网络带宽管理和优先级

网络工程 防火墙 服务质量 带宽
2022-02-26 06:19:48

我试图了解消耗带宽的机制,以便我可以在防火墙上设置适当的 QoS 和/或优先级策略。这是场景:

我们的设置是 Fortigate 60E,它位于我们的 LAN 和具有 10Mbps 连接的 AT&T 托管路由器之间。

当我们的设施内除了我之外没有人时,我会从我的 PC 浏览器向一个站点发起一个请求,该站点开始下载 180Mb 文件。我可以看到内部和外部接口的带宽使用图立即跳到 10Mbps(即我们服务的全部限制),当下载完成时,吞吐量图回落到 0。

在下载完成之前,我发起另一个浏览器请求(选择带有图像和文本的典型新闻站点),带宽使用的防火墙图保持在 10Mbps,我的第二个请求最终得到服务。

我的问题是:什么决定了为我的第二个浏览器请求分配多少带宽?此外,由于默认优先级(根据 Fortigate)是所有请求的默认优先级为“高”,“竞争请求”如何解决?显然它不是顺序的(先到先得),因为第二个请求在第一个请求(下载)完成之前完成。

当办公室里有 10 或 15 个人时,这种情况会重复并放大很多倍。我没有需要提升或优先于“正常”互联网使用的 VOIP、电子邮件或电子商务服务器。我只是有一群人同时访问网络,他们期望一个合理响应的互联网。所以我想防止第一个请求者在其他人(即后续请求者)等待时获得超快的体验。

我最初的想法是为所有请求设置一个最大带宽(即不会分配超过 1Mbps 的带宽的请求),认为这样可以防止一个请求占用所有带宽。这是可取的吗?如果是这样,你会怎么做?(流量调整策略?还是其他?)将所有流量的优先级更改为中(相对于默认的高优先级)是否会产生有利的效果?这会是可取的吗?

我对这些东西很陌生,我们的公司是新的,我们的 IT 基础设施设置也是新的。如果我只是没有以正确的方式思考这个问题,请随时告诉我。我读过很多书,但理解的行话不到一半。非常欢迎外行的解释/回应!

2个回答

您要问的是传入数据,您无法真正直接控制传入数据的带宽使用。请记住,当您看到传入流量以对其进行监管时,它已经使用了您的传入带宽。这真的是先到先得。

服务器发送的速度可能比来自 ISP 的链接快,并且许多数据包被丢弃并重新请求。TCP 会取得平衡,因为它使用连接,但任何传入的 UDP 流量(包括 VoIP 或视频等实时流量)都不会受到控制,它会完全阻塞你的传入链接。对于传入流量,您能做的最好的事情就是监管(丢弃)它,这将使您对 TCP 流量有一个粗略的控制,但对于无连接流量则没有。

您唯一可以直接控制的是您自己网络上的 QoS 策略和实施。一些 ISP 将允许您支付额外费用以在其网络上为您提供一些 QoS,但在更大的 Internet 上,您的 QoS 策略和标记将被忽略或重置为BE(尽力而为)。您可以而且确实应该在您自己的网络上标记高优先级和低优先级的流量,并且您可以将其塑造成您的 WAN 链接。

不要在流量分类上过分;通常四五个分类就足够了。VoIP 应该是优先级,路由协议和诸如 VoIP 之类的控制流量应该是第二高的优先级。诸如服务器备份或其他可能干扰您的业务流量的批量流量之类的事情应该是低优先级的。您的大部分流量应保持为BE. 大多数人首先进入 QoS 尝试在许多不同的分类中标记所有内容,但这是一个新手错误。保持简单,如果你得到了六种分类,那么你真的应该重新考虑一下。

鉴于您所描述的流量类型,Ron Maupin 关于优先级是正确的。由于您要处理不同数量的用户以及不同数量的流量,因此您必须考虑突发级别。查看 AT&T 的 QoS 选项以及 Fortigate 上的哪些配置设置适用于流量管理和 QoS。

您应该至少考虑 Best Effort、Sensitive 和 Undesired 流量分类。通过过滤掉不需要的流量,您可以节省实际流量的带宽,而不是将其浪费在垃圾上。您没有在帖子中提及任何网络交换机,但您也可以使用它们进行一些流量管理。再次检查配置选项。

我也会研究一个网络监控工具。它有点基于反应,但如果您设置了警报,那么您可以找到有问题的连接并将其删除。