企業(yè)實(shí)戰(zhàn)：輕松實(shí)現(xiàn)思科路由器限速
思科路由器限速設(shè)置：
在思科設(shè)備中，只有支持思科快速轉(zhuǎn)發(fā)（CEF，Cisco Express Forward）的路由器或交換機(jī)才能使用rate-limit來限制流量，具體設(shè)置分三步：
- rate-limit input 2048000 8000 16000 conform-action transmit exceed-action drop
- rate-limit output 2048000 8000 16000 conform-action transmit exceed-action drop
1. 在全局模式下開啟cef：http://www.18mac.com
- configure terminal
- Router(config)#ip cef
2. 定義標(biāo)準(zhǔn)或者擴(kuò)展訪問列表（定義一個(gè)方向就可以了）：
Router(config)#access-list 111 permit ip 192.168.1.0 0.0.0.255 any
3. 在希望限制的端口上進(jìn)行rate-limit：
- Router(config)#interface FastEthernet 0/1
- Rounter(config-if)#rate-limit input access-group 111 2000000 40000 60000 conform-action transmit exceed-action drop
這樣我們就對(duì)192.168.1.0網(wǎng)段進(jìn)行了路由器限速，速率為2Mbps。注意，是對(duì)整個(gè)網(wǎng)段，因?yàn)槟愣x的ACL就是針對(duì)整個(gè)網(wǎng)段的。
思科rate-limit命令格式分析：
#rate-limit {input|output} [access-group number] bps burst-normal burst-max conform-action action exceed-action action
input|output：這是定義數(shù)據(jù)流量的方向。
access-group number：定義的訪問列表的號(hào)碼。
bps：定義流量速率的上限，單位是bps。
burst-normal burst-max：定義的數(shù)據(jù)容量的大小，一般采用8000，16000，32000，單位是字節(jié)，當(dāng)?shù)竭_(dá)的數(shù)據(jù)超過此容量時(shí)，將觸發(fā)某個(gè)動(dòng)作，丟棄或轉(zhuǎn)發(fā)等，從而達(dá)到路由器限速的目的。
conform-action和exceed-action：分別指在速率限制以下的流量和超過速率限制的流量的處理策略。
action：是處理策略，包括drop和transmit等
阻止非法地址的命令是：
- Router(config)# interface <interface>
- Router(if-config)# no ip unreachables
如果此命令不能禁止，可參考下面這個(gè)命令：
Elab(config)# ip icmp rate-limit unreachable <millisecond>
路由器限速命令分析：
1、指定需限速范圍：
- access-list 110 permit ip 192.168.1.0 0.0.0.255 any
- access-list 110 permit ip any 192.168.1.0 0.0.0.255
2、在wan口指定速率： www.360ito.com
- rate-limit input access-group 110 1024000 128000 128000 conform-action transmit exceed-action drop
- rate-limit output access-group 110 1024000 128000 128000 conform-action transmit exceed-action drop
3、設(shè)置完成
路由器限速限惡意端口分析：
1、定義擴(kuò)展訪問控制列表：
- ip access-list extended BLOCK
- deny tcp any any range 135 139
- deny tcp any range 135 139 any
- deny udp any any range 135 netbios-ss
- deny udp any range 135 netbios-ss any
- deny tcp any any eq 445
- deny udp any eq 445 any
- deny tcp any any eq 1433
- deny tcp any eq 1433 any
- deny udp any any eq 1434
- deny udp any eq 1434 any
- permit ip any any
2、把它放在各各端口in方向：
- #int f0/0
- #ip access-group block in
- #int f0/1
- #ip access-group block in
路由器限速設(shè)置到這里大功告成，我們用思科解決了區(qū)域限速問題。現(xiàn)在相信大家不會(huì)再為老板對(duì)全公司大吼‘很卡’擔(dān)憂了，趕快試試吧！
