交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、组网需求
客户需求:某个学校有在线IP 160000多人,针对学生每人最大2M,教师每人最大5M,但是时常发现在线IP能够突破到200000人以上,不符合实际情况,而且在线IP突破200000人时,CPU和内存使用率也相应增高,十分危险。
二、组网拓扑
三、配置步骤
优化前:
1、建立IP地址对象techer和student。
2、建立通道VC,教师vc每用户最大5M,学生VC每用户最大2M。
3、建立通道策略和子通道策略,匹配到相关的通道和子通道VC.
运行一段时间进行观察,发现有在线IP突然猛增的情况发生。
优化后:
1、建立IP地址对象,将教师和学生的IP放入一个组中。
2、建立用户策略,教师和学生的IP设置为trusted,方向为 Int To Ext,其他的全部Untrusted(不信任的)。
3、建立通道VC,教师vc每用户最大5M,学生VC每用户最大2M。(同优化前)
4、建立通道策略和子通道策略,匹配到相关的通道和子通道VC.(同优化前)
5、建立会话数限制,对每用户会话数限制
说明:
将合法的IP地址设置为信任,这样可以减少非法攻击和扫描通过ACE;
在线IP的统计方法是,内网IP访问外网的内网IP数数量和外网访问内网ip的内网IP数量之和。如果有一个外网IP,向内发起IP扫描,这些地址都是不存在的,那么会统计出在线IP超过实际使用数量的情况。
注意:
过高的在线IP和在线会话会导致CPU和内存使用率增加,甚至到达极限造成设备重启。
窍门:
尽量统计下内网的IP地址段,将所以段设置为信任,剩下的所以为不信任,防止内网进行病毒攻击和扫描,进行每用户会话数进行限制,速值一般为1000(也可以根据实际情况进行调整)。