问

防火墙带宽上不去

域间策略/安全域

5小时前提问

0关注
0收藏，52浏览

lnh999

lnh999 一段

粉丝：0人关注：0人

问题描述：

H3C防火墙 SecPath F1000-T100,透明模式部署,链路都是1000M的,网线也没有问题,通过防火墙后测试下载50M,上传10M,但是跨过防火墙带宽能下载达到300M,上传100M,策略已经全通,没有内容安全,带宽策略都删除了

请问是防火墙性能不行吗

组网及组网描述：

H3C Comware Software, Version 7.1.064, Alpha 9536P1905
Copyright (c) 2004-2020 CHINA TELECOM - New H3C Technologies Co., Ltd. All rights reserved.
SecPath F1000-T100 uptime is 0 weeks, 0 days, 23 hours, 0 minutes
Last reboot reason: User reboot

Boot image: flash:/f1010fw-cmw710-boot-A9536P1905.bin
Boot image version: 7.1.064, Alpha 9536P1905
Compiled Nov 04 2020 14:00:00
System image: flash:/f1010fw-cmw710-system-A9536P1905.bin
System image version: 7.1.064, Alpha 9536P1905
Compiled Nov 04 2020 14:00:00

SLOT 1
Uptime is 0 weeks, 0 days, 23 hours, 0 minutes
CPU type: Multi-core CPU
DDR3 SDRAM Memory 2032M bytes
Board PCB Version:Ver.A
Basic BootWare Version: 3.01
Extend BootWare Version: 3.01
[SubSlot 0]12GE (Hardware)Ver.A, (Driver)1.0
Boot Type: Cold

4 个回答

按时间按赞数

IT小工

IT小工九段

粉丝：45人关注：2人

不是设备性能上限问题，你这条Any-Any 全允许策略 ID3 优先级最低，流量先走 ID2 Untrust→Trust 规则，这条开了 IPS，IPS 消耗性能压带宽；再加上版本老旧、透明模式会话 / 报文上送开销。排查顺序：

先把 ID2 那条 IPS 检测关掉测试带宽；
检查接口协商是否真千兆、有没有流量统计 / 会话满；
该 Alpha 定制版本老旧，存在转发优化缺陷；
确认没有全局 ipqos、连接数限制。

一句话：IPS 是瓶颈。

暂无评论

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：95人关注：11人

可能的，联系售前确认下支持的带宽情况吧

暂无评论

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：17人关注：9人

根据描述，F1000-T100透明模式、策略全通、无安全策略和带宽限制，但带宽大幅下降，需按以下步骤排查：
1. 确认接口协商速率和双工模式
执行 display interface brief，检查物理接口是否协商为1000M全双工。若显示100M或半双工，执行 speed 1000 和 duplex full 强制设置。
2. 检查接口错误和丢包统计
执行 display interface GigabitEthernet x/x/x，查看 CRC、input errors、output errors 等计数。若持续增长，更换网线或光模块测试。
3. 确认透明模式转发性能
执行 display device 查看设备型号和内存，执行 display cpu-usage 和 display memory 观察转发时资源占用。若CPU持续高于90%，可能是软件版本性能问题。当前版本为Alpha 9536P1905，建议升级到最新稳定版本（官网路径：www.h3c.com > 支持 > 软件下载 > 安全 > SecPath F1000-T系列）。
4. 检查会话和连接数限制
执行 display session statistics，确认并发会话数是否达到设备上限。若接近上限，执行 session statistics enable 后查看，必要时调整 session limit。
5. 验证是否启用了硬件快速转发
执行 display ip fast-forwarding，确认快速转发功能正常。若未启用，执行 ip fast-forwarding enable。
6. 对比测试方法
确保测试流量经过防火墙时，源和目的IP在同一VLAN且无路由问题。透明模式下，检查VLAN配置和接口加入情况（display vlan）。
若以上均正常，F1000-T100吞吐量标称可达数Gbps，不应是性能瓶颈。建议优先升级软件版本并重新测试。