内网上网总带宽仅 200M？一文讲清限速放哪、怎么用 ACL 隔离内网互访流量

一、组网业务背景

本次组网分为两大独立区域：内部系统、外部系统。内部用户通过内网交换机、内网NAT设备，经出口路由器接入外部系统；外部系统同时承载两类业务出口——外部私有内网Private、互联网Internet。 业务访问逻辑分为三类：

1. 内部系统网段互访（192.168.1.0/24 ↔ 192.168.2.0/24）；
2. 内部系统访问外部私有Private内网资源；
3. 内部系统访问Internet公网资源。

其中互联网链路物理带宽仅200M，存在带宽抢占、拥堵风险，需针对内网用户访问互联网流量做专属限速管控，同时保证内网互访、跨域私有内网访问不受带宽限制，本文针对限速部署点位、流量区分实现方案做完整拆解。

二、互联网限速最优部署点位选型分析

（一）最优方案：外部系统出口路由器（互联网上联端口）

该点位是200M互联网带宽的物理瓶颈边界，为全网限速最优部署位置，核心优势如下：

1.带宽边界精准匹配，业务天然隔离

200M带宽仅用于互联网访问流量，在此处限速只会管控去往公网的数据；内网互访、访问外部私有内网的流量不会经过互联网链路，完全不受限速策略约束，完美匹配业务隔离需求。

2.设备资源消耗最低

若在内网核心交换机、内网NAT设备部署限速，所有内网二层转发、跨私有网段流量都会触发ACL、QOS队列匹配，大量占用设备ACL、缓存、调度资源；而外网出口路由器仅处理互联网出站流量，待处理流量规模大幅缩减，设备负载更低。

3.全局统一管控，运维简单

单台设备统一管控全网互联网总出口带宽，无需多设备同步配置，带宽监控、扩容、策略调整仅需一处修改，降低运维复杂度。

（二）次优方案：内部系统边界NAT设备

适合需要对单个内网用户做精细化独立限速的场景，例如限制单终端最大上网速率，但存在明显短板：内网互访流量会全部参与QOS匹配，产生无效调度，长期高负载场景下易造成交换机转发延迟、丢包，仅推荐小型内网环境使用。

（三）不推荐点位：内网接入/核心交换机

内网交换机承载全部内网二层转发流量，在此部署全局互联网限速ACL与QOS，会持续消耗大量芯片资源，极易导致内网业务卡顿、转发性能下降，仅可叠加单用户精细化限速作为辅助策略，不适合做全局200M总带宽管控。

三、内网设备限速可行性与流量区分实现方案

1. 内网设备部署限速可行性

内网交换机、内网NAT设备技术上完全可以实现互联网流量限速，适用场景为精细化单用户带宽管控，但需提前做好流量区分，避免限速策略误伤内网互访、跨私有内网业务。

2. 原有ACL配置缺陷分析

用户现有ACL配置：

acl number 3000
 rule 0 deny source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
 rule 5 permit source any

该ACL仅拦截了内网网段互访流量，剩余所有流量（内网访问外部私有内网、内网访问互联网）全部放行，无法单独筛选互联网流量。若直接绑定QOS限速，会将外部私有内网业务流量一并限制，违背业务隔离需求。

3. 精准区分互联网流量的标准ACL方案

核心设计思路：先拦截所有私有网段流量（内网互访、外部Private内网），剩余流量即为纯互联网公网流量，配置如下：

acl number 3000
# 第一步：拦截内部系统网段互访流量
 rule 0 deny source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
# 第二步：拦截所有RFC1918标准私有地址段（外部私有内网）
 rule 10 deny destination 10.0.0.0 0.255.255.255
 rule 20 deny destination 172.16.0.0 0.15.255.255
 rule 30 deny destination 192.168.0.0 0.0.255.255
# 第三步：仅放行访问互联网公网的流量
 rule 100 permit ip any any

4. QOS绑定ACL完整工作流程

主流华为、华三、锐捷等国产网络设备均支持ACL作为QOS流分类匹配条件，完整部署流程：

1. 配置上述ACL，精准抓取互联网访问流量；
2. 定义流分类classifier，绑定ACL 3000；
3. 配置流行为behavior，设置带宽限速（总带宽200M或单用户限速阈值）；
4. 创建流策略policy，关联流分类与流行为；
5. 将流策略应用至设备上行出口接口的出方向，完成限速管控。

四、落地部署综合建议

1. 全局带宽管控优先选择外网出口路由器在互联网上联端口部署总带宽200M限速，实现低成本、低负载的全局带宽管控；
2. 精细化单用户限速做分层部署若需要限制内网单个终端上网速率，可在内网核心交换机叠加基于源IP的ACL+QOS策略，双层管控兼顾全局带宽与单用户公平性；
3. 业务流量隔离优化内网互访、跨私有内网流量不纳入限速队列，配置独立优先调度队列，保障内部业务传输无延迟、无丢包；
4. 运维监控配套在限速设备开启流量统计、带宽日志，实时监控互联网出口带宽占用，便于带宽扩容、异常流量排查。

五、总结

在多域混合组网、互联网带宽固定受限场景下，限速点位选择核心逻辑为紧贴带宽物理瓶颈边界，优先在外网出口路由器完成全局互联网带宽管控；若内网需要精细化用户限速，可在内网设备补充分层QOS策略，同时通过精准ACL过滤私有网段流量，避免限速策略干扰内网私有业务，在带宽管控、设备性能、业务体验三者之间实现最优平衡。

另：点击下方工具可免费使用阿祥自制的ICT随身工具箱↓

常用厂商指令查找、故障码查询、快捷脚本生成，一网打尽。