略关联分类与行为

[H3C] traffic policy speed_limit
[H3C-traffic-policy-speed_limit] classifier total_net behavior total_net
[H3C-traffic-policy-speed_limit] classifier subnet1 behavior subnet1
[H3C-traffic-policy-speed_limit] classifier subnet2 behavior subnet2
[H3C-traffic-policy-speed_limit] quit
5. 在出口接口应用流策略
假设出口接口为GigabitEthernet 1/0/1，需同时在入 / 出方向应用策略：

[H3C] interface GigabitEthernet 1/0/1
[H3C-GigabitEthernet1/0/1] traffic-policy speed_limit inbound # 下载方向
[H3C-GigabitEthernet1/0/1] traffic-policy speed_limit outbound # 上传方向
[H3C-GigabitEthernet1/0/1] quit
6. 保存配置

[H3C] save force

类似的案例，参考下吧：

使用版本

本举例是在F1000-AI-55的R8860版本上进行配置和验证的。

组网需求

如下图所示，Device分别通过Trust安全域和Untrust安全域与局域网和Internet相连。局域网内有教师群组Teacher、学生群组Student。Teacher群组有教师2名，Student群组有学生5名。通过在Device上配置带宽管理功能，实现基于用户进行限速带宽管理的功能。具体需求如下：

• 每个教师绑定一个IP地址，上行和下行均限速10Mbps。教师使用的带宽通道转发优先级为较低。

• 每个学生绑定一个IP地址，上行和下行均限速2Mbps。学生使用的带宽通道转发优先级为最低。

图-1 基于用户限速带宽管理配置组网图

注意事项

带宽管理业务会占用较多的系统资源，仅建议内存在2GB以上的设备启用，其他设备请谨慎启用。

配置带宽管理时，需要注意的是：

• 带宽策略支持嵌套关系，目前支持配置四级带宽策略。

• 子策略引用的带宽通道中的最大带宽不能大于父策略引用的带宽通道中的最大带宽。

• 父策略引用的带宽通道中的保证带宽不能小于子策略引用的带宽通道中的保证带宽之和。

• 子策略与父策略不能引用同一个带宽通道。

• 接口期望带宽的缺省值较小时，在流量较大的情况下，很容易出现丢包现象，这时可以将此接口的期望带宽值调大。比如Tunnel口的默认带宽是64kbps，流量比较大的情况下，易出现丢包现象，这时可将Tunnel接口的期望带宽值调大。

• 如果被复制的带宽策略中含有子带宽策略，则只会复制父带宽策略的内容。

配置步骤

1. 配置接口的IP地址，并将接口加入安全域

# 选择“网络 > 接口 > 接口”，进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。

·            安全域：Trust。

·            选择“IPv4地址”页签，配置IP地址/掩码长度：10.1.1.1/24。

·            其他配置项保持默认情况即可。

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2，配置如下。

·            安全域：Untrust。

·            选择“IPv4地址”页签，配置IP地址/掩码：20.1.1.1/24。

·            其他的配置项保持默认情况即可。

# 单击<确定>按钮，完成接口IP地址和安全域的配置。

2. 配置安全策略

# 选择“策略 > 安全策略> 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。

# 新建安全策略，并进行如下配置：

• 名称：Trust-Untrust

• 源安全域：Trust

• 目的安全域：Untrust

• 源IPv4地址：10.1.1.0/24

• 动作：允许

• 其他配置项使用缺省值

# 单击<确定>按钮，完成安全策略的配置。

3. 新建身份识别用户

# 选择“对象 > 用户 > 用户管理 > 本地用户”，在用户页面单击<新建>按钮，进入新建用户页面，配置如下。

• 用户名：student1

• 其他配置项使用缺省值

# 单击<确定>按钮，完成配置。

# 按照相同的步骤，分别新建用户student2、student3、student4、student5、teacher1和teacher2。

# 选择“对象 > 用户 > 用户管理 > 本地用户”，在用户组页面单击<新建>按钮，进入新建用户组页面，配置如下。

• 用户组名称：student

• 身份识别成员用户：student1、student2、student3、student4、student5

• 其他配置项使用缺省值

# 单击<确定>按钮，完成配置。

# 按照相同的步骤，新建身份识别用户组teacher，身份识别成员用户为teacher1和teacher2。

# 选择“对象 > 用户 > 用户管理 > 在线用户”，在静态身份识别用户页面单击<新建>按钮，进入新建静态身份识别用户页面，配置如下。

• 用户名：student1

• IP地址类型：IPv4

• IP地址：10.1.1.11

• 其他配置项使用缺省值

# 单击<确定>按钮，完成配置。

# 按照相同的步骤，分别新建静态身份识别用户student2、student3、student4、student5、teacher1和teacher2。

# 选择“对象 > 用户 > 用户管理 > 在线用户”，进入在线用户页面，单击<开启用户身份识别功能>按钮。

4. 配置带宽通道

# 选择“策略 > 带宽管理 > 带宽通道”，单击<新建>按钮，进入新建带宽通道页面，配置如下。

图-2 新建名为profile-teacher的带宽通道

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 按照相同的步骤，新建名为profile-student的带宽通道，配置如下。

图-3 新建名为profile-student的带宽通道

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

5. 配置带宽策略

# 选择“策略 > 带宽管理 > 带宽策略”，单击<新建>按钮，进入新建带宽策略页面，新建名为policy-teacher的带宽策略，配置如下。

图-4 新建名为policy-teacher的带宽策略

图-5 新建名为policy-teacher的带宽策略

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 新建带宽策略成功后，选中此策略，并单击<启用>按钮，开启带宽策略。

# 按照同样的步骤，新建名为policy-student的带宽策略。配置如下。

图-6 新建名为policy-student的带宽策略

图-7 新建名为policy-student的带宽策略

# 其他配置项使用缺省值。

# 单击<确定>按钮，完成配置。

# 新建带宽策略成功后，选中此策略，并单击<启用>按钮，开启带宽策略。

验证配置