01-05 流量抑制及风暴控制配置

实验7 配置风暴控制[实验名称]配置风暴控制[实验目的]使用交换机的风暴控制功能对端口流量进行控制[背景描述]某企业网络中最近经常出现大量的数据泛洪现象，通过分析，发现某接入网络的设备正在以非常高的速率向网络中发现报文，，产生了广播风暴，极大的降低了网络性能，造成带宽资源浪费。

[需求分析]对于网络中出现的广播风暴现象，可以使用交换机的风暴控制功能防止广播风暴的产生。

[实验拓补][实验设备]交换机1台PC机2台（PC1装有报文发送工具）[实验原理]交换机的风暴控制是一种工作在物理端口的流量的控制机制，它在特定的时间周期内监视端口收到的数据帧，然后通过与配置的阀值进行比较。

如果超过了阀值，交换机将暂时禁止相应类型的数据帧（未知目的MAC单播，组播或广播）的转发直到数据流恢复正常（低于阀值）。

[实验步骤]第一步：创建并配置VLANSwitch＃configureSwitch#(config)#vlan 10Switch(config-vlan)#exitSwitch(config)#interface range faceEthernet 0/1-2Switch(config-it)#switchport access vlan 10Switch(config-if)#endSwitch#第二部：验证测试PC1、PC2之间可以互ping通：第三步：验证测试在PC1上使用报文发送工具发送工具广播MAC地址的帧，在PC2上通过捕获可以看到接受收到的报文的速率（ＰＰＳ）。

下图为在PC1 上的捕获的报文，可以看到PC1正在以大约每秒500个包的速率发送广播报文：下图为在PC2上捕获的报文，可以看到PC2正在以每秒500个包的速率接收广播报文：第四步：配置风暴控制配置f0/1端口（连接PC1的端口）对于广播报文进行风暴控制，限制其端口收到的报文速率（pps）：Switch#configureSwitch(comfig)#interface fasEthernet 0/1Switch(config-if)#storm-conrm-control broadcast pps 100!设置报文速率阀值为每秒个100报文Switch(config-if)#endSwitch#第五步：验证测试由于f0/1配置了对广播报文的风暴控制，PC1发送的广播报文在进入f0/1端口时被限制。

配置风暴控制（storm配置风暴控制(storm_control)作者: 收集于网络理解风暴控制风暴控制防止交换机的端口被局域网中的广播、多播或者一个物理端口上的单播风暴所破坏。

局域网风暴发生在包在局域网中泛洪，建立的过多的流量并丧失了网络性能。

协议栈中的错误或者网络配置上的错误可以导致风暴。

风暴控制(或者叫流量压制)管理进栈的流量状态，通过一段时间和对比测量带有预先设定的压制级别门限值的方法来管理。

门限值表现为该端口总的可用带宽的百分比。

交换机支持单独的风暴控制门限给广播组播和单播。

如果流量类型的门限值达到了，更多这种类型的流量就会受到压制，直到进栈流量下降到门限值级别以下。

注意：当组播的速度超出一组门限，所有的进站流量(广播组播单播)都会被丢弃，直到级别下降到门限级别以下。

只有stp的包会被转发。

当广播和单播门限超出的时候，只有超出门限的流量会被封闭。

当风暴控制开启了时，交换机监视通过接口的包来交换总线和决定这个包是单播，组播还是广播。

交换机监视广播组播和单播的数目，每1秒钟一次，并且当某种类型流量的门限值到达了，这种流量就会被丢弃了。

这个门限以可被广播使用的总的可用带宽的百分比被指定。

以下是一个接口上的一段时间内的广播流量的模型曲线图。

这个例子也可被组播和单播流量套用。

在这个例子中，广播流量在T1-T2、T4-T5时间之间被转发超过配置门限值所有的该种流量都在下一个时间被丢弃。

因此广播流量在T2和T5时间内是被封闭的。

在下一个时断，T3，如果广播流量没有超出限制，那么它又被转发了。

风暴控制算法的工作是风暴控制抑制级别和每秒钟间隔控制的结合。

一个更高的门限允许更多的包通过。

如果把门限值设置成100%意味着将不会限制所有任何的流量。

0%意味着所有的广播组播和单播流量都会被封闭。

注意：因为包不会在统一时间间隔内到达，每秒钟间隔间如果没有流量会影响风暴控制。

交换机持续监视端口的流量，而且当利用级别降到门限以下，这种被丢弃类型的流量，又会被再次转发。

理解风暴控制大量的广播，单播或组播数据包，当端口收到一个数据包风暴发生时，转发这些数据包可能会导致网络变慢或超时。

风暴控制配置交换机作为一个整体，但都是基于每个端口的上运作。

默认情况下，风暴控制被禁用。

风暴控制使用的阈值的上升和下降参数来控制广播风暴，然后恢复转发广播，单播，多播数据包。

还可以设置开关上升达到阈值时，关闭端口。

流量风暴控制功能：防止被物理接口上的广播，组播或单播流量风暴破坏的LAN端口，如果在每秒之内发生的广播数据报流量过多，那么就会直接导致交换机等网络设备的CPU利用率高，设置利用率会达到100%从而导致网络中断。

风暴控制使用这些方法之一来衡量交通活动：1、基于带宽2、接收数据包流量速率（每秒数据包）（仅适用于非长距离以太网LRE的Catalyst 2950交换机）阈值可以作为一个总的可用带宽，可以通过广播，组播或单播流量，或在该接口接收多播，广播或单播流量的速率百分比表示。

当交换机使用的带宽为基础的方法，上升阈值的总可用带宽多播，广播或单播流量转发被封锁之前的百分比。

下降阈值是总的可用带宽的百分比低于该开关恢复正常转发。

一般来说，级别越高，对广播风暴的保护效果较差。

当非LRE的Catalyst 2950交换机运行Cisco IOS版本12.1（14）EA1或更高版本使用阈值的流量率的上升和下降的阈值在每秒的数据包。

上升阈值的多播，广播和单播流量被封锁之前收到转发率。

下降阈值率低于该开关恢复正常转发。

例如：在快速以太网端口开启风暴控制，当网络广播包、多播包和单播包分别占到带宽10%、30%、50%时，即自动关闭该端口。

当宽带占用降低至9%、25%、45%时，再自动启用该端口，配置如下：interface fastEthernet0/1swithcport access vlan 2no ip addresstorm-control broadcast level 10.00 9.00strom-control multicast level 30.00 25.00strom-control unicast level 50.00 45.00strom-control action shutdown其他要求风暴控制端口配置基本相同。

D-Link交换机设备安全性功能配置手册友讯网络D-Link2012年4月目录1、风暴抑制 (2)1）广播抑制 (2)2）组播抑制 (4)3）未知单播抑制 (5)2、Safe Guide配置 (8)1）配置需求 (8)2）配置过程 (8)3）测试验证 (9)3、MAC地址绑定配置 (10)1）配置需求 (10)2）配置思路 (10)3）验证测试 (11)4、IP+MAC+PORT绑定 (12)1）组网需求 (12)2）组网图 (12)3）配置步骤 (12)5、DHCP_Snooping (17)1）功能介绍 (17)2）功能作用 (17)3）配置范例 (18)6、端口隔离配置 (21)1）配置要求 (21)2）配置实例 (21)1、风暴抑制风暴抑制是防止交换机的端口被局域网中的广播、组播或者一个物理端口上的单播风暴所破坏。

当流量在局域网中泛洪，建立的过多的流量将占用过多的带宽，并导致网络拥塞。

风暴抑制用于对进入的流量进行控制，从上面我们可以看出控制的对象可以是单播、广播和组播流量。

我们通过事先定义一个门限值（threshold），当某种流量超出了门限值，将对该流量进行控制，使其降到门限值一下，一旦流量超出门限值，所有的进入交换机的流量（无论是单播、组播还是广播）都会被丢弃！风暴抑制在交换机上默认是关闭。

D-link的交换机具有抑制广播、组播、单播三种风暴的能力，下面以DGS-3120-24TC为例，介绍如何对风暴抑制进行设置。

1）广播抑制1、进入交换机的配置界面。

2、输入以下命令：config traffic control 1:1-1:10 broadcast enable：在交换机第一个端口至第十个端口开启广播抑制。

threshold 128000 action shutdown :当交换机作用端口接收到超过每秒128000个数据包时，关闭该端口。

每秒通过的数据包数值可以自行设置，范围在0—255000之间。

c i s c o交换机风暴控制公司内部编号：（GOOD-TMMT-MMUT-UUPTY-UUYY-DTTI-理解风暴控制大量的广播，单播或组播数据包，当端口收到一个数据包风暴发生时，转发这些数据包可能会导致网络变慢或超时。

风暴控制配置交换机作为一个整体，但都是基于每个端口的上运作。

默认情况下，风暴控制被禁用。

风暴控制使用的阈值的上升和下降参数来控制广播风暴，然后恢复转发广播，单播，多播数据包。

还可以设置开关上升达到阈值时，关闭端口。

流量风暴控制功能：防止被物理接口上的广播，组播或单播流量风暴破坏的LAN端口，如果在每秒之内发生的广播数据报流量过多，那么就会直接导致交换机等网络设备的CPU利用率高，设置利用率会达到100%从而导致网络中断。

风暴控制使用这些方法之一来衡量交通活动：1、基于带宽2、接收数据包流量速率（每秒数据包）（仅适用于非长距离以太网LRE 的Catalyst 2950交换机）阈值可以作为一个总的可用带宽，可以通过广播，组播或单播流量，或在该接口接收多播，广播或单播流量的速率百分比表示。

当交换机使用的带宽为基础的方法，上升阈值的总可用带宽多播，广播或单播流量转发被封锁之前的百分比。

下降阈值是总的可用带宽的百分比低于该开关恢复正常转发。

一般来说，级别越高，对广播风暴的保护效果较差。

当非LRE的Catalyst 2950交换机运行Cisco IOS版本12.1（14）EA1或更高版本使用阈值的流量率的上升和下降的阈值在每秒的数据包。

上升阈值的多播，广播和单播流量被封锁之前收到转发率。

下降阈值率低于该开关恢复正常转发。

例如：在快速以太网端口开启风暴控制，当网络广播包、多播包和单播包分别占到带宽10%、30%、50%时，即自动关闭该端口。

当宽带占用降低至9%、25%、45%时，再自动启用该端口，配置如下：interface fastEthernet0/1swithcport access vlan 2no ip addresstorm-control broadcast level 10.00 9.00strom-control multicast level 30.00 25.00strom-control unicast level 50.00 45.00strom-control action shutdown其他要求风暴控制端口配置基本相同。

8流量抑制及风暴控制配置关于本章流量抑制及风暴控制配置包括流量抑制及风暴控制的基础知识、配置方法、配置举例和常见配置错误。

8.1 流量抑制及风暴控制简介介绍流量抑制及风暴控制的定义和作用。

8.2 原理描述介绍流量抑制及风暴控制的实现原理。

8.3 应用场景介绍流量抑制及风暴控制的应用场景。

8.4 配置注意事项介绍了设备支持的流量抑制及风暴控制特性的相关配置注意事项以及两者的区别。

8.5 缺省配置介绍设备的流量抑制及风暴控制缺省值。

8.6 配置流量抑制通过配置流量抑制，防范广播风暴，保障设备转发性能。

8.7 配置风暴控制通过配置风暴控制，防范广播风暴，保障设备转发性能。

8.8 配置举例配置举例包括组网需求、配置思路、配置步骤和配置文件。

8.9 参考信息介绍流量抑制及风暴控制的参考标准和协议。

8.1 流量抑制及风暴控制简介介绍流量抑制及风暴控制的定义和作用。

定义流量抑制和风暴控制是两种用于控制广播、组播以及未知单播报文，防止这三类报文引起广播风暴的安全技术。

流量抑制主要通过配置阈值来限制流量，而风暴控制则主要通过关闭端口来阻断流量。

未知单播报文是指目的MAC地址未被设备学习到的单播报文。

目的当设备某个二层以太接口收到广播、组播或未知单播报文时，如果根据报文的目的MAC地址设备不能明确报文的出接口，设备会向同一VLAN内的其他二层以太接口转发这些报文，这样可能导致广播风暴，降低设备转发性能。

引入流量抑制和风暴控制特性，可以控制这三类报文流量，防范广播风暴。

8.2 原理描述介绍流量抑制及风暴控制的实现原理。

8.2.1 流量抑制的基本原理流量抑制特性按以下形式来限制广播、组播以及未知单播报文产生的广播风暴。

l在接口视图下，入方向上，设备支持分别对三类报文按百分比、包速率和比特速率进行流量抑制。

设备监控接口下的三类报文速率并和配置的阈值相比较，当入口流量超过配置的阈值时，设备会丢弃超额的流量。

CE6870EI不支持按包速率进行流量抑制。

瑞斯康达2826配置说明基本系统命令：Chinese：将命令的帮助提示信息显示为中文English：将命令的帮助提示信息显示为英文Clear：清除屏幕的显示信息List：显示所在模式下所有的命令列表Clockset：更改系统时间镜像功能配置：镜像功能是将镜像端口的数据包按照设置的规则，复制一份发送到指定的监视端口上。

管理员可以利用此功能对网络数据进行监视与分析。

镜像端口允许有多个，但监视端口只能有一个。

默认情况下不设置镜像功能。

配置镜像功能的监视端口：―――――――――――――――――――――――――――――命令｜描述――――――――――――――＋――――――――――――――config ｜进入全局配置模式――――――――――――――＋――――――――――――――mirror monitor_port port_number｜设置镜像功能的监视端口｜port_number为物理端口号，范围是1－26――――――――――――――＋――――――――――――――exit｜退出全局配置模式进入特权用户模式――――――――――――――＋――――――――――――――show monitor｜显示设置的监视端口―――――――――――――――――――――――――――――删除设置的监视端口可以使用全局配置命令：no mirror monitor_port配置镜像功能的镜像端口及镜像规则：―――――――――――――――――――――――――――――命令｜描述―――――――――――――＋―――――――――――――――config ｜进入全局配置模式―――――――――――――＋―――――――――――――――mirror source_port port_numbe|设置镜像功能的镜像端口及镜像规则―――――――――――――＋―――――――――――――――{ingresss | egress | both}| port_number为物理端口号，是1－26｜ingress表示只镜像从端口输入的数据｜engress表示只镜像从端口输出的数据｜both表示镜像从端口通过的两个方向的数据―――――――――――――＋―――――――――――――――exit｜退出全局配置模式进入特权用户模式―――――――――――――＋―――――――――――――――show mirroring source_port| 显示端口的镜像设置―――――――――――――＋―――――――――――――――port_number｜port_number为物理端口号，范围是1－26―――――――――――――――――――――――――――――删除设置的镜像端口可以使用全局配置命令：no mirror source_port port_number 使用全局配置命令no mirror all可以删除所有的镜像设置，使用命令show mirroring来显示所有的镜像设置。

cisco 交换机端口广播风暴设置（满详细的）2010-05-10 14:52这个其实是比较实用的。

当端口接收到大量的广播、单播或多播包时，就会发生广播风暴。

转发这些包将导致网络速度变慢或超时。

借助于对端口的广播风暴控制，可以有效地避免硬件损坏或链路故障导致的网络瘫痪。

默认状态下，广播、多播和单播风暴控制被禁用。

1. 启用风暴控制启用风暴控制的具体操作步骤如下。

以下列出了代码中各命令的具体描述：level。

指定阻塞端口的带宽上限值。

当广播、多播或单播传输占到宽带的多大比例（百分比）时，端口将阻塞传输。

取值范围为0.00 ~ 100.00。

如果将值设置为100%，将不限制任何传输；如果将值设置为0%，那么，该端口的所有广播、多播和单播都将被阻塞。

level-low。

指定启用端口的带宽下限值。

该值应当小于或等于下限值，当广播、多播或单播传输占用带宽的比例低于该值时，端口恢复转发传输。

取值范围为0.00 ~ 100.00。

bps。

bps可表示为bit/s。

指定端口阻塞的传输速率上限值。

当广播、多播或单播传输达到每秒若干比特（bps）时，端口将阻塞传输。

取值范围为0.0~10 000 000 000.0。

bps-low。

指定端口启用的传输速率下限值。

该值应当小于或等于下限值，当广播、多播或单播传输低于每秒若干比特（bps）时，端口将恢复传输。

取值范围为0.0 ~ 10 000 000 000.0。

如果数值较大，也可以使用k、m或g等词头来表示。

pps。

指定端口阻塞的转发速率上限值。

当广播、多播或单播传输速率达到每秒若干包（pps）时，端口将阻塞传输。

取值范围为0.0 ~ 10 000 000 000.0。

pps-low。

指定端口启用的传输速率下限值。

该值应当小于或等于下限值，当广播、多播或单播转发速率低于每秒若干包（pps）时，端口将恢复传输。

取值范围为0.0 ~ 10 000 000 000.0。

如果数值较大，也可以使用k、m或g等词头来表示。