深信服流量控制功能说明

流量控制技术说明

1.带宽管理

1.1流量可视化

带宽有限，应用无限——组织不断地扩展互联网出口带宽，但仍然感觉不充裕，一旦内网存在网络行为不规范、滥用带宽资源的用户，IT管理员的工作就会饱受抱怨：网络太慢、业务系统访问迟缓、页面迟迟打不开、邮件发送缓慢等。

对此，AC为IT管理员提供了网络流量可视化方案，登陆AC控制台后，管理员可以查看出口流量曲线图、当前流量TOP N应用、用户流量排名、当前网络异常状况（包括DOS 攻击、ARP欺骗等）等信息，直观了解当前网络运行状况。

此外，数据中心（Network Database Center，NDC）对内网用户的各种网络行为流量进行记录、审计，借助图形化报表直观显示统计结果等，帮助管理员了解流量TOP N用户、TOP N应用等，并自动形成报表文档，定时发送到指定邮箱，让IT管理员轻松掌控用户网络行为分布和带宽资源使用等情况，了解流控策略效果，为带宽管理的决策提供准确依据。

如果您是一位大型机构的CIO或CEO，您需要面对的问题将远不止这些，而AC数据中心的功能需要您亲身体验和掌握。当您面对数据中心的Web页面，通过几次鼠标点击就发现网络及管理中存在的问题时，您将感受到领先技术带来的极富乐趣的用户体验。

1.2流量管理

当您了解了带宽的使用情况，并对带宽进行优化和分配后，我们即将对用户(组)的上网行为做进一步的管理和控制。

1.2.1多线路复用和智能选路

很多组织拥有电信、网通等两条以上互联网出口链路，如何同时复用多条链路并做到流量的负载均衡与智能分担？通过AC特有的多线路复用及带宽叠加技术，AC复用多条链路形成一条互联网总出口，提升整体带宽水平。再结合多线路智能选路专利技术（专利号：ZL200610061591.9），AC将出网流量自动匹配最佳出口。

1.2.2基于应用/网站/文件类型的智能流量管理

有限的带宽资源如何分配给不同部门/用户、不同应用，如何保障核心用户核心业务带宽，限制网络杀手如BT迅雷等等占用资源？AC可以基于不同用户(组)、出口链路、应用类型、网站类型、文件类型、目标地址、时间段进行细致的带宽划分与分配。从而保证领导视频会议的带宽而限制员工P2P的带宽、保证市场部访问行业网站的带宽而限制研发部访问新闻类网站的带宽、保证设计部传输CAD文件的带宽而限制营销部传输RMVB文件的带宽。精细智能的流量管理既防止带宽滥用，提升带宽使用效率。

1.2.3多级父子通道嵌套技术

AC采用“基于队列的流控技术”，即建立管道，将不同的控制对象分配到不同的管道里。该技术的好处是控制灵活，大通道中可以多层嵌套小管道，分别基于不同的用户、时间、应用协议、网站、文件类型等对象建立不同的通道，对于结构复杂又希望实现差异化控制的组织来说可以做到更为精确的控制。

以一个实例来说明效果，假设我们要对一个出口带宽为1G（由数条线路组成）的高校做带宽管理，产品以网桥模式部署：

物理线路->虚拟线路：桥模式下建立虚拟线路，可分别映射外网物理线路；

父通道->二级子通道->三级子通道

将出口1000M按规模划分给下属3个校区：300M、300M、400M；

其中，A校区拥有300M出口，并为A校区设置分级IT管理员，允许根据校区内研究室、学院规模分配带宽；

子通道->虚拟子通道：每条通道可根据应用/文件/网站类型等进一步划分成虚拟通道；

A校区IT管理员为某研究生实验室（30人规模）分配带宽，将4M线路“动态”分配给上网用户（人数在0~30之间随意波动），并限定单用户下行不超过200Kb，其中每个人的P2P下载不超过50%，总线路的P2P应用不超过30%。

1.2.4动态带宽分配

组织管理员往往既希望在网络应用高峰期保障核心用户、核心业务带宽，限制无关应用占用资源，又希望在带宽空闲时实现资源的充分利用。为此，AC支持带宽的“自由竞争”与“动态分配”，除了基于父子通道进行流量控制之外，还可以根据在线的用户数量将带宽动态分配给在线用户，如4M的线路，可以动态分配给5个或者20个在线用户使用，从而实现带宽资源的充分利用。

1.2.5P2P的智能识别与灵活控制

通过封IP、端口等管控“带宽杀手”P2P应用的方式极不彻底。加密P2P、不常见P2P、新P2P工具等让众多P2P管理手段束手无策。AC凭借P2P智能识别技术，不仅识别和管控常用P2P、加密P2P，对不常见和未来将出现的P2P亦能管控。

对于某些企业文化较为宽松的组织，完全封堵P2P可能实施困难，AC的P2P流量控制技术能限制指定用户的P2P所占用的带宽，既允许指定用户使用P2P，又不会滥用带宽，充分满足管理的灵活性。

2.技术创新

2.1功能创新背景

互联网业务的普及，网上内容的丰富也让企业的出口带宽捉襟见肘。如何避免企业带宽被P2P下载、视频所占用，是目前企业管理者面临的巨大难题。深信服上网行为管理的流控功能解决了企业对于带宽控制的烦恼，虚拟线路、多重父子通道等细致、精确的方法，有效的限制了P2P应用的带宽，保障了重要工作应用的带宽，使企业正常业务不受影响。

然后慢慢的在流控上也出现了一些问题，比如带宽浪费、流控策略过于死板等问题也渐渐浮现。深信服AC 4.2版本就着力解决这一系列问题，帮助用户更好的节约带宽，保障重要业务带宽，灵活、智能的流控，人性化管理，使用户使用舒适性更好。

一、功能说明

AC 4.2版本在流控方面有以下功能创新：

P2P流控改进：P2P下载、流媒体等应用程序，通常具备强烈的带宽侵

占特性，导致设备在下行方向接收到的流量大于设定的最大带宽，超出

的数据包被流量管理系统丢弃，而这部分丢弃的数据包实际上已经占用

了线路的带宽，导致带宽浪费以及下行方向的拥塞。

在限制通道中勾选[抑制P2P下行丢包]选项，可以抑制此类应用下行方向的丢包率，建议P2P限制通道才启用此选项。

原理：目前互联网上流行的P2P应用，通常是TCP，UDP混合协议传输，更强调带宽侵占性。普通流控手段是通过缓存和丢包手段来实现流速控制的目的，但是某些P2P应用(例如：P2P流媒体，P2P下载工具)自身缺乏流控机制，拥有强大的抢占带宽能力，所以即使被通道丢包依然不会主动降低速率。对于下行的接收流量来说，被丢弃的流量已经占用了外网带宽，这部分被浪费的带宽还会影响关键业务的带宽保证效果。

虽然基于UDP协议的P2P应用可能对丢包不敏感，但是下行流量与上行流量有显著的正相关性，只要控制住上行流量，下行流量就能得到控制。当开启“抑制P2P下行丢包”功能时，上行带宽会根据下行流量自动调整，以达到控制下行，减少下行丢包导致的外网带宽浪费的目的。

智能（动态）流控：在带宽有限时，企业客户希望通过流控来限制P2P、

流媒体等消耗带宽的应用，保障邮件、访问网站等与业务有关的重要应用。但当客户互联网出口带宽只有30%或者更低使用率时，可以不使用

流控策略，放通合法应用的带宽。而以往的流控设备，只能通过设置上下班时间来做，无法做到灵活的带宽管理，反而使得带宽在有时候被浪费掉了。

在限制通道中勾选[当线路空闲时，允许突破限制]选项，并在通道配置页面的[高级配置]中设置线路的上下行空闲阀值。

原理：通过配置线路空闲阀值，可以定义线路的空闲和繁忙状态。限制通道在开启浮动功能后，当线路空闲时可以上浮通道带宽，突破设定的最大带宽；当线路繁忙时可以下压通道带宽，回收浮动部分。

注意事项：线路空闲阀值和线路繁忙保护阀值是不同的概念，二者没有直接的关系。

线路繁忙保护：开启线路繁忙保护后，设置一个繁忙阈值，相当于手动

把线路的带宽设置得比实际值小一些。在流量高峰时段依然会预留部分带宽来提高关键业务的服务质量，以减少线路占满导致关键应用速度慢的问题。

在通道配置界面的[高级配置]中，勾选[启用线路繁忙保护]选项，并设置对应的上下行繁忙阀值。

原理：由于线路实际带宽与ISP提供的线路标称值之间往往存在差异(实际带宽小于标称值)，导致经过流控后的流量在Internet中依然有大量的丢包，影响关键业务的带宽保障质量，例如视频会议出现马赛克现象。开启线路繁忙保护后，在流量高峰时段依然会预留部分带宽来提高关键业务的服务质量，以防止线路满载后关键业务被ISP网络丢包。

注意事项：

?开启本功能后，因为需要预留少量带宽，用户设置的通道带宽和实际带宽之间会产生细微误差。如果线路实际带宽与配置的带宽之间差距较大，线路繁忙保护的效果会变差，甚至没有效果。

?直接将通道带宽设置成比实际带宽略小，也有同样的效果。但需要手动控制比较麻烦。

多流速单位进制：之前版本的单位换算上跟运营商以及通信企业（如

CISCO、HW、TP-LINK等）不一致（我们的单位换算：1 Kbps = 1024 bps，运营商及CISCO通常是：1 Kbps = 1000 bps），因此导致有5-7% 的差别，

这个也会影响流量管理的效果。

在[系统配置]->[高级配置]->[WebUI选项]选型中，进行1000进制和1024进制的切换即可。