华为防火墙如何配置限速策略限制特定IP流量？

Question

如何在华为防火墙上配置基于IP的流量限速策略以限制特定内网用户的带宽？例如，某企业网络中存在个别用户占用过多带宽影响整体性能，需通过防火墙对指定源IP（如192.168.1.100）进行下行和上行速率限制。请问应使用何种限速模式（如接口限速、全局限速或策略限速），具体配置命令有哪些？是否需要结合QoS策略模板与traffic-policy绑定？限速后如何验证效果并查看实时流量统计？

Answer 1

如何在华为防火墙上配置基于IP的流量限速策略以限制特定内网用户的带宽？

1. 背景与需求分析

在企业网络中，个别用户（如使用P2P下载、视频流媒体或大文件传输）可能占用大量带宽资源，导致其他用户访问延迟高、应用响应慢。为保障关键业务服务质量（QoS），需对特定源IP地址实施带宽限制。

例如：限制内网用户 192.168.1.100 的上行速率不超过 5 Mbps，下行速率不超过 10 Mbps。

华为USG系列防火墙支持多种限速方式，包括接口限速、全局限速和策略限速。针对“按IP限速”的场景，应选择策略限速（Policy-based QoS），因其具备细粒度控制能力。

2. 华为防火墙限速模式对比

限速模式	适用场景	控制粒度	是否支持按IP限速	配置灵活性
接口限速	整个物理/逻辑接口总带宽控制	接口级	否	低
全局限速	全局所有流量的上下限控制	系统级	否	中
策略限速	基于ACL、IP、协议等条件的精细控制	流策略级	是 ✅	高 ✅

3. 配置思路与流程图

graph TD A[确定限速目标: 源IP 192.168.1.100] --> B[创建ACL匹配该IP] B --> C[定义QoS模板设置CIR/EIR] C --> D[创建traffic-policy绑定ACL与QoS模板] D --> E[应用policy-map到入/出方向接口] E --> F[提交并保存配置] F --> G[验证流量统计与限速效果]

4. 具体配置命令详解

• 步骤1：创建ACL匹配指定源IP

acl number 3001  
 rule 5 permit ip source 192.168.1.100 0.0.0.0

• 步骤2：配置QoS模板（CAR限速）

# 上行限速（从内网到外网，通常在trust→untrust方向）
traffic classifier UPLINK-CLASSIFIER
 if-match acl 3001

traffic behavior UPLINK-BEHAVIOR
 car cir 5000 cbs 625000 eir 0 ebs 0 mode color-blind

# 下行限速（从外网进入内网）
traffic classifier DOWNLINK-CLASSIFIER
 if-match acl 3001

traffic behavior DOWNLINK-BEHAVIOR
 car cir 10000 cbs 1250000 eir 0 ebs 0 mode color-blind

• 步骤3：创建traffic-policy并绑定分类与行为

traffic policy LIMIT-POLICY-UPLINK
 classifier UPLINK-CLASSIFIER behavior UPLINK-BEHAVIOR

traffic policy LIMIT-POLICY-DOWNLINK
 classifier DOWNLINK-CLASSIFIER behavior DOWNLINK-BEHAVIOR

• 步骤4：将策略应用到相应接口

interface GigabitEthernet1/0/1  # 内网接入口（Trust区域）
 service-policy LIMIT-POLICY-UPLINK outbound

interface GigabitEthernet1/0/2  # 外网出口（Untrust区域）
 service-policy LIMIT-POLICY-DOWNLINK inbound

5. 是否需要结合QoS策略模板与traffic-policy绑定？

是的，在华为防火墙中，必须通过以下结构实现精准限速：

1. traffic classifier：用于定义匹配条件（如ACL、IP、端口等）；
2. traffic behavior：定义动作，如CAR（承诺接入速率）限速；
3. traffic policy：将classifier与behavior绑定形成完整策略；
4. service-policy：将traffic policy应用到具体接口的inbound或outbound方向。

这种模块化设计提供了高度可扩展性和复用性，适用于复杂策略编排。

6. 限速后的验证与监控方法

配置完成后，可通过以下命令查看实时流量统计与策略命中情况：

# 查看traffic policy应用状态
display traffic policy statistics interface GigabitEthernet1/0/1 outbound

# 显示具体策略的报文计数与速率
display qos-car interface GigabitEthernet1/0/1 outbound

# 实时查看接口流量（配合外部工具更佳）
display interface GigabitEthernet1/0/1

# 查看ACL匹配计数
display acl 3001

建议结合eSight网管系统或NetStream流量分析工具进行长期趋势观察。