Question

如何用华为安全网关USG2210和华为三层交换机S5300，管理好公司网络，分配网速，使网络畅通？

公寓10MB光纤入户，然后接华为安全网关usg22100，再接华为S5300三层交换机，三层交换机分了8个网段，分布到8个不同区域，然后再用普通交换机连接每个区域的终端。公寓内部有酒店客房、有办公楼，有宿舍楼。白天上班用网络还比较正常，一旦到晚上，宿舍和客房都在用网，网速变的像蜗牛一样慢，打到网页都难，请问应该怎么分配网速比较合理？
这两种设备可作行为管理和限制网速吗？ 如何可以，应该如何给指定网段作行为管理，并给其限制网速？
USG2200 的版本信息：USG2200 V100R005C00SPC300

Answer 1

管理和限制网速,防火墙和交换机都可以做到。但是，你主要管理的是去外网的流量，所以在防火墙上面做设置就行了。你防火墙当前的版本支持上网行为管理和限流设置。不过，这个版本只能命令行下面配置。

目前最新版本是V300R001C00SPC600，你只要升级到V100R005C00SPC700及以上版本就可以用WEB来配置了，华为的这款防火墙性能和功能都很OK的，只要你的版本升级到了就可以了。V100R005C00SPC700以上版本都可以基于用户来设置应用层协议控制和限流。

具体命令行配置命令可以参考我之前回答的相关问题。

传送门：http://zhidao.baidu.com/question/457226256.html?oldq=1

网速慢，肯定是网上的P2P以及流媒体应用占用带宽太多造成的。推荐升级到V3R1版本（前提是你的设备硬件平台批次较新，较老的硬件对V3R1版本存在兼容性问题），为每个网段或者用户（这个配置比较繁琐，需要对所有PC绑定并分配帐号）的P2P和流媒体应用进行统一或者针对性的限流即可解决问题。

希望能帮到你。

追问

还有一个问题，就是现在很多客人来住房，会自带无线路由器挂在局域网内当无线AP用，问题是如果客人没有把路由的DHCP关掉，就会在网段内争抢IP，造成整个网段内都会掉线。有没有办法用这两个设备禁用局域网内的其他DHCP，这样不管多少客人自主挂上无线路由都不会影响正常上网。

追答

可以通过在交换机上面配置DHCP Snooping来实现。当网络中存在DHCP Server仿冒者时，DHCP Server仿冒者回应给DHCP Client仿冒信息，如错误的网关地址、错误的DNS服务器、错误的IP等，从而使Client无法访问网络或访问到不正确的网络。

配置举例：

注意：在全局使能DHCP Snooping功能之后，必须在接口或VLAN下使能，否则不生效。

背景信息：

使能DHCP Snooping功能的顺序如下所示。全局使能DHCP功能。全局使能DHCP Snooping功能。在接口或VLAN下使能DHCP Snooping功能。

操作步骤：

全局DHCP配置模式：
system-view，进入系统视图。执行命令dhcp enable，全局使能DHCP功能。执行命令dhcp snooping enable，全局使能DHCP Snooping功能。执行命令vlan vlan-id，进入VLAN视图。执行命令dhcp snooping enable，使能VLAN的DHCP Snooping功能。执行命令quit，返回到系统视图。

接口DHCP配置模式：
system-view，进入系统视图。执行命令dhcp enable，全局使能DHCP功能。执行命令dhcp snooping enable，全局使能DHCP Snooping功能。执行命令interface GigabitEthernetX/X/X，进入接口视图。执行命令dhcp snooping enable，使能接口的DHCP Snooping功能。

配置接口为信任状态
一般把通向DHCP Server的接口设成“信任（Trusted）”，其他接口都设为“不信任（Untrusted）”。配置接口状态后，从“不信任”接口收到的DHCP Reply报文被直接丢弃。

使能接口的DHCP Snooping功能后，缺省情况下，接口为“不信任”状态。

system-view，进入系统视图。执行命令interface GigabitEthernetX/X/X，进入接口视图。或者执行命令vlan vlan-id，进入VLAN视图。该接口为连接DHCP Server的网络侧接口。接口视图下执行命令dhcp snooping trusted ，或者VLAN视图下执行命令dhcp snooping trusted interface GigabitEthernetX/X/X，配置接口为“信任”状态。如果在VLAN视图下指定接口为“信任”状态，该接口必须已经加入了该VLAN。

为了定位DHCP Server仿冒者，可以在S5300上配置伪DHCP Server探测功能，通过检查DHCP Reply报文，获取DHCP Server相关信息，记入日志中，便于网络管理员进行网络维护。使能DHCP Server探测功能前，必须使能S5300全局和接口下的DHCP Snooping功能，否则DHCP Server探测功能不生效。

system-view，进入系统视图。
dhcp server detect，使能DHCP Server探测功能。

Answer 2

USG22100属于UTM类产品，其基础功能应该为防火墙、入侵防御、网络防病毒。

目前所有的UTM（统一威胁管理）基本都支持上网行为管理和流量控制。

包括功能比较单一的防火墙产品都具有这类功能。

看了楼上的回答很惊讶，UTM类产品应该是06 07年左右出现的，居然还有只能用命令行

才能配置的功能。看了下配置方式居然还要给每个机器分配帐号。

闻道有先后、术业有专攻，华为还是好好做交换路由吧。

主流安全网关实现这个功能很简单：

1.根据源接口、源地址、目的接口、目的地址、时间建立访问控制策略，同时在访问控制策略中增加流量控制，可以实现对所有主机的上行、下行进行详细控制。

2.和上面一样，建立访问控制规则，同时引用上网行为管理功能，设备会自动识别各类应用，例如P2P下载、流媒体、聊天工具、游戏等各类应用，你只需要设置对每种应用的控制方式就可以了。控制方式可以是禁止或者限速。