网御防火墙部分内网 IP 限速后，被限速的电脑打开网页非常慢

[stillsam]

网御防火墙部分内网 IP 限速后，被限速的电脑打开网页非常慢

单位的电脑不到 100 台， 通过二层交换机，连接网御防火墙，接电信固定 IP 的光纤，出口带宽 20Mbps 。

电脑 ip 段都是 192.168.0.0/24 ，在防火墙上对 大部分 ip 段限速，保证下载 512KB/S （最大 1MB/S ） 上传 256KB/S （最大 512KB/S ）。 但是限速后，发现被限速的 IP 段的电脑测试网速还行，就是打开网页的速度会非常慢，一个网页转 5 、 6 秒多后才能开，甚至更慢。。。。 不限速的电脑没问题。 取消限速策略后，所有电脑打开网速速度都正常。

这个限速太狠了吗？之前的旧防火墙设置的限速比这个还厉害，也没有打开网页慢的问题啊。

请高手解答下。谢谢

[kevinreadonly]

有没有放行 DNS?

[stillsam]

我在防火墙设置里没有看到关于 DNS 的设置。

[xenme]

应该是这个更严格了吧，现在一般的网页都好大的， 512k 是要一会儿。
以前的可能只是突发不管，长时间不允许超过限制吧。 f12 看看网页都在卡啥

[datocp]

这种东西，根本就不知道它的 qos 规则是如何实施的，根本无从讨论。。。这种东西串在网络效果可能还不如一些家用路由器刷 openwrt 。
20mbps 100 台电脑平均每台 20kb/s ，实施基于 ip 的限速假设它就是个 linux 路由，就会因为规则的自上而下遍历，假设刚好上面 4 条规则 4 个 ip 都在全速 512kb/s 下载那其它 ip 就只有 0kb 的带宽可用调用，对就是这种情况，所以带宽分配太高了。很多所谓的企业级网关说是能带 500ip ，但是它往往少了一个参数带宽至少 500mbps 。基于 ip 的限速往往不具备上行优先级控制数据队列，接着改变下行队列顺序，而有限的 20mbps 带 100ip ，事实情况是往往仅仅是几个 ip 就占用了 99%以上的带宽，让其它 ip 仅只有 1%的带宽可调用。市面上还见到 qos 很智能的路由。
用 openwrt 用 1.4MB/s 的对称光纤在一个 100 块钱的 dlink 600 B2 刷 ddwrt 带过 120ip ，而且是每个 ip 都有机会拿到 1.4MB/s 的全速带宽。这是口水话题了， linux+shell 在 qos 这块比一些所谓的企业级路由器高级多了。

[stillsam]

@datocp #4
就是说我的这种限速不见得设置的越大越好，目前下行 512Mbps 先看看情况，如果效果不好再增大速度或者减小速度，都试一试。 最主要的瓶颈其实是出口总带宽太小了，才 20Mbps ？

[datocp]

QOS 设备理想位置是在出口网关那个位置。通常 linux 网关，上行采取根据目的端口优先级，可以有效的根据优先级设置改变 fifo 的先进先出模式为有优先级排列的队列避免 p2p 拥塞情况发生。因为 tcp 的握手过程， ISP 的下行队列也会根据上行队列的排序优先返回高优先级的连接数据。下行通常如果实在没有办法，那只有采取基于 ip 的限速，主要是防止少量 ip 占用 99%以上的带宽。但是基本玩过的一些所谓的企业级网关在采用有限的流量对付无限的 ip 时，这种 ip 限速只能说有一定效果勉强能用。越靠前的规则的 ip 越容易获得带宽，越靠后面的规则的 ip 却可能因为没有足够的剩余带宽而网络响应慢。
上行没有优先级控制可以让 tcp 80 优先其它 p2p 流量，下行没有剩余带宽可供分配。很多基于 ip 分配的企业网关遇到没有大带宽那所谓的几百几百的带机量也成了一个吹牛参数。