我希望从最佳实践中获得一些建议，以便在两个VLAN之间委派有限的Internet连接。在我的情况下，一个VLAN用于办公网络，另一个VLAN用于访客。我希望做的是允许一定比例的带宽进入Office网络，其优先级高于来宾网络。例如，如果我的下行速度为10Mbps，我希望在需要的情况下最多可以向办公室提供7Mbps的速度，否则，来宾连接可以使用它。

我主要关心的是，如果我将访客网络的速率限制为3Mbps，并且路由器开始丢弃超出该限制的数据包，那我就是在浪费来自ISP的数据包。如果我理解正确，ISP将以10Mbps的速度发送数据，那么我的路由器就会开始向该访客网络丢弃超出该限制的任何内容，这不是必须重新发送的浪费带宽吗？

简而言之，对上传速率进行限制很有意义，因为我可以通过路由器完全控制上传速度，但是我不确定您是否可以对来自ISP的下行流量进行有效的速率限制因为我无法控制他们的路由器。因此，如果您可以在不浪费流量的情况下限制下行流量的速率，那么您如何推荐呢？

David

评论

如果使用策略，则可以保证办公室达到7 Mbps，并且在没有拥塞时，带宽就可以使用。您能提供一个简单的图表吗？两个VLAN都将终止在该路由器上吗？
基本设置是一条进入881路由器的DSL线路，该路由器具有两个VLAN，其中10个用于办公室，20个用于访客。从881路由器有两个到一个2950 24端口交换机的上行链路（一个上行链路是VLAN 10，另一个是20）。所有客户端都连接到同时具有VLAN 10和VLAN 20端口的2950交换机。如果我使用一种策略来保证Office可以使用的10Mbps中的7Mbps，那么当Office在使用Office保证的7Mbps时，如果Guest尝试拉动速度超过3Mbps，会发生什么情况？如果路由器丢弃了来自ISP的传入数据包，这是否违反了QoS的目的？
这可能是一种选择，您的想法是什么？

#1 楼

不幸的是，我认为没有提供者的参与，就没有一种好的方法来做您想要的事情。在该限制内工作，最好的选择是在LAN接口上实施出站策略。例如，如果您要分别对业务网络和来宾网络进行PAT，以便可以通过目标IP识别返回流量，则保证业务网络带宽的分层策略将有所帮助。本质上，父策略会将所有流量调整为10 Mbps。然后，父级将调用一个子级策略，该策略可保证业务网络的7 Mbps。剩下的流量（来宾网络）将可以使用剩下的任何内容。

请记住，这是不完善的，因为流量已经遍历WAN。但是，如果来宾流量是TCP，并且开始因出站LAN策略而被丢弃，则TCP会话应节制自身。这在传输层上不适用于UDP。

示例策略如下所示：

ip access-list extended BUSINESS-NETWORK 
 permit ip any host 1.1.1.1
! 
class-map BUSINESS-NETWORK 
 match access-group name BUSINESS-NETWORK 
! 
policy-map PARENT 
 class class-default 
  shape average 10000000
  service-policy CHILD
! 
policy-map CHILD 
 class BUSINESS-NETWORK 
  bandwidth 7000 
! 
interface Fa0/0 
 description LAN interface 
 ip address x.x.x.x 
 service-policy output PARENT


这是不完善的例如，但是在没有提供者参与的情况下，我能提供的最好的解决方法。

评论

非常感谢您的回复Ryan。明确地说，如果我将来宾网络入站流量在LAN接口上的速率限制为3Mbps，那么WAN接口是否仍会尝试将其拉至10（假设流量为10Mbps），一旦流量到达LAN来宾接口，开始下降超过3的东西吗？还是在LAN接口上设置了3Mbps的速率限制，使其只能从ISP以3Mbps的速率拉动？

–David Rediger
13年10月2日在19:00
您第一个问题的答案是肯定的。您实质上是在限制出站流量。出于所有目的和目的，这不会影响您的入站流量。我将编辑我的原始答案，以解决您的LAN接口上的出口整形问题，这可能会（但不能完全解决）您的问题。

–瑞安
13年10月2日在19:12
感谢示例配置Ryan，这为我提供了继续工作的良好起点。非常感谢您的时间和帮助！如果可以的话，我会投票给你，但是没有足够的代表！ :)

–David Rediger
13年10月2日在19:48