发布时间：2013-09-18
点击量：2573一、组网需求
客户需求：某个学校有在线IP 160000多人，针对学生每人最大2M，教师每人最大5M，但是时常发现在线IP能够突破到200000人以上，不符合实际情况，而且在线IP突破200000人时，CPU和内存使用率也相应增高，十分危险。
二、组网拓扑
三、配置步骤
优化前：
1、建立IP地址对象techer和student。
2、建立通道VC，教师vc每用户最大5M，学生VC每用户最大2M。
3、建立通道策略和子通道策略，匹配到相关的通道和子通道VC.
运行一段时间进行观察，发现有在线IP突然猛增的情况发生。
优化后：
1、建立IP地址对象，将教师和学生的IP放入一个组中。
2、建立用户策略，教师和学生的IP设置为trusted，方向为 Int To Ext，其他的全部Untrusted（不信任的）。
3、建立通道VC，教师vc每用户最大5M，学生VC每用户最大2M。（同优化前）
4、建立通道策略和子通道策略，匹配到相关的通道和子通道VC.（同优化前）
5、建立会话数限制，对每用户会话数限制
说明：
将合法的IP地址设置为信任，这样可以减少非法攻击和扫描通过ACE；
在线IP的统计方法是，内网IP访问外网的内网IP数数量和外网访问内网ip的内网IP数量之和。如果有一个外网IP，向内发起IP扫描，这些地址都是不存在的，那么会统计出在线IP超过实际使用数量的情况。
注意：
过高的在线IP和在线会话会导致CPU和内存使用率增加，甚至到达极限造成设备重启。
窍门：
尽量统计下内网的IP地址段，将所以段设置为信任，剩下的所以为不信任，防止内网进行病毒攻击和扫描，进行每用户会话数进行限制，速值一般为1000（也可以根据实际情况进行调整）。
