教你玩转下一代防火墙的流量管理

网络基础技术和网络应用的迅速发展，用户对网络性能要求越来越高，网络出口带宽不断升级，却仍然不能够满足用户日益增长的需求。网络管理中的流量管理如何更精细的划分，成为众多管理员的烦恼。如今，下一代防火墙已然成为标配，那么，在下一代防火墙里如何“随心所欲”进行带宽和流量管理的方式呢？

传统设备流控功能的局限

具有流控功能的设备很常见，包括专业的流控设备、UTM等等，但均由于自身的局限而无法满足用户的众多需求，整体上可以概括为以下几个方面：一是流量划分不精细，无法做到多层级嵌套；二是缺乏流量管理手段和直观可视的流量管理走向；三是优先级的处理效果有限，很难有效保证关键业务优先调度处理；四是剩余带宽的利用不高效。

由于以上的缺陷存在，在网络承载的应用日益复杂与多元化的当前时代，直接导致了在使用中存在关键业务应用访问迟缓，而同时部分带宽有剩余的情况，无形中增加了IT维护成本，同时也浪费了带宽。

iQoS精准管理用户和应用的带宽

山石网科早前发布了下一代智能防火墙，作为具有专利技术的、增强的智能流量管理（iQoS）成为主打特点之一，颇受关注。而目前，山石网科下一代防火墙全线产品已经包含这一功能。iQoS通过细粒度流量划分和两层八级QoS管道嵌套技术，来实现基于用户和应用的控制，通过可视化的配置调整，可以实时查看流量控制的效果。同时支持基于业务优先级的分类，灵活调整带宽，保障关键业务的畅通，充分利用每M的带宽。

一句话概述之，iQoS就是通过对网络带宽进行多层级的嵌套的精细划分，可以在保障优先级的前提下，有效地控制每个用户下的每种应用的流量，***效利用带宽。

详解五大突出特性

两层八级的流量控制，山石网科增强的智能流量管理支持两层流控，每层流控支持四级嵌套，从而实现两层八级的网络应用控制。对于没有包含关系，无法通过多层级嵌套解决的问题可以通过两层流量解决；对于复杂的应用场景，可以通过多级嵌套实现基于用户组织架构的流量控制。

精细化流量划分，iQoS以管道为单位对流量进行划分。所有流经设备的流量，都将按照预设的匹配条件进入管道。可以根据一种条件来划分流量，如根据源地址条目；也可以根据多种条件组合来划分流量，多种条件之间是”与”的关系，如根据源接口、目的地址条目和应用HTTP，即从指定的源接口到具体的目的地址的HTTP流量，这样能够更加精细的划分流量。

管道监控，山石网科下一代防火墙提供专门针对管道的监控，管道的配置与管道监控统一。管道监控提供***层流控和第二层流控中各级管道的流量排名及百分比，且可通过管道状态、管道流量方向、时间粒度等方式展现相关用户、应用的流量排名情况。

差分服务， iQoS能够通过设置优先级（0-7级）进行差分服务。用户通过应用识别功能识别出网络中的应用类型，并根据管道监控分析出关键应用和非关键应用，根据需要可以建立一套基于优先级的差异化服务的可行性策略，为关键应用分配更高优先级，并对其进行高优先级的调度控制。

弹性带宽调整，当每一级管道有剩余带宽时，可以借给子管道使用，使带宽能够充分利用。当管道下有多个子管道，并且每个子管道的优先级相同，则以抢占的方式抢占上一级管道的剩余带宽；当管道下多个子管道的优先级不同，则按照优先级比例借父管道的剩余带宽，高优先级的应用能够获得更多的剩余带宽，从而保证带宽得到更合理、高效的利用。