【IT168 专稿】许多单位因为工作需要，都建立了单位的内部网络，大型的企业和单位可能还建立了广域网（WAN）。网络上的应用类型种类繁多，为了保障主要应用的良好运作，必然要在网络上进行流量控制。

    网络流量控制的方法各网络设备厂商不完全一样，除Cisco的CAR（承诺访问速率）外，还有如NEC的Rich-QoS，HiPER的CBQ等，当然是Cisco（思科）公司的CAR流量控制策略应用最广。本文就要介绍Cisco这种CAR路由器流量控制策略，同时在后面将介绍Cisco公司具有CAR流量控制功能的代表性产品。

    一、什么是CAR：

    CAR是Committed Access Rate的简写，意思是：承诺访问速率。它是Cisco公司IOS软件中QoS功能的一个子功能，它是自v12.0版本中新添加的。它的主要有两个作用：（1）对一个端口或子端口(subinterface)的进出流量速率按某个标准上限进行限制；（2）对流量进行分类，划分出不同的QoS优先级。

    注意：CAR只能对IP包起作用，对非IP流量不能进行限制。另外CAR只能在支持CEF交换（Cisco Express Forward）的路由器或交换机上使用。以下这些接口上也不能使用CAR：
 Fast EtherChannel interface
 Tunnel Interface
 PRI interface

    CAR的工作原理可以看成是数据包分类识别(packet classification)和流量控制(access rate limiting)的结合。其工作流程可以从图1所示。

图1

    在这个流程中，主要分三步进行。第一步的Traffic Matching是首先从数据流中识别出用户希望对其进行流量控制的数据包类型（也称“感兴趣”流量类型）。用户可以选择以下几种不同的方式来进行流量识别：
 全部的IP流量，这样可以把所有的IP流量采用统一的流量控制策略。
 基于IP前缀，此种方式是通过rate-limit　access list来定义的。
 QoS 分组。
 MAC地址，此种方式通过rate-limit 　access list来定义。
 IP　access list（IP ACL，IP访问控制列表），可通过标准的或扩展的访问控制列表来定义。

    用上述方法识别到了用户希望进行流量控制的数据包类型后，接下来的第二步就是进行流量衡量（traffic measurement）。CAR采用一种名为token bucket的机制来进行流量衡量，如图2所示。

图2

    图中的token可以看成是第一步的traffic matching所识别到的感兴趣流量，该种流量的数据包进入一个bucket（桶）内，该bucket的深度则由用户定义。在进入该token bucket后，以用户希望控制的流量速率离开该bucket，执行下一部操作（conform action）。在这里，对于实际流量速率的不同，可以看到会有两种情况发生：

    （1）实际流量小于或等于用户希望速率，这样，明显地，token离开bucket的实际速率将和其来到的速率一样，bucket内可以看作是空的。流量不会超过用户的希望值。

    （2）实际流量大于用户希望速率。这样，token进入bucket的速率比其离开bucket的速率快，这样在一段时间内，token将填满该bucket，继续到来的token将溢出(excess)bucket，则CAR采取相应的动作（一般是丢弃或将其IP前缀改变以改变该token的优先级）。这样就保证了数据流量速率保证在用户定义的希望值内。

二、如何配置CAR：

    一般来说，CAR比较适合部署在网络的边缘部分，我们的一般做法也是在边界路由器上部署CAR。配置CAR可以选择前面介绍的五种流量类型识别方法，而常用的则是最后一种“IP　access list（IP ACL，IP访问控制列表）”方法。

    用户可以使用标准的ip access list来确定哪些IP流量数据需要进行rate-limit（速率限制），也可以用扩展ip access list来确定哪些IP协议类型流量（如HTTP，FTP）需要进行rate-limit。例如我们想限制用户到内部网站上浏览网页的速度，则可以采用如下的access list来定义流量：

access-list 101 permit tcp any eq www any

    这里值得注意的一点是在配置时要配成any eq www any而不是any any eq www。因为这里要限制的主要流量不是用户向http server发送的请求（这类请求流量的源端口号为随机（any），目的端口号为80），而是http server收到用户的请求后发给用户方的网页内容的流量（这部分流量的源端口号为80，目的端口号为发起方的端口号），如果在这个小细节上不加注意则不能对下载的流量进行有效的限制。

    在相应的端口配置rate-limit的语句格式如下：

    interface X  # 聚集用户希望限制的端口

    rate-limit {input|output} [access-group number ] bps burst-normal burst-max conform-action action exceed-action action

    这里的interface可以是Ethernet interface（以太网端口）也可以是serial interface（串行接口），但是不同类型的interface在下面的rate-limit语句中的{input|output}选项上选择有所不同，需要注意一下。因为以太网端口既可以是输入（input）端口，又可是输出(output)端口；而串行接口则只能为输入接口。

    [access-group number ]选项是用户用access list定义流量的access list号码。

    Bps:用户希望该流量的速率上限，单位是bps。

    Burst-normal burst-max：这个是指token bucket的大小，一般采用8000、16000、32000等值，根据前面设置的Bps值大小而定。

    Conform-action ：在速率限制以下的流量的处理策略。
    Exceed-action:超过速率限制的流量的处理策略。
    Action:处理策略，包括以下几种：
 Transmit:传输
 Drop:丢弃
 Set precedence and transmit：修改IP前缀然后传输
 Set QoS group and transmit：将该流量划入一个QoS group内传输
 Continue：不动作，看下一条rate-limit命令中有无流量匹配和处理策略，如无，则transmit
 Set precedence and continue：修改IP前缀然后continue（继续）
 Set QoS group and continue：划入QoS group然后continue

    注意，在一个interface内，可以配置多条rate-limit命令，如果action里面有continue，则顺序执行下一条rate-limit命令，若某种流量在continue之后没有被某条rate-limit命令丢弃，则它将进行传输。一个端口最多可配20条rate-limit命令。

    下面语句是一个对用户进行http应用限制的例子：
interface e0    # 聚集0号以太网端口
rate-limit output access-group 101 128000 16000 16000 conform-action transmit exceed-action drop

    这里我们对用户进行http访问所下载的网页流量控制在传输速率上限为128Kbps,token bucket包的大小为16000字节。

    CAR除了可以提供用来限制某种流量的速率之外，还可以用来抵挡某些类型的网络攻击。如DOS网络攻击的一个特征是网络中会充斥着大量带有非法源地址的ICMP包，我们可以通过在路由器上对ICMP包通过配置CAR来设置速率上限的方法来保护网络。示例如下：

interface x
rate-limit output access-group 1000 3000000 80000 80000 conform-action transmit exceed-action drop
access-list 1000 permit icmp any any echo-reply

    这样就可以限制ICMP包的转发速率和大小，减少对网络和主机造成的威胁。

三、 Cisco CAR流量控制设备：

    Cisco公司除了在其路由器产品中采用这种CAR流量控制策略外，还成功地应用于其智能交换机产品，因为它们同时采用了具有CAR QoS特性的IOS系统。下面介绍几款代表性的CAR路由器和交换机产品。

    1. Cisco 1750

    Cisco 1750系列路由器是专为小型办公室和小型企业用户所开发的模块化结构路由器，能使用户成本低且有效地或增加广域网和语音接口，从而适应不断变化的需求和发展。集成化的网络服务和功能（包括可选防火墙、CSU/DSU和VPN特性）降低了部署和管理分支机构解决方案的复杂性。

    Cisco 1750系列路由器通过Cisco IOS软件提供服务质量（QoS）功能，包括资源保留协议（RSVP）、加权公平队列（WFQ）、承诺访问速率（CAR）和IP Precedence（IP优先）。这些特性能使企业根据用户、应用、流量类型和其他参数排列其网络上流量的优先顺序，从而确保关键业务数据和延迟敏感的语音在穿过网络时获得所需的优先权。

2.  Cisco 2600系列路由器：

    Cisco 2600系列（如图4所示）是模块化体系结构的路由器产品，能够提供适应网络技术变化所需的通用性。Cisco 2600系列配置了强大的RISC处理器，能够支持当今不断发展的网络中所需的高级服务质量（QoS）、安全和网络集成特性。

    通过将多个独立设备的功能集成到一个单元之中，Cisco 2600系列降低了管理远程网络的复杂性。

    Cisco 2600系列路由器具有以下特性：
• 通用性/投资保护：可以现场更新的模块化接口能够启动数以千计的定制化解决方案，并能够轻而易举地适应未来网络的要求。
• 集成/可管理性：降低拥有成本，简化远程管理，提供结合CSU/DSU、复用器、调制解调器、语音/数据网关、ISDN NT1、防火墙、VPN、加密和压缩设备的集成化网络。
• 多服务语音/数据网络：降低办公室之间的电话/传真费用；通过利用Cisco IOS软件服务质量（QoS）特性（例如RSVP、WFQ、承诺访问速率（CAR）和随机早期检测（RED），语音流量可以实现数字化并封装在IP数据包中，而且能够与数据流量合并。

3. Cisco 7400特殊应用路由器（ASR）:

    Cisco 7400特殊应用路由器能够提供市场上最高的1RU性能，其紧凑和堆叠式的体系结构是专为服务供应商和企业网络中特殊应用路由选择的部署而设计。

    Cisco 7400 ASR路由器提供了出色的性能/价格比，能够满足企业和服务供应商的需求。它将可扩展的性能、密度和低每端口价格结合在一起，允许将网络层功能扩展到大范围的网络配置和环境。

    客户现在可以在网络中的更多地方获得高性能网络层交换和服务所能带来的优点，包括安全性、QoS和通信流管理。

    使用Cisco PXF处理功能实现的硬件加速网络应用服务；能够全面支持MPLS CE和MPLS VPN的理想新型客户端设备；可以支持40个以上接口的灵活的WAN连接（串行接口、通道化接口、ISDN、帧、ATM、64K到OC3）。

4. Catalyst 3550-12T：

    如图所示的Catalyst 3550-12T 12端口多层千兆位以太网交换机允许网络管理员把Cisco IOS智能网络服务和基于Web管理的简单性进行结合，来提高对局域网（LAN）的管理能力。

    这种1000BaseT解决方案使中端市场的用户可以在使用5类铜线布线的网络主干或机架堆叠配线室中，配置Cisco IOS智能网络服务，从而极大地提高网络的可利用性、可伸缩性和安全性。

    Catalyst 3550-12T把一个强大的特性集和传统LAN交换的简单性进行结合，使之包括多层服务例如IP路由、高级服务质量（QoS）、IP安全以及简单易用的基于Web的Cisco集群管理套件等。

    Catalyst 3550-12T交换机为1.5个机柜单元的高度，具有10个10/100/1000BaseT端口和2个基于千兆位接口转换器（GBIC）的1000BaseX端口。

    除此之外，Catalyst 3550-12T交换机还具有完善的流量管理功能。Catalyst 3550-12T能够通过支持Cisco承诺访问速率（CAR）功能来进行速率限制。Catalyst 3550-12T交换机还具有许多先进的特性和功能，在此不再一一赘述了。

    以上介绍了Cisco公司的几款具有CAR功能的代表性路由器和交换机产品，其实还有许多路由器和交换机产品具有此一功能，因篇幅关系，在此不再一一介绍了。