防火墙之带宽管理篇

核心思想

1.带宽限制：限制非关键业务流量占用带宽的比例

2.带宽保证：保证关键的业务流量传输不受影响。业务繁忙时，确保业务不受影响。

3.限制连接数：可以针对某些业务进行连接数的限制，首先可以降低该业务占用带宽。其次。可以节省设备的会话资源。

三种核心手段

1.接口带宽

意义：如果本端按照较大的传输速率发送数据（1GB）,而对端的接收能力有限，这样不但起不到加速传输速率的效果，反而可能导致大量的数据包堆积在这条链路上。所以，可以通过调控出接口带宽来解决。

2.带宽策略

带宽策略就是针对抓取到的流量执行两种动作

one:限流   ---  将流量引入带宽通道中

two:不限流（默认存在一条不限流的策略）

3.带宽通道

可以理解为在真实的物理带宽中，开辟了一些虚拟的流量通道，通过将流量引入到这些虚拟的带宽通道中，来限制或保证业务的带宽

以下是匹配住策略的情况：

传统的带宽限制手段 --- 数据丢包，这样可能导致数据包需要重传，造成后面越来越拥挤。

类似于深信服等厂商，推行的是缓存不丢包，将超出限制的数据包缓存后在发送，而不是直接丢弃。

在带宽通道中：主要完成两件事，第一是针对超出限制的数据包进行丢包，第二件是可以针对数据包打上优先级的标签，方便数据包到出接口之后，进行队列调度 ，优先级高的先发送数据包。

上行流量：是指匹配上我们策略的流量

下行流量：是指与策略相反方向的流量

父子策略：

父策略下面可以添加子策略，父策略匹配后，将继续匹配子策略，知道匹配到最后以及子策略。适用于需要进行层次化管理的场景。