问

ipsec VPN怎样才能在防火墙实现出口占用10M的方式

IPSec VPN

2020-07-13提问

0关注
1收藏，2828浏览

段子手

段子手一段

粉丝：0人关注：6人

问题描述：

客户那边使用华三防火墙和ER路由器搭建了IPSec vpn，现在想要分出口带宽10M专门用来跑IPSec 流量，有配置案例吗各位大佬，V5的墙。

组网及组网描述：

客户那边使用华三防火墙和ER路由器搭建了IPSec vpn，现在想要分出口带宽10M专门用来跑IPSec 流量，有配置案例吗各位大佬，V5的墙。

最佳答案

已采纳

得闲饮茶013

得闲饮茶013 九段

粉丝：138人关注：6人

您好，请知：

1、可在防火墙侧使用QOS CAR的方式实现限速，将ipsec vpn的业务地址段加入ACL，然后在端口与QOS CAR进行绑定调用。

2、ER路由器侧也通过QOS的方式对IP进行限速及分配。

12.1 设置IP流量限制

某些应用（比如：P2P下载等）在给用户带来方便的同时，也占用了大量的网络带宽。一个网络的总带宽是有限的，如果这些应用过度占用网络带宽，必将会影响其他用户正常使用网络。

为了保证局域网内所有用户都能正常使用网络资源，您可以通过IP流量限制功能对局域网内指定主机的流量进行限制。

路由器支持以下两种IP流量限制方式：

· 允许每IP通道借用空闲的带宽（推荐使用）：即弹性带宽限制，在带宽使用不紧张时，允许每台主机可以使用系统空闲带宽，其实际流量可以超过限速值。

· 每IP通道只能使用预设的带宽：即固定带宽限制，每台主机的实际流量不能超过限速值。即使系统还有空闲的带宽，也不能利用。

一般情况下，上网流量都通过正常通道来转发（正常通道是指除了绿色专用通道和限制专用通道以外的通道），IP流量限制仅对该通道中的流量生效。正常通道的带宽＝接口带宽（从运营商申请到的实际带宽）－绿色专用通道的带宽。

页面向导：QoS设置→流量管理→IP流量限制

本页面为您提供如下主要功能：

启用IP流量限制功能，并设置您所需的限制方式（主页面。选中“启用IP流量限制”复选框，选择相应的限制方式，并设置正确的接口带宽（否则可能发生掉线），单击<应用>按钮生效）
添加限速规则（单击<新增>按钮，在弹出的对话框中设置限速规则，单击<增加>按钮完成操作）

页面中关键项的含义如下表所示。

表12-1 页面关键项描述

页面关键项	描述
启用IP流量限制	开启路由器的IP流量限制功能缺省情况下，IP流量限制功能处于关闭状态
允许每IP通道借用空闲的带宽	选择路由器的IP流量限制方式缺省情况下，路由器采用每IP通道只能使用预设的带宽以出口带宽为30M，带机量为10台为例：每IP上行和下行流量上限均可设置为3000Kbps，同时开启使用允许每IP通道借用空闲的带宽
每IP通道只能使用预设的带宽
表项序号	由于系统会根据表项的序号来顺序匹配，因此您可以通过此选项来调整该表项的匹配优先级缺省情况下，新增的表项会排在最后
IP起始地址	输入局域网内需要进行流量限制的主机的起始IP地址
IP结束地址	输入局域网内需要进行流量限制的主机的结束IP地址
带宽共享方式	选择需要进行流量限制的计算机的带宽共享方式，当受限地址类型为IP地址范围时可选择独占或共享，为IP网段时，系统自动设定为共享，无法修改 · 独占：受限地址范围内的每台计算机各自占有给定的带宽（即流量上限），如IP地址范围为192.168.1.2～192.168.1.11，流量上限为3000Kbps，表示此IP范围内的每台计算机的流量上限为3000Kbps · 共享：受限地址范围内的所有计算机共享给定的带宽，如IP地址范围为192.168.1.2～192.168.1.11，流量上限为3000Kbps，表示此IP范围内的所有主机的流量之和的上限为3000Kbps
限速接口	选择IP流量限速所应用的接口 · WAN1：仅当流量从WAN1口出入时，才进行限速 · WAN2：仅当流量从WAN2口出入时，才进行限速
限速方向	选择IP流量限速方向： · “上行限速”：限制由局域网发送到因特网的数据流速率（比如：局域网内主机向因特网上的FTP服务器上传文件） · “下行限速”：限制由因特网发送到局域网的数据流速率（比如：局域网内主机从因特网上的FTP服务器下载文件） · “双向限速”：同时限制上行、下行两个方向上的数据流速率
上行流量上限	输入最大上行流量此最大上行流量限制值是在“IP起始地址”和“IP结束地址”地址段中各个主机的上行带宽，而不是IP地址段内所有主机的共享上行带宽
下行流量上限	输入最大下行流量此最大下行流量限制值是在“IP起始地址”和“IP结束地址”地址段中各个主机的下行带宽，而不是IP地址段内所有主机的共享下行带宽
生效时间	选择IP流量限制的生效时间。生效时间包括两部分内容：在一天中生效的时间段，时间使用24小时制，起始时间应早于结束时间，00:00～24:00表示该规则在一天内任何时间都生效；星期选择表示一周中哪些天规则生效。请为设备配置正确的系统时间
描述	对此条新增限速规则进行描述

缺省情况下，当对相同的单个IP地址或IP地址网段，在同一个限速接口上进行限速时，先添加的限速规则生效。比如：

· 先添加规则1：设置用户（192.168.1.2）在WAN1接口上的IP流量限速为3000Kbps。

· 后添加规则2：设置用户（192.168.1.2）在WAN1接口上的IP流量限速为4000Kbps。

生效情况：规则1生效。

未设置限速规则的用户，带宽不做限制，只受系统转发能力的限制；当路由器开启弹性带宽后，系统为了合理地分配带宽，限速的用户可以占用一定的弹性带宽。

12.2 设置专用通道

路由器为您提供了绿色专用通道和限制专用通道的设置：

· 绿色专用通道：您可以将特定的数据业务流通过绿色通道转发，从而可以保证对时延要求较高的应用（比如：网络游戏）有足够带宽。在绿色专用通道中，路由器支持根据您设置的报文长度大小和协议端口号来匹配数据流。

· 限制专用通道：您可以将特定的数据业务流通过限制通道转发，从而可以限制大流量P2P应用的带宽。在限制通道中，路由器支持根据您设置的报文协议端口号来匹配数据流。

比如：某网吧的实际带宽为10Mbps，有100人在上网，其中大部分用户都在玩某类游戏，还有部分用户在使用P2P软件下载影片。此时，您可以为玩某类游戏的用户设置绿色专用通道，为P2P下载影片的用户设置限制专用通道。从而保证即使线路存在拥塞时，游戏数据包仍然能得到及时转发，并可以限制P2P下载过度占用带宽。

12.2.1 设置绿色专用通道

页面向导：QoS设置→流量管理→绿色通道管理

本页面为您提供如下主要功能：

启用绿色通道功能，并设置相关参数（主页面。选中“启用绿色专用通道”复选框，设置此绿色通道的每接口上/下行流量限速，并选择数据流匹配方式，单击<应用>按钮生效）
添加用于匹配数据流的协议端口号（单击主页面上的<新增>按钮，在弹出的对话框中设置匹配项，单击<增加>按钮完成操作）

页面中关键项的含义如下表所示。

表12-2 页面关键项描述

页面关键项	描述
启用绿色专用通道	缺省情况下，绿色专用通道处于关闭状态
每接口上行流量上限	输入每个WAN接口所占用的绿色专用通道的最大上行流量
每接口下行流量上限	输入每个WAN接口所占用的绿色专用通道的最大下行流量
启用数据包长度选择	选中该复选框，并设置报文长度，路由器会根据报文的长度来识别需要发送到绿色专用通道的流量缺省情况下，此功能处于关闭状态
启用端口选择	选中该复选框，路由器会根据协议端口来识别需要发送到绿色专用通道的流量缺省情况下，此功能处于关闭状态
应用名称	设置需要识别的端口组的描述名称，可以为空
端口号	设置需要识别的协议端口号对局域网发送到因特网的流量，路由器匹配目的端口号；对因特网发送到局域网的流量，路由器匹配源端口号

如果报文长度选择和端口选择同时开启时，只要匹配其中一项即可识别成功，且报文长度选择优先匹配。

12.2.2 设置限制专用通道

页面向导：QoS设置→流量管理→限制通道管理

本页面为您提供如下主要功能：

启用限制通道功能，并设置相关参数（主页面。选中“启用限制通道”复选框，设置此限制通道的每接口上/下行流量限速，单击<应用>按钮生效）
添加用于匹配数据流的协议端口号（单击主页面上的<新增>按钮，在弹出的对话框中设置匹配项，单击<增加>按钮完成操作）

页面中关键项的含义如下表所示。

表12-3 页面关键项描述

页面关键项	描述
启用限制通道	缺省情况下，限制通道处于关闭状态
每接口上行流量上限	输入每个WAN接口所占用的限制通道的最大上行流量
每接口下行流量上限	输入每个WAN接口所占用的限制通道的最大下行流量
应用名称	设置需要识别的端口组的描述名称，可以为空
端口号	设置需要识别的协议端口号对局域网发送到因特网的流量，路由器匹配目的端口号；对因特网发送到局域网的流量，路由器匹配源端口号