掌握流量抑制與風暴控制，讓你的業務更上一層樓

作者：diddiplus 2023-09-24 23:07:24

網絡

流量抑制通過對不同類型的報文采取不同的限制措施，達到限制報文發送速率的目的。風暴控制可以用來防止廣播、未知組播以及未知單播報文產生廣播風暴。

一、流量抑制

1.概述

網絡中存在的問題：

正常情況下，當設備某個二層以太接口收到廣播、未知組播或未知單播報文時，會向同一VLAN內的其他二層以太接口轉發這些報文，從而導致流量泛洪，降低設備轉發性能。
當設備某個以太接口收到已知組播或已知單播報文時，如果某種報文流量過大則可能會對設備造成沖擊，影響其他業務的正常處理。

可用的解決方案：

流量抑制可以通過配置閾值來限制廣播、未知組播、未知單播、已知組播和已知單播報文的速率，防止廣播、未知組播報文和未知單播報文產生流量泛洪，阻止已知組播報文和已知單播報文的大流量沖擊。

2.流量抑制工作原理

在接口入方向上，設備支持對廣播、未知組播、未知單播、已知組播和已知單播報文按百分比、包速率和比特速率進行流量抑制。設備監控接口下的各類報文速率并和配置的閾值相比較，當入口流量超過配置的閾值時，設備會丟棄超額的流量。

在VLAN視圖下，設備支持對廣播報文按比特速率進行流量抑制。設備監控同一VLAN內廣播報文的速率并和配置的閾值相比較，當VLAN內流量超過配置的閾值時，設備會丟棄超額的流量。

流量抑制還可以通過配置閾值的方式對ICMP報文進行限速，防止大量ICMP報文上送CPU處理，導致其他業務功能異常。

3.流量抑制的應用

流量抑制通過對不同類型的報文采取不同的限制措施，達到限制報文發送速率的目的。具體實施可分為以下三種情況：

在交換機接口的入方向，例如下圖中SW1的GE0/0/1入方向，通過流量抑制功能可以限制任意報文的發送速率。
在交換機接口出方向，例如下圖中SW1的GE0/0/1出方向，通過流量抑制功能可以阻塞廣播，未知組播和未知單播報文。
在交換機的VLAN視圖下，通過配置VLAN 內流量抑制限制VLAN內廣播報文。

4.流量抑制配置命令介紹

(可選)配置流量抑制模式：

[Huawei] suppression mode { by-packets | by-bits }

缺省情況下，缺省的抑制模式為packets，在bits模式下，流量抑制的粒度更小、抑制更精確。

配置流量抑制：

[Huawei-GigabitEthernet0/0/1] { broadcast-suppression | multicast-suppression | unicast-suppression} { percent-value | cir cir-value [ cbs cbs-value ] | packets packets-per-second }

接口下配置流量抑制時，抑制模式需與全局的流量抑制模式保持一致。

配置在接口出方向上阻塞報文：

[Huawei-GigabitEthernet0/0/1] { broadcast-suppression | multicast-suppression | unicast-suppression } block outbound

配置VLAN的廣播抑制速率：

[Huawei-vlan2] broadcast-suppression threshold-value

display flow-suppression interface interface-type interface-number查看流量抑制配置信息。

5.流量抑制配置舉例

配置要求：

在GE0/0/1接口視圖下配置流量抑制功能，限制二層網絡轉發的廣播、未知組播和未知單播報文的能力。
配置廣播流量抑制，按百分比抑制，百分比值為60%。
配置未知組播流量抑制，按百分比抑制，百分比值為70%。
配置未知單播流量抑制，按百分比抑制，百分比值為80%。

Switch配置如下：

[Switch]suppression mode by-packets
[Switch-GigabitEthernet0/0/1] unicast-suppression 80
[Switch-GigabitEthernet0/0/1] multicast-suppression 70
[Switch-GigabitEthernet0/0/1] broadcast-suppression 60

配置驗證：

[Switch]dis flow-suppression interface GigabitEthernet 0/0/1
 storm type           	rate mode     	set rate value 
-------------------------------------------------------------------------------
 unknown-unicast     		percent      	percent: 80% 
 multicast          	  percent      	percent: 70% 
 broadcast         	  	percent      	percent: 60% 
-------------------------------------------------------------------------------

二、風暴控制

1.風暴控制概述

網絡中存在的問題：正常情況下，當設備某個二層以太接口收到廣播、未知組播或未知單播報文時，會向同一VLAN內的其他二層以太接口轉發這些報文，如果網絡存在環路，則會導致廣播風暴，嚴重降低設備轉發性能。
可用的解決方案：風暴控制可以通過阻塞報文或關閉端口來阻斷廣播、未知組播和未知單播報文的流量。

2.風暴控制工作原理

風暴控制可以用來防止廣播、未知組播以及未知單播報文產生廣播風暴。在風暴控制檢測時間間隔內，設備監控接口下接收的三類報文的包平均速率與配置的最大閾值相比較。當報文速率大于配置的最大閾值時，風暴控制將根據配置的動作來對接口進行阻塞報文或關閉接口的處理。

流量抑制與風暴控制的主要區別是：風暴控制功能可以對端口下發懲罰動作（block和shutdown)，而流量抑制功能只是對端口流量進行限制。

3.風暴控制的應用

風暴控制與流量抑制相比的優勢是可以同時監控接口下的廣播報文、未知組播報文和未知單播報文各自的包平均速率，并根據閾值對接口采取阻塞相關報文或者關閉物理接口的懲罰動作。

本例中，Switch作為二層網絡到路由器的銜接點，當需要限制二層網絡轉發過來的用戶廣播、未知組播和未知單播報文時，可以通過在Switch的GE0/0/1上配置風暴控制功能來實現。

4.風暴控制配置命令介紹

配置接口對報文的風暴控制：

[Huawei-GigabitEthernet0/0/1] storm-control { broadcast | multicast | unicast } min-rate min-rate-value max-rate max-rate-value

[Huawei-GigabitEthernet0/0/1] storm-control { broadcast | multicast | unicast } min-rate min-rate-value max-rate max-rate-value

對接口上的廣播、未知組播或未知單播報文進行風暴控制。

配置風暴控制的動作：

[Huawei-GigabitEthernet0/0/1] storm-control action { block | error-down }

配置風暴控制的檢測時間間隔：

[Huawei-GigabitEthernet0/0/1] storm-control interval interval-value

配置使能接口狀態自動恢復：

[Huawei-GigabitEthernet0/0/1] error-down auto-recovery cause storm-control interval interval-value

使能接口狀態自動恢復為Up的功能，并設置接口自動恢復為Up的延時時間。

（可選）配置流量抑制及風暴控制白名單：

[Huawei] storm-control whitelist protocol { arp-request | bpdu | dhcp | igmp | ospf }*

5.風暴控制配置舉例

配置需求：在交換機Switch上需要配置防止二層網絡轉發的廣播、未知組播和未知單播報文產生的廣播風暴。
配置思路：通過在接口GE0/0/1上配置風暴控制限制二層網絡的廣播風暴的產生。