manualPanabit流控管理配置手冊

1、目錄目 錄2前言40.1系統(tǒng)檢查50.2管理界面登陸50.3確認(rèn)系統(tǒng)時間50.4配置與測試網(wǎng)橋50.5設(shè)備上線60.6修改口令71網(wǎng)絡(luò)配置81.1 管理接口91.2 數(shù)據(jù)接口92對象管理112.1 自定義協(xié)議112.2 IP群組112.3 自定義協(xié)議組122.4 虛擬鏈路133策略管理153.1 參數(shù)設(shè)置153.1.1網(wǎng)橋帶寬153.1.2內(nèi)網(wǎng)IP統(tǒng)計163.1.3偽IP防護(hù)163.1.4 TOS設(shè)置173.2 流量控制183.2.1數(shù)據(jù)通道183.2.2策略組193.2.3策略調(diào)度243.2.4 策略生效確認(rèn)25http第 2 頁/共 46 頁3.3 連接控制273.4 HTTP管控274統(tǒng)

2、計304.1分橋統(tǒng)計304.2流量趨勢314.2三日對比334.4歷史圖表334.5 TOP 應(yīng)用344.6 TOP IP354.6.1 IP-流量概況364.6.2 IP-連接信息364.6.3 IP-相關(guān)374.6.4 IP-共戶374.7 IPIP趨勢384.8 網(wǎng)絡(luò)接口394.9 當(dāng)前策略40迅雷、超級旋風(fēng)管控說明41附錄一附錄二Panabit應(yīng)用協(xié)議樣本抓包方法43http第 3 頁/共 46 頁前言感謝您選擇并使用 Panabit 應(yīng)用層流控產(chǎn)品！Panabit 應(yīng)用層流量分析及控制系統(tǒng)（以下簡稱 Panabit 流控），是在互聯(lián)網(wǎng) P2P(Peer-to-Peer)應(yīng)用廣泛流行的

3、背景下，誕生的新一代應(yīng)用層 QOS 產(chǎn)品。Panabit 流控是一款真正意義上的應(yīng)用層級流控產(chǎn)品，基于連接過程和協(xié)議特征識別，對于加密協(xié)議采用主動探測引擎，經(jīng)過一套完整的識別流程，準(zhǔn)確識別應(yīng)用，精確定位具體的客戶端，把寬帶網(wǎng)絡(luò)的應(yīng)用可視化和可管理提高到一個新的階段。Panabit 流控系統(tǒng)能幫助寬帶運(yùn)營網(wǎng)絡(luò)管理實(shí)時了解網(wǎng)絡(luò)應(yīng)用流量狀態(tài)及應(yīng)用概況，通過策略進(jìn)行靈活可控的流量管理，網(wǎng)絡(luò)運(yùn)行效率。應(yīng)用層流控產(chǎn)品，是一個典型的服務(wù)型產(chǎn)品，需要根據(jù)互聯(lián)網(wǎng)應(yīng)用的變化，不斷改進(jìn)協(xié)議識別引擎和更新協(xié)議特征庫，才能保證流控的效果。應(yīng)用層協(xié)議識別的重點(diǎn)和難點(diǎn)是 P2P 應(yīng)用，P2P 流控是應(yīng)用層流控的；互聯(lián)網(wǎng)不斷

4、有新增加的應(yīng)用，已有的應(yīng)用為了逃避流控設(shè)備，采用技術(shù)對抗方法，和變換協(xié)議特征，甚至整個趨勢向加密方向發(fā)展，這使得流控產(chǎn)品的技術(shù)要、適應(yīng)或這些變化，才能為用戶提供良好的服務(wù)。Panabit 流控產(chǎn)品，為了適應(yīng)互聯(lián)網(wǎng)應(yīng)用的快速變化，有專門的團(tuán)隊研究互聯(lián)網(wǎng)應(yīng)用變化，采用抓包的方法不斷收集分析協(xié)議樣本，利用開發(fā)、描述能力強(qiáng)的“協(xié)議特征描述語言”PSDL(Protocol Signature Description Language)，協(xié)議特征庫，快速提供給用戶升級。Panabit流控系統(tǒng)，正常 3 個月升級一次版本，1 個月升級一次協(xié)議特征庫。升級了特征庫，將有的協(xié)議被識別，降低未知流量的比例。請 P

5、anabit 流控產(chǎn)品用戶，注意查收版本和特征庫，第一時間升級到版本，從而獲得更好的流控效果。在使用過程中，如果發(fā)現(xiàn)某個應(yīng)用未能被正確識別，可以及時向經(jīng)銷商或Panabit SupportCenter反饋（郵件地址：s)或直接幫助樣本，Panabit在分析獲取特征之后添加到協(xié)議特征庫，通過特征庫升級，就解決問題。Panabit 流控產(chǎn)品，全中文化的 Web 界面，界面簡潔，操作容易掌握，必要的提示在 Web 界面中已經(jīng)標(biāo)明，對于有一定技術(shù)基礎(chǔ)的，基本可以無需手冊指導(dǎo)操作。但是還是建議，正式上線前，仔細(xì)閱讀本手冊，掌握策略配置的和流程，從而獲得靈活的策略配置管理效果。http第 4 頁/共 46

6、 頁0.1 系統(tǒng)檢查硬件系統(tǒng)用戶，設(shè)備出廠時已經(jīng)過檢驗，按照設(shè)備上標(biāo)注的每路網(wǎng)橋內(nèi)、口一一對應(yīng)的連接網(wǎng)線，直接跳至第 1 章節(jié)。新裝用戶，需要對系統(tǒng)做進(jìn)一步的檢查與配置。0.2 管理界面登陸(注意：非http)缺省用戶名：admin： panabit缺省注：對于 IE 7.0 及以后的瀏覽器版本，點(diǎn)擊“繼續(xù)瀏覽此(不)”，則進(jìn)入 Panabit 流控系統(tǒng)管理界面，管理員用戶名是：admin，缺省口令是：panabit；0.3 確認(rèn)系統(tǒng)時間-系統(tǒng)管理-系統(tǒng)時間”，確認(rèn)時間正確。如不對，則直接修改后提交。如依次點(diǎn)擊“系統(tǒng)時間不正確，將影響到系統(tǒng)的策略執(zhí)行、流量圖表統(tǒng)計信息、License 是否有效

7、等。0.4 配置與測試網(wǎng)橋Panabit 流控系統(tǒng)，最多可以支持 4 路網(wǎng)橋的分別管理和統(tǒng)計流量；系統(tǒng)安裝完畢，需要在 Web管理界面設(shè)定網(wǎng)橋，網(wǎng)橋名稱以網(wǎng)橋 1、網(wǎng)橋 2、網(wǎng)橋 3、網(wǎng)橋 4 標(biāo)識，需要分別設(shè)置所使用的網(wǎng)卡和內(nèi)接口，配置界面如下：http第 5 頁/共 46 頁注：增強(qiáng)型驅(qū)動，表示數(shù)據(jù)網(wǎng)卡驅(qū)動使用 PanaOS 定制的驅(qū)動，可以保證高性能和低延遲。網(wǎng)橋配置需兩兩做橋，同屬于一個網(wǎng)橋，一內(nèi)一外，每設(shè)定一個網(wǎng)卡，需要提交一次。注意：上線前，一定要先測試網(wǎng)橋是否正常。多路網(wǎng)橋，每一路都需要測試。簡單的測試方法，將 Panabit 系統(tǒng)串接在筆記本電腦前上網(wǎng)，使用迅雷大文件，查看網(wǎng)絡(luò)

8、速度是否正常和迅雷是否被分析識別。測試正常后，設(shè)備即可正式上線。速率設(shè)置，通常不需要用，當(dāng)與連接端不能正常工作時，選擇速率設(shè)置。0.5 設(shè)備上線Panabit 流控系統(tǒng)，支持透明網(wǎng)橋、旁路兩種工作模式。透明網(wǎng)橋模式同時具備流量分析及控制功能；旁路模式僅具備流量分析功能。如設(shè)備具備多個網(wǎng)絡(luò)接口，也可同時啟用網(wǎng)橋和旁路，此種模式在實(shí)際環(huán)境中應(yīng)用場景不多，不做詳細(xì)介紹。以下是最普遍的透明網(wǎng)橋模式的部署拓?fù)浼罢f明，以一路網(wǎng)橋（一進(jìn)一出）為例：注：Panabit 透明地串接在交換機(jī)與路由器之間，內(nèi)網(wǎng)口接交換機(jī)，口接路由器；網(wǎng)橋上無需配置 IP 地址，僅相當(dāng)于一條網(wǎng)線，無需改變原有拓?fù)浜途W(wǎng)絡(luò)設(shè)置；http

9、第 6 頁/共 46 頁內(nèi)線全部連通后，0.5 配置界面圖中的數(shù)據(jù)接口狀態(tài)將顯示為“正?！?，此時網(wǎng)絡(luò)恢復(fù)到管理地址，至此 Panabit 流控系統(tǒng)的上線工暢通。將管理口連接到交換機(jī)，從內(nèi)網(wǎng)可以作完成。0.6 修改口令修改系統(tǒng) Web 界面與root 帳戶；需要設(shè)置復(fù)雜、足夠強(qiáng)度的口令。注：系統(tǒng)用戶名：root缺?。?rootRoot修改方式：命令提示符下執(zhí)行：# passwd輸入新：再次輸入新：注意：兩次輸入均不回顯，敲錯。http第 7 頁/共 46 頁1網(wǎng)絡(luò)配置Panabit流控系統(tǒng)登錄管理界面的方式是：。管理員用戶名是：admin，缺省口令是：panabit 。如果系統(tǒng)管理丟失或忘記了管

10、理 IP 地址，可通過串口使用超級終端，通過 console口登錄修改和設(shè)置臨時 IP 地址，Web 界面登錄之后，通過 Web 界面配置管理接口的 IP 地址、掩碼和默認(rèn)網(wǎng)關(guān)，提交后保存。注：超級終端連接參數(shù)：9600 8 無 1 無 ，(點(diǎn)“缺省”即可)。由于使用了安全登錄，IE 7.0 登錄管理界面時，出現(xiàn)安全警告提示頁面，點(diǎn)擊 “繼續(xù)瀏覽此網(wǎng)站(不)”，則進(jìn)入 Panabit 流控系統(tǒng)管理界面，首頁頁面如下（下圖為 Panabit在 ISP 用戶、雙向 4G 環(huán)境下穩(wěn)定運(yùn)行的實(shí)際案例）：注：系統(tǒng)剛上線運(yùn)行時，由于無流量數(shù)據(jù)，餅圖顯示為灰色。之后未知流量比例逐步降低，建http第 8 頁

11、/共 46 頁議空策略運(yùn)行 6-24 小時后，待未知流量比例穩(wěn)定后再根據(jù)統(tǒng)計數(shù)據(jù)制定策略。1.1 管理接口修改管理接口 IP 界面如下：修改完畢點(diǎn)擊提交，管理接口 IP 地址修改生效并保存至配置文件。注：Panabit 的網(wǎng)絡(luò)配置信息，使用單獨(dú)的配置文件，F(xiàn)reeBSD 系統(tǒng)配置的網(wǎng)絡(luò)信息，在啟動Panabit 進(jìn)程時，將被 Panabit 網(wǎng)絡(luò)配置信息替換，如果在系統(tǒng)命令行修改 Panabit 的管理地址信息，可以直接修改：/usr/panaetc/ifadmin.conf 文件，重啟 Panabit 使其生效?？梢栽?FreeBSD 命令行用 ifconfig 臨時修改管理接口 IP 地址

12、，保存地址信息，需要到 Web 管理界面修改保存。Ifconfig 臨時設(shè)置網(wǎng)卡 IP 地址的格式是：ifconfig fxp0 00 netmask 。1.2 數(shù)據(jù)接口網(wǎng)橋配置與察看界面如下：http第 9 頁/共 46 頁網(wǎng)橋的內(nèi)接口，請根據(jù)硬件接口標(biāo)識，不能接反；如果接反，則網(wǎng)橋雖然也是通的，但策略效果和流量統(tǒng)計信息相反，打開“內(nèi)網(wǎng) IP 統(tǒng)計”功能后，統(tǒng)計到的全部是IP 地址。上線前，需測試網(wǎng)橋是否正常，多路網(wǎng)橋，每一路都需要測試。簡單的測試方法，將 Panabit系統(tǒng)串接在筆記本電腦前上網(wǎng)，使用迅雷大文件，查看速度是否正常和迅雷是否被分析識別。測試正常后，即可正式上線。上線后，系統(tǒng)先

13、要保證網(wǎng)絡(luò)的正常使用，強(qiáng)烈建議先不配置策略，以透明網(wǎng)橋方式進(jìn)行流量分析 24 小時，以獲取制定策略時所必需的統(tǒng)計依據(jù)。流量分析是逐步進(jìn)行，初始時未知比例會很大并逐漸下降；通常 24 小時之后，各類流量比例才會趨于穩(wěn)定，此時再根據(jù)流量分布比例，開始配置流量管理策略。策略設(shè)置好后的一周內(nèi)，需要根據(jù)網(wǎng)絡(luò)的實(shí)際運(yùn)行情況和用戶反饋狀況做適當(dāng)?shù)恼{(diào)整，通常調(diào)整 2-3 次以后，可基本達(dá)到用戶的期望值。注：網(wǎng)絡(luò)應(yīng)用和流量均處于不斷變化中，因此沒有一勞永逸的策略。要保持流控始終產(chǎn)生恰當(dāng)?shù)墓芸匦Ч?，需要不間斷地通過 Panabit 統(tǒng)計數(shù)據(jù)進(jìn)行對觀察，結(jié)合當(dāng)前網(wǎng)絡(luò)應(yīng)用和流量變化情況，實(shí)時靈活調(diào)整策略。如遇到 Pa

14、nabit 流控內(nèi)、卡與上、下端網(wǎng)絡(luò)設(shè)備的協(xié)商問題，可通過“速率設(shè)置”手動修改各數(shù)據(jù)接網(wǎng)卡的速率。注：各數(shù)據(jù)網(wǎng)卡工作模式缺省為自適應(yīng)狀態(tài)。http第 10 頁/共 46 頁2對象管理Panabit 流控管理，策略配置是基于對象、選項參數(shù)、動作組成具體的策略。對象管理的功能是為了擴(kuò)展自定義對象，Panabit 系統(tǒng)的基本對象已經(jīng)包含：協(xié)議/協(xié)議組、源地址/目的地址。為了方便策略配置，可以根據(jù)實(shí)際情況自定義對象?？勺远x對象包括：自定義協(xié)議、IP 群組、自定義協(xié)議組、虛擬鏈路。2.1 自定義協(xié)議對于企業(yè)用戶網(wǎng)絡(luò)中個性化的應(yīng)用，比如非知名公司的會議或數(shù)據(jù)庫協(xié)議，為滿足對這些個性化協(xié)議的分析與策略管控

15、。Panabit 提供了基于靜態(tài)端口的自定義協(xié)議，系統(tǒng)最大支持自定義協(xié)議數(shù)為 5 種。注：自定義協(xié)議時，必須同時提交英文名稱和中文名稱，且不得與系統(tǒng)已支持協(xié)議重名。自定義協(xié)議創(chuàng)建成功后，匹配到定義端口的流量即被識別為此協(xié)議。自定義協(xié)議界面和示例如下：2.2 IP群組單 IP、IP 段在策略策略配置時，已經(jīng)是可以作為控制對象的參數(shù)使用，但是一個 IP 地址或一http第 11 頁/共 46 頁個 IP 段，需要一條策略對應(yīng)，對多個 IP 或IP 段配置同一控制策略時，需要配置多條策略，操作起來比較煩瑣，使用 IP 群組自定義功能，可以把多個 IP、不連續(xù)的 IP 段定義一個 IP 群組，并以組名

16、稱標(biāo)識，這樣配置策略方便和直觀。注：添加 IP 地址或地址段的格式，請注意參考上方的藍(lán)色字體提示說明。自定義 IP 群組之后，在配置策略時，IP 群組名稱將自動添加到內(nèi)網(wǎng)、地址對象下拉菜單中供調(diào)用。如不連續(xù)的 IP 地址段較多，也可以 TXT 文本方式導(dǎo)入，文本文件的格式要求同上，截圖見下：2.3 自定義協(xié)議組Panabit 流控系統(tǒng)，已經(jīng)根據(jù)客戶端應(yīng)用的功能，明確劃分若干大類，如 P2P、網(wǎng)絡(luò)電視、HTTP 協(xié)議、常用協(xié)議、即時消息、等大類，每個類別下面，再細(xì)分具體的協(xié)議名稱。為了配置策略方便，可以把用戶關(guān)注的協(xié)議或需要在一條策略中集中管控的協(xié)議自定義為一個協(xié)議組，創(chuàng)建策略時點(diǎn)擊“選擇協(xié)議”

17、，最下方即為自定義的協(xié)議組名稱。注意：以迅雷為例，由于迅雷具備跨協(xié)議、至常規(guī)端口如 80 等技術(shù)，因此要精確控制迅雷，需要對幾種協(xié)議同時做控制，為此創(chuàng)建一個自定義協(xié)議組，名為“迅雷系列”，配置界面和示例如下：http第 12 頁/共 46 頁之后在配置策略時，僅需選擇“迅雷系列”這個自定義協(xié)議組即可，減少策略數(shù)量和操作復(fù)雜度。2.4 虛擬鏈路Panabit 流控部署上線后，可以對實(shí)際經(jīng)過物理網(wǎng)橋的流量進(jìn)行精細(xì)的分析和統(tǒng)計。虛擬鏈路的的設(shè)計，是為了滿足用戶的以下需求：A、用戶為某大型企業(yè)某，需要了解到網(wǎng)絡(luò)和流量情況；B、需要了解整個公司或者某些 IP 對特定互聯(lián)網(wǎng) IP 地址對外地總公司的網(wǎng)絡(luò)（

18、可能為一個、或一個應(yīng)用服務(wù)器）的和流量情況。注意：虛擬鏈路的創(chuàng)建元素為 IP；系統(tǒng)最大支持 4 條虛擬鏈路；虛擬鏈路僅提供統(tǒng)計和分析功能，不提供策略控制功能；虛擬鏈路的統(tǒng)計數(shù)據(jù)為匹配完策略之后的數(shù)據(jù)。配置界面和示例如下：http第 13 頁/共 46 頁統(tǒng)計”“流量概況”“虛擬鏈路”中，可點(diǎn)擊查看這條虛擬鏈路的統(tǒng)計之后在“分析報表。http第 14 頁/共 46 頁3策略管理策略管理是 Panabit 實(shí)現(xiàn)應(yīng)用協(xié)議流量管理的策略管理控制中心，首先是系統(tǒng)相關(guān)的參數(shù)配置，其次是“流量控制、連接控制、HTTP 管控”三種策略。注：三種策略為并列關(guān)系，策略組名字相同或策略序號相同均互不影響。3.1 參

19、數(shù)設(shè)置3.1.1 網(wǎng)橋帶寬網(wǎng)橋帶寬是設(shè)定承載該鏈路的帶寬最大值，如未來在策略中需要啟用帶寬預(yù)留、帶寬保證時，必須設(shè)置該值；對于策略中通常的允許、阻斷、限速，則忽略此值，系統(tǒng)缺省 0 值，表示缺省關(guān)閉上下行帶寬預(yù)留、帶寬保證功能，見括號內(nèi)的說明。不同的網(wǎng)橋，需要根據(jù)實(shí)際情況設(shè)置帶寬，上、下行分別設(shè)置，同時可命名該網(wǎng)橋所代表鏈路的名稱，設(shè)置界面和示例如下：http第 15 頁/共 46 頁3.1.2 內(nèi)網(wǎng)IP統(tǒng)計內(nèi)網(wǎng) IP 統(tǒng)計，是設(shè)置系統(tǒng)并統(tǒng)計當(dāng)前IP 的流量信息，由于開啟內(nèi)網(wǎng) IP 流量統(tǒng)計功能會對系統(tǒng)資源開銷有一定影響，對于運(yùn)營商級負(fù)載重的網(wǎng)絡(luò)和硬件配置比較低的系統(tǒng)，不建議打開此選項；對于

20、IP 數(shù)在 2000 以內(nèi)的企業(yè)用戶，打開此選項對系統(tǒng)性能的影響可以忽略。系統(tǒng)僅統(tǒng)計和顯示當(dāng)前的 IP 使用的協(xié)議和帶寬使用狀態(tài)，不保存此項信息，可以根據(jù)實(shí)際需要選擇打開和關(guān)閉。開啟或關(guān)閉內(nèi)網(wǎng) IP 統(tǒng)計設(shè)置界面和示例如下：注：內(nèi)網(wǎng) IP 統(tǒng)計缺省為關(guān)閉狀態(tài)；內(nèi)網(wǎng) IP 最大空閑時間缺省為 600 秒，超過 600 秒無新流量產(chǎn)生的 IP 將從統(tǒng)計列表中被清除，此處建議使用默認(rèn)值，不必修改。3.1.3 偽IP防護(hù)偽 IP 防護(hù)功能，主要用于當(dāng)網(wǎng)絡(luò)有電腦中木馬時，主動保護(hù)連接池受到?jīng)_擊而導(dǎo)致的網(wǎng)絡(luò)中斷，詳見功能頁面藍(lán)色字體說明。打開此功能后，所有不包含于內(nèi)網(wǎng)合法 IP 表中的 IP 所發(fā)起的連接

21、或流量，將直接被統(tǒng)計到“內(nèi)網(wǎng) IP”協(xié)議，當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)中有此流量時，即表明網(wǎng)絡(luò)正受到木馬類，可立即通過策略對該協(xié)議流量進(jìn)行控制，以達(dá)到保護(hù)和網(wǎng)絡(luò)的目的。注意：打開“偽 IP 防護(hù)”功能，必須將內(nèi)網(wǎng)中所有合法的 IP 地址輸入合法地址表，不得有遺漏，否則被遺漏的 IP 將直接被判斷為的IP，其發(fā)起的連接和 IP 將直接被統(tǒng)計為“內(nèi)網(wǎng) IP”協(xié)議。http第 16 頁/共 46 頁3.1.4 TOS設(shè)置TOS 即 Type of Service，此功能的作用：對不同類型的應(yīng)用協(xié)議數(shù)據(jù)包打標(biāo)記，當(dāng)路由器或防火墻看到帶有這些標(biāo)記的數(shù)據(jù)包后，即可通過策略路由將不同的應(yīng)用協(xié)議流量轉(zhuǎn)發(fā)到不同的出口鏈路，比如將

22、所有的 web流量轉(zhuǎn)發(fā)到網(wǎng)通出口，而將所有的 P2P流量轉(zhuǎn)發(fā)到電信出口。必須支持 TOS 機(jī)制；注：此功能需路由器或配合實(shí)現(xiàn)，因此路由器或僅針對啟用節(jié)點(diǎn)的協(xié)議可使用 TOS 標(biāo)記功能，www 協(xié)議不支持；單線 TOS 和多線 TOS；當(dāng)選擇單線 TOS 時，系統(tǒng)根據(jù)策略對連接的每個數(shù)據(jù)包進(jìn)行匹配并打標(biāo)記；如果選擇多線 TOS，系統(tǒng)只對連接的第一個包進(jìn)行匹配并打標(biāo)記，連接的其它數(shù)據(jù)包和第一個包的 TOS 標(biāo)記一樣。注：目前僅單線 TOS 可用。截圖見下：http第 17 頁/共 46 頁3.2 流量控制Panabit 的流量控制，分為三個步驟完成：1、定義數(shù)據(jù)通道(分配帶寬數(shù)值)； 2、編輯策略

23、組(具體的策略集合)；3、定義策略調(diào)度表(策略何時生效)。3.2.1 數(shù)據(jù)通道數(shù)據(jù)通道，主要設(shè)置數(shù)據(jù)通道帶寬數(shù)值和匹配的通道路徑，當(dāng)設(shè)置帶寬預(yù)留、帶寬保證時，可以選擇帶寬所在路徑；對于帶寬限速，無所在路徑選項。設(shè)置數(shù)據(jù)通道的目的，是在策略組配置策略時作為執(zhí)行動作使用，缺省的執(zhí)行動作僅阻斷和允許兩項，一旦配置了數(shù)據(jù)通道，通道名稱將加入執(zhí)行動作選項，從而實(shí)現(xiàn)劃分?jǐn)?shù)據(jù)通道的目的。在自定義通道名稱時，注意通道名稱便于理解。數(shù)據(jù)通道配置界面和示例如下：以上數(shù)據(jù)通道名稱，在接下來的策略組添加策略配置界面中，下拉“動作/通道”選項，將出現(xiàn)新增加的數(shù)據(jù)通道名稱，即數(shù)據(jù)通道是為策略配置先行設(shè)置的動作。注意：要調(diào)

24、用預(yù)留和保證類數(shù)據(jù)通道，編輯策略時的數(shù)據(jù)路徑需與通道定義的一致，否則“動作/通道”選項中將不會出現(xiàn)相關(guān)的通道名稱。通道表示為帶寬數(shù)值，一個已經(jīng)定義的數(shù)據(jù)通道，在策略配置中可以靈活使用，可以表示上行、http第 18 頁/共 46 頁下行、雙向、協(xié)議總和、網(wǎng)橋總和，即數(shù)據(jù)通道可以共用。關(guān)于帶寬限制、帶寬預(yù)留、帶寬保證的理解：帶寬限制最大那么多?！吧舷蕖钡囊馑?，不許超過。帶寬預(yù)留總是那么多?！昂愣ā钡囊馑?，用不用、夠不夠都是那么多。帶寬保證至少那么多?！爸辽佟钡囊馑?，如果不夠，還可以從其他帶寬中擠占，直至夠用。3.2.2 策略組1）創(chuàng)建策略組并為其命名策略組是策略的集合，策略組創(chuàng)建之后，逐一添加策

25、略；根據(jù)實(shí)際需要，可以創(chuàng)建多個策略組，供不同時間段調(diào)用；創(chuàng)建多個策略組時，可直接點(diǎn)擊“策略組”，將當(dāng)前已建好的策略組（所有的策略已經(jīng)完成）拷貝為一個新的策略組，指定新的策略組名，之后對新策略組中各策略的通道數(shù)值、動作逐條相應(yīng)修改即可。2）點(diǎn)擊“添加策略”，創(chuàng)建相關(guān)策略注：策略匹配的原則是序號小的優(yōu)先；創(chuàng)建策略時，不要按照 1、2、3 這樣的順序依次創(chuàng)建，建議采用 10、20、30 方式。當(dāng)某些時候需要在策略 20 之前一條策略時，只需要直接創(chuàng)建一個為 15 的策略提交，則策略 15 將自動放到策略 20 之前。各參數(shù)后面括號中藍(lán)色字體為為相關(guān)的注釋，將鼠標(biāo)移動到藍(lán)色字體部分即可顯示相關(guān)說明。如

26、創(chuàng)建策略時不理解，建議先看懂說明再操作。http第 19 頁/共 46 頁以下為創(chuàng)建一個為 10 的策略。“策略標(biāo)識”：即策略序號，Panabit 流控策略執(zhí)行的順序為由小到大執(zhí)行，實(shí)際在時，編號之間留些空檔，便于策略，比如 10、20、30 這樣，如果在 1020 之間新的策略，就有可用，如果預(yù)計的策略較多，間隔加大?！皵?shù)據(jù)路徑”：表示本策略作用鏈路的范圍?！叭我饴窂健北硎驹摬呗宰饔糜谡麄€系統(tǒng)所有網(wǎng)橋的任意方向；“任意上/下行路徑”表示該策略作用于系統(tǒng)中所有網(wǎng)橋的所有上行或下行方向；“網(wǎng)橋1 上行”表示該策略僅作用于網(wǎng)橋 1 的上行一個方向。注：無論數(shù)據(jù)路徑是選擇上行方向還是下行方向，始終是

27、先選擇“內(nèi)網(wǎng)地址”，后選擇“地址”，如不注意，此處容易配置錯誤，特別是定義下行方向的策略時?！皟?nèi)/地址”：定義該策略所的源、目的地址。提供 4 種對象形式：任意地址（等同于any）、./nn（一個網(wǎng)段寫法為 /24；一個 IP 寫法為 00/32）、n.n.n.n-m.m.m.m （續(xù) IP 段，寫法為 -54）、IP 群組（直接在“對象管理”中預(yù)先定義好的 IP 群組，如之前在“對象管理”中創(chuàng)建的 IP 群組：“技術(shù)科”）?！皯?yīng)用協(xié)議”：選擇該策略所匹配的應(yīng)用協(xié)議，可以選擇一個協(xié)議組，也可以選擇具體的某個協(xié)議、自定義協(xié)議、自定義協(xié)議組；帶“”的表示協(xié)議組。自定義協(xié)議、自定義協(xié)議組需預(yù)先在對象

28、管理配置部分定義。http第 20 頁/共 46 頁“執(zhí)行動作”：未創(chuàng)建“數(shù)據(jù)通道”時，此處將只有兩個選項：允許、阻斷。創(chuàng)建數(shù)據(jù)通道后，相關(guān)數(shù)據(jù)通道名稱將自動顯示，作為動作選項。對應(yīng)前面所選擇的“數(shù)據(jù)路徑”和“應(yīng)用協(xié)議”選擇相匹配的動作或通道即可。注意：數(shù)據(jù)通道為共享性質(zhì)，如限速“P2P”和“網(wǎng)絡(luò)電視”在兩條策略里，執(zhí)行動作選擇同一個數(shù)據(jù)通道，則“P2P”和“網(wǎng)絡(luò)電視”共享這一數(shù)據(jù)通道?！皟?nèi)網(wǎng)單 IP 限速”：默認(rèn)數(shù)值 0，表示這條策略對內(nèi)網(wǎng) IP 不做單獨(dú)的限速，忽略此項；如果給定內(nèi)網(wǎng)單 IP 限速帶寬數(shù)值，則表示在滿足本策略動作時，同時對單個 IP 限速。上圖策略 20 的整體含義為：對于

29、技術(shù)科的所有人，在使用 P2P類協(xié)議時，針對該群組內(nèi)的所有 IP，下行方向的可http第 21 頁/共 46 頁用帶寬上限為 p2p_down 即 2M（參看之前數(shù)據(jù)通道部分），而具體到該群組中的每個 IP（同樣是使用 P2P類協(xié)議時），其個人的最大速度為 100kbits/s。概括即：數(shù)據(jù)通道針對整體，單 IP限速針對個人。“對端發(fā)送抑制”： 采用 TCP 滑動窗口控制機(jī)制，通過調(diào)節(jié) TCP 窗口大小，抑制對端發(fā)送速率，從而減少數(shù)據(jù)包丟棄量，達(dá)到更好的速率控制效果。通常控制下行流量是通過減少上行流量，在策略配置時上、下行分別限制帶寬，上行流量與下行流量的比例是 1/10-1/15，超過帶寬數(shù)

30、據(jù)通道設(shè)置值，則對數(shù)據(jù)包進(jìn)行丟棄；一般情況，發(fā)送給對端的請求，對端按原有的速率返回請求，即無法控制遠(yuǎn)端的發(fā)送速率，使得到達(dá)路由器的數(shù)據(jù)量依然比較大，只有在到達(dá)流控設(shè)備后，決定丟棄還是放行，造成較多的數(shù)據(jù)包丟棄，如果配合主動抑制選項，即可預(yù)先的告知對方，發(fā)送速率減慢，提高帶寬的使用效率。抑制強(qiáng)度：1 級最強(qiáng)，10 級最弱，強(qiáng)度的選擇需要結(jié)合數(shù)據(jù)通道大小調(diào)試獲得實(shí)際經(jīng)驗值，抑制強(qiáng)度選擇恰當(dāng)?shù)臉?biāo)志是：數(shù)據(jù)包丟棄量較少；如果允許下行通道帶寬 100Mbps，選擇主動抑制后，實(shí)際下行流量達(dá)不到 100Mbps(當(dāng)然這也是一種控制方法，無數(shù)據(jù)通道的控制)，則說明強(qiáng)度太強(qiáng)，需要減弱強(qiáng)度，如果包丟棄量較大，說

31、明強(qiáng)度太弱，需要加大強(qiáng)度，一般選擇 5 級強(qiáng)度，根據(jù)實(shí)際情況向兩邊調(diào)?？刂葡滦兴俾?，主動抑制選項設(shè)在上行策略里；上下行兩個方向都可以同時抑制，http第 22 頁/共 46 頁根據(jù)具體的情況選擇。注：對端發(fā)送抑制，建議僅針對“P2P”類應(yīng)用啟用，其他協(xié)議如網(wǎng)絡(luò)電視或 web等均不必打開此選項，否則這些協(xié)議會給用戶造成很“卡”的感覺，不停的處于“-緩沖”的循環(huán)中；對正常的網(wǎng)絡(luò)應(yīng)用如 www、務(wù)必不要使用此功能。Panabit 流控系統(tǒng) 除能對 TCP 協(xié)議進(jìn)行主動抑制外，可對幾種主流 P2P 應(yīng)用的 UDP 協(xié)議進(jìn)行主動抑制，如迅雷、BT、eDonkey、風(fēng)行等等。對 UDP 類協(xié)議，需單獨(dú)分析

32、研究每一個具體的網(wǎng)絡(luò)應(yīng)用，逐個增加?！癉SCP 標(biāo)記”：前面進(jìn)行 TOS 功能設(shè)置后，此處對相關(guān)協(xié)議的數(shù)據(jù)包進(jìn)行標(biāo)記。在上圖所示的策略 20 中，策略中所選擇的協(xié)議為“P2P”，則系統(tǒng)將對所有被識別為 P2P應(yīng)用的數(shù)據(jù)包進(jìn)行標(biāo)記，標(biāo)記值為 5。當(dāng)路由器看到帶有此標(biāo)記的數(shù)據(jù)包時，即表示此數(shù)據(jù)包為 P2P類應(yīng)用，之后如路由器支持 TOS，則通過策略路由將此類應(yīng)用的數(shù)據(jù)包轉(zhuǎn)發(fā)至指定的網(wǎng)絡(luò)出口/鏈路。注意：僅針對啟用節(jié)點(diǎn)的協(xié)議可使用 TOS 標(biāo)記功能，www 協(xié)議不支持?！皠幼鬟^后”： 該策略被匹配完后是繼續(xù)還是停止。將鼠標(biāo)移至行末的（幫助）查看詳細(xì)說明。多數(shù)策略選擇停止匹配，當(dāng)一個策略的作用域比較大

33、，需要下一條策略繼續(xù)匹配才能滿足要求時，即前后兩條或多條策略具備包含或關(guān)聯(lián)關(guān)系時，才選擇繼續(xù)匹配。http第 23 頁/共 46 頁點(diǎn)擊提交，一條策略配置完畢，繼續(xù)添加策略，重復(fù)上述過程。做完一個策略組，再創(chuàng)建新策略組，再逐一添加策略，形成一個新的策略組。以下是一個策略組示例：策略組的配置，需要做一下規(guī)劃，策略組的執(zhí)行，需要放在接下來的策略調(diào)度中執(zhí)行，策略調(diào)度是劃分時間段調(diào)用策略組，策略組的規(guī)劃結(jié)合時間段，定義適當(dāng)?shù)拿Q標(biāo)識。3.2.3 策略調(diào)度點(diǎn)擊“添加時段”增加一個策略調(diào)度計劃表，除根據(jù)時間條件匹配外，同時可根據(jù)用戶數(shù)設(shè)置，如下圖：策略調(diào)度可以是按周進(jìn)行，也可以按月進(jìn)行，預(yù)先設(shè)置好特定日期

34、如假期的策略，如下圖：http第 24 頁/共 46 頁注意：Panabit 流控系統(tǒng)在策略調(diào)度中支持一個“缺省策略組”，如當(dāng)前時段內(nèi)沒有被定義的策略調(diào)度，則系統(tǒng)將啟用缺省策略組。用戶可自行定義或修改一個策略組作為缺省策略組。缺省的策略組是：“空策略組”表示沒有任何策略，即系統(tǒng)默認(rèn)是完全“允許”和放行狀態(tài)。同一個時間段，只能執(zhí)行一個策略組。 策略調(diào)度中的時間設(shè)置只能是由小到大，比如01:0009:00，而不能是 23:00-02:00。如需臨時停止執(zhí)行或啟用某個策略調(diào)度，在相應(yīng)策略調(diào)度行末點(diǎn)擊“編輯”，然后在“是否有效”中選擇“無效”或“有效”即可。3.2.4 策略生效確認(rèn)數(shù)據(jù)通道、策略組、策

35、略調(diào)度三個步驟全部完成后，策略才會開始生效。確認(rèn)策略生效的方法：依次點(diǎn)擊“統(tǒng)計”“系統(tǒng)概況”“當(dāng)前策略”，如當(dāng)前策略正確顯示并且相關(guān)數(shù)值如動作前/后速率有刷新，則說明所建策略組已生效，否則請返回“流量管理”部分重新檢查并設(shè)置數(shù)據(jù)通道、策略組、策略調(diào)度三個部分。以下是策略生效的示例：http第 25 頁/共 46 頁http第 26 頁/共 46 頁3.3 連接控制連接控制，顧名思義即針對內(nèi)網(wǎng) IP 的并發(fā)連接數(shù)限制。Panabit 的連接數(shù)限制，可以在一條策略中同時做到：1、對內(nèi)網(wǎng) IP 的 TCP/UDP/總連接數(shù)限制； 2、內(nèi)網(wǎng)全部或IP 對某一個特定 IP、IP 群組的連接數(shù)控制；3、基

36、于應(yīng)用協(xié)議的連接數(shù)控制。下圖示例為：針對迅雷協(xié)議，內(nèi)網(wǎng)所有 IP 的并發(fā)連接數(shù)控制策略。如內(nèi)網(wǎng)地址和地址處需選擇一個 IP 群組，需事先在對象管理中創(chuàng)建好。注：DNS 協(xié)議（即 UDP 53 端口）不受到并發(fā)連接數(shù)功能影響。連接控制的策略調(diào)度設(shè)置與“流量控制”處的設(shè)置完全相同，不再贅述。3.4 HTTP管控HTTP 管控，顧名思義即針對內(nèi)網(wǎng) IP 所發(fā)起的 HTTP 行為的控制管理。此功能模塊包含以下功能：1、控制通過 HTTP 方式的文件類型，如控制用戶通過 HTTP.exe 文件，防止誤到某些木馬的可執(zhí)行程序，或控制用戶上班時間通過 HTTP 方式.rmvb 或者.mp3 等與工作內(nèi)容無關(guān)

37、的文件；2、控制內(nèi)網(wǎng)用戶方法是 GET（瀏覽）或是T（發(fā)某些，可控制http第 27 頁/共 46 頁帖），通過控制T方法，主動杜絕內(nèi)網(wǎng)用戶在某些發(fā)布某些不良信息；3、URL重自動重定向到公司；4、Web 信息提示，對定向，如上班時間將用戶對開心網(wǎng)、土豆網(wǎng)的觸發(fā)到 HTTP 管控策略的用戶返回一個友好提示：如用戶開心網(wǎng)時即返回“上班時間，游戲”，也可以通過此功能發(fā)布通知，如“下午 5 點(diǎn)，全體開會”。HTTP 管控所涉及的配置頁面見以下幾幅截圖，使用 HTTP 管控功能，需事先在“對象管理”“HTTP 對象”中分別對想要控制的“文件類型”以及“”做好定義，以便在 HTTP 管控策略中。1、創(chuàng)建

38、一個想要控制的文件類型群組，名為“文件名過濾組”：注意：文件類型使用后綴名即可，正確寫法是 exe，非.exe。（請注意括號內(nèi)的文字說明）2、創(chuàng)建一個想要控制的群組，名為“的 URL 組”。http第 28 頁/共 46 頁注意：操作前請仔細(xì)閱讀并按照表格上方的藍(lán)色字體說明進(jìn)行添加；所添加的 URL 長度最大為 59 個字節(jié)，不得超過；可以通過 TXT 文本格式先編輯好再直接上傳，TXT 文本中的格式參見“IP 群組”頁面的藍(lán)色字體說明部分的格式，一條 URL 單獨(dú)一行。3、創(chuàng)建一個名為“上班期 URL 控制”的 HTTP 管控策略組，并創(chuàng)建一條為 50 的策略如上圖所示：對指定的IP群組“技

39、術(shù)科”，當(dāng)這些IP到上圖 2 所創(chuàng)建的“的URL組”http第 29 頁/共 46 頁中的時，請求將會被重定向到。方法，包含三種方式，任意方式（GET 或T）、信息瀏覽（GET）、信息上傳（T）；注文件類型，如選擇上圖 1 中創(chuàng)建的“文件名過濾組”，則技術(shù)科的 IP 通過 HTTP 方式到定義的文件類型時，將受到相應(yīng)的限制（此時的執(zhí)行動作選擇“允許”或“阻斷”）；如本策略執(zhí)行動作選擇“信息提示”，則右邊的表格中直接填寫相應(yīng)的提示性文字，如“上班時間，”、“下午 5 點(diǎn)，全體開會”等等。4、策略調(diào)度：與流量控制、連接控制中的策略調(diào)度設(shè)置一致，不再贅述。4統(tǒng)計統(tǒng)計，主要是監(jiān)視系統(tǒng)的運(yùn)行狀態(tài)并提供相

40、應(yīng)的統(tǒng)計報表及數(shù)據(jù)。Panabit 流控系統(tǒng)最大可支持 4 路網(wǎng)橋，可針對整個系統(tǒng)或各個網(wǎng)橋進(jìn)行獨(dú)立的報表統(tǒng)計和策略管理。這部分內(nèi)容，主要是查看瀏覽，以下是一些示例：4.1 分橋統(tǒng)計查看“網(wǎng)橋 1”的統(tǒng)計報表。http第 30 頁/共 46 頁最近 10 分鐘流量分布圖：最近 10 分鐘內(nèi)，各協(xié)議組兩個方向的總流量排序及百分比。累計流量分布圖：從設(shè)備上線到當(dāng)前，各協(xié)議組兩個方向的總流量排序及百分比。當(dāng)前連接數(shù)分布圖：各協(xié)議組當(dāng)前 active 連接的百分比。協(xié)議組信息：各協(xié)議組的流量參數(shù)統(tǒng)計數(shù)值。擊藍(lán)色的協(xié)議組名，即顯示該協(xié)議組的統(tǒng)計報表。4.2 流量趨勢最近 24 小時上、下行流量趨勢圖，以

41、下為某 ISP 案例截圖，最近 24 小時內(nèi)上行峰值為 1.8Gbps，下行峰值為 2.7Gbps：http第 31 頁/共 46 頁注：此處的上行、下行流量，分別代表這兩個方向過策略處理后的流量，系統(tǒng)在兩個方向接收到的原始流量見“統(tǒng)計”“網(wǎng)絡(luò)接口”，相見后面 4.8。本圖表每 5 分鐘取點(diǎn)一次。橫坐標(biāo)為最近 24 小時時間，縱坐標(biāo)為速率。不同顏色代表各協(xié)議組每個 5 分鐘時刻的當(dāng)前速率。圖表為疊加效果圖，各顏色的高點(diǎn)減去低點(diǎn)即為各對應(yīng)協(xié)議組的速率。協(xié)議組定義：Unknown：未知協(xié)議General： 常用協(xié)議Httpgroup：HTTP 協(xié)議P2P：P2P類協(xié)議Nettv：網(wǎng)絡(luò)電視類Im：即

42、時通信類Stream：流類Voip：網(wǎng)絡(luò)類Game：類Stock：類Database：數(shù)據(jù)庫類http第 32 頁/共 46 頁Other：其他協(xié)議類Custom：用戶自定義類4.2 三日對比三日對比：提供最近 24 小時、前 24 小時、前 48 小時流量趨勢對比。4.4 歷史圖表歷史圖表：提供一天、一周、一月歷史趨勢圖表，以下為并發(fā)連接數(shù)的一周趨勢圖，并發(fā)連接http第 33 頁/共 46 頁數(shù)的峰值維持在約 230 萬。4.5 TOP 應(yīng)用TOP 應(yīng)用：以應(yīng)用協(xié)議為對象，根據(jù)不同的查詢條件（整個系統(tǒng)、網(wǎng)橋 N、最近 10 分鐘流量、累計流量、上行 bps、下行 bps、連接數(shù)）進(jìn)行統(tǒng)計。

43、下圖為針對網(wǎng)橋 1，以“下行 bps”為查詢條件，查詢當(dāng)前下行流量最大、排30 位的應(yīng)用協(xié)議及其明細(xì)。http第 34 頁/共 46 頁針對上圖，進(jìn)一步了解使用 TOP 30 中各應(yīng)用協(xié)議的流量報表與使用者(IP)情況，可直接點(diǎn)擊具體的藍(lán)色應(yīng)用協(xié)議名稱，如“迅雷”。點(diǎn)擊“迅雷”后，首先是迅雷的“TOP 用戶”統(tǒng)計，缺省按照累計流量列出迅雷使用者的 TOP 20 用戶 IP，同時可點(diǎn)擊“趨勢圖表”，查看迅雷協(xié)議的歷史趨勢。4.6 TOP IPTOP IP，以 IP 為查詢對象，查詢根據(jù)各種條件（總流量、流入流量、流出流量、總速率、流入bps、流出 bps、連接數(shù)、IP 地址、戶）進(jìn)行排序。點(diǎn)擊各

44、 IP，可查詢該 IP 的 IP、共，同時提供該 IP 的應(yīng)用概況、連接信息、相關(guān)、共戶四個分類報表。上述功能詳見下列幾個圖表：http第 35 頁/共 46 頁注：如需對某一段 IP 進(jìn)行查詢，則在“IP 范圍”內(nèi)分別輸入起始 IP 和終止 IP 即可；如只查詢一個 IP 如 0，則起始 IP 和終止 IP 均輸入 0 即可；如按照“IP 地址”排序，則排序規(guī)則為 IP 地址從大到小。4.6.1 IP-流量概況某內(nèi)網(wǎng) IP 的IP，首先是該 IP 當(dāng)前正在使用的應(yīng)用協(xié)議明細(xì)：4.6.2 IP-連接信息該 IP 當(dāng)前正在使用的應(yīng)用協(xié)議詳細(xì)的連接明細(xì)：http第 36 頁/共 46 頁4.6.3

45、 IP-相關(guān)當(dāng)內(nèi)網(wǎng)某 IP 使用到、MSN 或 POP3 客戶端時，Panabit 會自動碼、MSN這些賬號和 POP3 賬號，顯示這些賬號與 IP 的對應(yīng)關(guān)系。注意：Panabit 僅、MSN、POP3 的賬號，不涉及聊天內(nèi)容或郵件內(nèi)容。4.6.4 IP-共戶當(dāng)某 IP 使用快帶路由器、網(wǎng)卡共享、等技術(shù)與其他人共享網(wǎng)絡(luò)時，Panabit 會自動檢測并http第 37 頁/共 46 頁該 IP 背后的 IP 信息及網(wǎng)絡(luò)的時間。寬帶運(yùn)營商通常將這種行為稱為“帶寬私接”或“一拖 N”。注意：Panabit 對“一拖N”的檢測，使用更加先進(jìn)的、基于應(yīng)用協(xié)議的檢測機(jī)制；當(dāng)內(nèi)網(wǎng)某 IP 使用到、MSN

46、或 POP3 客戶端時，Panabit 會自動碼、MSN這些賬號和 POP3 賬號，顯示這些賬號與 IP 的對應(yīng)關(guān)系。注意：Panabit 僅、MSN、POP3 的賬號，不涉及聊天內(nèi)容或郵件內(nèi)容。4.7 IPIP趨勢IP 趨勢：IP 數(shù)的趨勢圖表。http第 38 頁/共 46 頁注： 橫坐標(biāo)為時間，最右方為當(dāng)前時間；縱坐標(biāo)為 IP 數(shù)；下方圖表為共戶（一拖 N）的統(tǒng)計報表。4.8 網(wǎng)絡(luò)接口查詢各網(wǎng)絡(luò)接口的統(tǒng)計信息，網(wǎng)絡(luò)接口僅包括數(shù)據(jù)接口。如下示例圖查詢網(wǎng)橋 1卡：em2的接口信息：http第 39 頁/共 46 頁注：em2 為網(wǎng)橋 1卡（接路由器），其 in 方向速率實(shí)際即等于通過路由器給到 Panabit系統(tǒng)的未處理的原始流量，而 out 方向則等于內(nèi)網(wǎng)通過交換機(jī)給到 Panabit 之后，經(jīng)過策略處理之后的流量；同理 em1 為網(wǎng)橋 1 內(nèi)網(wǎng)卡（連交換機(jī)），其 out 方向速率實(shí)際即等于內(nèi)網(wǎng)通過交換機(jī)給到 Panabit 的未處理的原始流量，而其 in 方向則為通過路由器給到 Panabit 之后，經(jīng)過策略處理之后的流量。這是考量或驗證路由器或交換機(jī)給到 Panabit 的原始流量究竟是多少的統(tǒng)計依據(jù)。4.9 當(dāng)前策略以流量控制為例，當(dāng)前系統(tǒng)正在執(zhí)行的策略組，可直接對相關(guān)數(shù)據(jù)通道、策略進(jìn)行編輯或刪除。http第 40 頁/共 46 頁