防御保护11
带宽管理 --- 设备对自身的流量进行管理和控制，去提供带宽保证、带宽限制等等功能。
带宽限制
带宽保证
连接数限制
应用场景
实现带宽管理
带宽通道 --- 定义了被管理对象所能使用的带宽资源
整体的保证带宽和最大带宽；
SW1-SW2：VLAN 201 --- 10.20.1.0/24
SW1-R5：VLAN 105 --- 10.10.5.0/24
SW2-R6：VLAN 206 --- 10.20.6.0/24
R5-R6：10.56.0.0/24如果流量<保证带宽，这些流量直接发送。
如果流量>最大带宽，直接丢弃超出最大带宽的流量。
如果最大带宽>流量>保证带宽，会在出接口发送环节与其他带宽通道中的同类型流 量自由竞争。
流量优先级高，则优先获取出接口实际带宽的剩余带宽资源，然后发送流量，若无剩余资源获取，则丢弃流量。
每IP/每用户的保证带宽和最大带宽；--->相较于整体，更加精细。
连接数限制 --- 限制并发连接总数和新建连接速率(就是会话数)
限制P2P应用
防止DDoS攻击
DSCP优先级重标记
DSCP --- 差分服务代码点 --- 是一种用来标识网络流量优先级的字段。数值越大优先
级越高。 ---- 早期IP头部中TOS字段定义信息
7 --- 预留
6 --- 预留
5 --- 语音数据
4 --- 视频会议数据
3 --- 呼叫信号数据
2 --- 高优先级数据
1 --- 中优先级数据
0 --- 尽力服务数据
对于最大带宽、保证带宽和连接数限制而言，均具有下行和上行概念。
流量传输方向与策略方向相同，为上行
流量传输方向与策略方向相反，为下行
带宽复用 --- 多条流量进入同一个带宽通道后，带宽通道内带宽资源的动态分配方式。
当通道中某个流量没有使用带宽资源时，该空闲的资源可以被借用给其他流量使用。如
果有流量需要使用这部分带宽资源，可以压缩其他流量的带宽，从而将原有带宽抢占回
来。
带宽策略 --- 定义了被管理的对象和动作；需要引用带宽通道
工作方式
带宽独占 --- 带宽策略和带宽通道一一对应
带宽共享 --- 多个带宽策略使用相同的带宽通道，多对一
条件 + 动作
动作 --- 限流或不限流
条件 --- 安全区域、用户、应用、服务、时间段、DSCP优先级
默认情况下，FW上存在一条缺省的带宽策略，所有匹配条件为any，动作不限流。
多级策略 --- 在一条带宽策略下，可以继续配置多条带宽子策略。
对于该策略，流量先匹配父策略，在去匹配子策略，直到匹配到最后一级子策略为止。接口带宽 --- 定义了接口入方向和出方向的实际带宽
当流量发生拥塞时，启动队列调度机制
流量转发优先级
流量监管 --- 当某条流量超出带宽通道中设置的最大带宽，则报文被丢弃
流量整形 --- 通过队列机制，将超出的峰值流量和突发流量报文延迟传输，同时调整网络中流量的输出速率，使得报文以均匀的速率向外发送带宽通道可以匹配流量优先级
优先级 = 4 ，采用流量监管；默认采用该方式
优先级 ≠ 4 ，采用流量整形
优先级>4，优先发送；优先级<4，则延迟发送。
配额控制策略
用于控制用户的上网流量和上网时间，可以防止带宽滥用、上网时间过长影响工作效率等问题。
策略分为两部分
检测 --- 实时检测上网流量和时长；并且与用户的配额进行比对。
控制 --- 直接阻断或限制最大带宽。
存在三种配额方式
每日流量配额
每月流量配额
每日上网时长配额