Konfiguracja QoS i Storm Control na Sophos Switch
QoS rozstrzyga, która kolejka przeciążonego portu jest obsługiwana pierwsza. Bandwidth control ogranicza ruch wejściowy lub wyjściowy, a Storm control odrzuca ponad progiem ramki broadcast, unknown multicast i unknown unicast. Najpierw udokumentuj ruch i jego oznaczenia oraz ustal, czy konfigurację zapisuje Sophos Fusion (dawniej Sophos Central), czy interfejs lokalny. Następnie zaplanuj QoS i przypisanie kolejek, stopniowo wprowadzaj zaufanie portów, limity pasma i Storm Control, a politykę dodaj tylko w razie potrzeby. Sprawdź zapisane wartości bezpośrednio; rzeczywisty priorytet i progi sprawdź dodatkowo pod kontrolowanym obciążeniem. Te trzy funkcje uzupełniają się, ale nie są zamienne.
⚠️ Zbyt niskie wartości odrzucają prawidłowy ruch, szczególnie na uplinkach i portach zarządzania, AP, telefonii lub serwerów. Zapisz stan początkowy, zacznij od niekrytycznego portu i zachowaj niezależny dostęp.
Skrócona procedura: otwórz My Products > Switches > Switches > [Switch] > QoS; w General settings ustaw status, Scheduling method i Trust mode; skonfiguruj CoS mapping i DSCP mapping; w Ports ustaw kolejno CoS mapping, Bandwidth control i Storm control; Policies użyj tylko do dokładniejszej klasyfikacji; sprawdź synchronizację, Configuration source, znaczniki i wydajność.
Która funkcja rozwiązuje dany problem?
QoS z CoS/DSCP daje pierwszeństwo głosowi/wideo, lecz nie tworzy pasma. Bandwidth control ogranicza port bez gwarancji priorytetu. Storm control ogranicza broadcast oraz nieznany multicast/unicast, ale niski próg szkodzi legalnemu ruchowi. Policies klasyfikują według protokołu, MAC, IP, VLAN lub usługi, jeśli match i binding są poprawne. QoS widać dopiero przy konkurencji o jedno wyjście; Storm Control ocenia trzy klasy osobno.
Wymagania i plan zmiany
Switch musi być zarejestrowany, osiągalny i zsynchronizowany. Każdy switch zarządzany w Fusion wymaga ważnej subskrypcji Sophos Switch Support and Services; bez niej działa zarządzanie lokalne, lecz nie zmiany Fusion. Zobacz Rejestracja Sophos Switch w Sophos Fusion. Konto musi móc zapisywać; lokalnie Privilege type: Admin zapisuje, a Privilege type: User tylko odczytuje. Wybierz jeden interfejs zapisujący i unikaj równoległych zmian lokalnych, ponieważ nie są one automatycznie synchronizowane z Sophos Fusion. Sam dostęp tylko do odczytu wystarcza do inwentaryzacji i kontroli, ale nie do wprowadzenia zmian.
Zapisz switch/port/VLAN/sąsiada, szybkość i obciążenia, aplikacje, CoS/DSCP i kolejki, status/scheduler/trust/osiem wag, wartości portów, polityki, Configuration source, baseline, okno i drogę powrotu. CoS według IEEE 802.1p zajmuje 3-bitowe pole tagu VLAN (0–7), a DSCP 6-bitowe pole nagłówka IP (0–63); pakiet bez tagu nie ma 802.1p. Sprawdź tagging i PVID według Bezpieczna konfiguracja VLAN na Sophos Switch.
Not set nie wyłącza funkcji
Not set pozostawia lokalną konfigurację dla Status, Scheduling method, CoS, Trust state, limitów i Storm Control. Aby wymusić stan, wybierz wartość, sprawdź Configuration source i wcześniej zapisz wartość lokalną.
Przykład end-to-end
To adaptowalny plan testu, nie ustawienie domyślne Sophos. Port 12 łączy zarządzany router normalizujący głos do DSCP 46, resztę do 0; wyjściem jest uplink 48. Pomiary: 72 Mbit/s normalnie, 84 Mbit/s szczytowo, broadcast 640 kbit/s na łączu 100 Mbit/s. Nazwij kolejki Q1–Q8, mapuj 46 do Q7 (“Voice”), 0 do Q1 (“Best Effort”). Pierwszy test WRR: Q7=24, pozostałe=8 (stosunek 3:1, nie procent ani gwarancja). Dla portu 12 ustaw Ingress (kbps)=92400: zmierzone 84'000 kbit/s plus świadomie wybrane 10 procent rezerwy daje 92'400 kbit/s, już podzielne przez 16. Dla broadcastu wybierz Broadcast (kbps)=800: 640 kbit/s × 1,25 daje 25 procent rezerwy i również wielokrotność 16. Pozostałe klasy Storm Control i Egress zachowują udokumentowane wartości początkowe. Są to decyzje dla tego testu, nie zalecenia Sophos; nie kopiuj ich na uplink 48, który agreguje ruch wielu urządzeń i wymaga osobnego pomiaru.
Globalna konfiguracja QoS
1. Wybór Status i Scheduling method
Enabled włącza centralnie, Disabled wyłącza, Not set używa lokalnego. Strict priority może zagłodzić niższe kolejki. WRR używa Queue weight 0–128; Sophos nie dokumentuje dokładnie skutku 0. Dla każdej z ośmiu kolejek ustaw wagę; 128 jest najwyższą wagą. Każdej potrzebnej kolejce przypisz początkowo wagę większą od 0. Użyj 0 tylko po osobnym potwierdzeniu jego działania dla danego modelu i firmware: dokumentacja nie rozstrzyga, czy wyłącza obsługę, minimalizuje ją, czy działa inaczej zależnie od platformy. Pod konkurencyjnym obciążeniem sprawdź obsługę każdej potrzebnej kolejki. W przykładzie Q7=24, inne=8. Wagi są względne, nie wyrażają kbit/s ani procentów. Strict priority wybieraj tylko przy ograniczonym ruchu wysokiego priorytetu i po sprawdzeniu ryzyka dla pozostałych kolejek.
2. Ustawienie Trust mode
DSCP używa oznaczenia warstwy 3 w nagłówku IP i pasuje do spójnego znakowania przez aplikacje lub zaufane elementy sieci. 802.1p używa CoS tagu VLAN i wymaga kontrolowanego projektu warstwy 2 z tagowaniem. 802.1p-DSCP tłumaczy między oznaczeniami warstw 2 i 3, gdy wymaga tego udokumentowany projekt całej ścieżki. Sam tryb zaufania nie poprawia błędnych ani nadużywanych oznaczeń. Ufaj DSCP tylko z wiarygodnego źródła albo po osobno zweryfikowanym wymuszaniu lub normalizacji.
⚠️ Portowy Trust state dotyczy tylko przychodzącego CoS/802.1p. Untrusted nie chroni przed DSCP endpointu. Wymuś/normalizuj DSCP wcześniej albo nie używaj Trust mode: DSCP.
Przykład jest dopuszczalny, bo IT zarządza routerem, a przechwycenia potwierdzają 46 i 0. Zapisz przez Update.
Mapowanie CoS i DSCP do kolejek
CoS mapping
Typowa kolejność: 7 network control, 6 sygnalizacja głos/wideo, 5 głos, 4 wideo, 3 aplikacje krytyczne, 2 dane wysokie, 1 średnie, 0 best effort. To opis typowego użycia, nie rekomendacja dla własnej sieci: przechwyć rzeczywiste wartości telefonów, AP lub aplikacji, przypisz obserwowane wartości do zaplanowanych kolejek i wybierz Update. Przykład oparty na DSCP nie korzysta z mapowania CoS, dlatego istniejące mapowania CoS pozostają bez zmian.
DSCP mapping
Odpowiadające zakresy DSCP to 56–63 dla network control, 48–55 dla sygnalizacji głosu/wideo, 40–47 dla głosu, 32–39 dla wideo, 24–31 dla aplikacji krytycznych, 16–23 dla danych wysokiego priorytetu, 8–15 dla średniego i 0–7 dla best effort. Priorytetyzuj tylko świadomie nadane wartości. W przykładzie 46→Q7, 0→Q1; wybierz Update i śledź obie wartości do uplinku 48. W innym środowisku osobno sprawdź, jakie wartości nadają i zachowują urządzenie, centrala, firewall i WAN. Nie priorytetyzuj całego wysokiego zakresu tylko na podstawie tej listy; liczą się rzeczywiste oznaczenia i wiarygodność źródła.
Konfiguracja portów
1. Ustawienie CoS i Trust state
Wybierz CoS 0–7, Trust state: Trusted tylko dla kontrolowanych znaczników, inaczej Trust state: Untrusted; Not set używa lokalnego. Na zwykłym porcie użytkownika lub publicznie dostępnym porcie brzegowym wybierz Untrusted i ustaw przewidziane CoS zgodnie z rolą portu; sama zdolność urządzenia do wysłania wysokiej wartości CoS nie czyni go zaufanym. Zapisz przez Update i sprawdź Configuration source. Dotyczy tylko CoS/802.1p; dla DSCP obowiązuje osobna granica zaufania opisana wyżej.
2. Ustawienie Bandwidth control
Egress (kbps) ogranicza wyjście, Ingress (kbps) wejście. Wartości to wielokrotności 16 od 16 do 10.000.000; 0 wyłącza kierunek, a Not set zachowuje wartość lokalną. Wyznaczaj limit z pomiarów, nie tylko z szybkości portu. Musi być wyższy od normalnego ruchu z dozwolonymi szczytami, ale niższy od chronionej przepustowości; zaokrąglij go do dopuszczalnej wielokrotności 16. Zmieniaj tylko kierunek wymagający ograniczenia i rozszerzaj wdrożenie na kolejne porty dopiero po udanym teście. Przykład: Ingress (kbps): 92400, egress bez zmian. Wybierz Update i sprawdź źródło.
3. Ustawienie Storm control
Osobno limituj Broadcast (kbps), unknown Multicast (kbps) i unknown Unicast, wszystkie w kbit/s i w tym samym zakresie; 0 wyłącza klasę, a Not set używa konfiguracji lokalnej. Mierz, zaokrąglaj do 16 i testuj DHCP, rozwiązywanie nazw, discovery i multicast. W przykładzie zmienia się tylko Broadcast (kbps) na 800; pozostałe klasy zachowują wartości początkowe. Próg jest szybkością danych w kbit/s, nie liczbą pakietów. Mierz zwykły ruch i krótkie szczyty osobno dla portu i klasy, wybierz próg powyżej prawidłowych szczytów, a następnie zapisz przez Update. Broadcast ARP/DHCP i multicast discovery lub mediów mogą być prawidłowe; ich suma na uplinku jest zwykle wyższa niż na pojedynczym porcie klienta. Niski próg wspólny dla wszystkich portów nie jest bezpiecznym standardem.
Dodawanie polityki QoS tylko w razie potrzeby
W Add policy wypełnij potrzebne Class name, Ports binding, MAC address, IP address, VLAN, Service (Ethertype/Service Type), Protocol lub Custom numer IANA oraz Action. Przykład nie wymaga polityki, ponieważ zweryfikowane DSCP 46 i 0 już rozdziela mapowanie. Service type identyfikuje ruch wartościami DSCP, a Ethertype określa protokół w danych ramki Ethernet. Wybieraj tylko kryteria rzeczywiście spełniane przez zatwierdzony ruch i powiąż politykę z właściwymi portami lub VLAN. Sprawdź Action i przypisaną wartość względem planu QoS; nie przenoś nieudokumentowanych akcji z innych produktów Sophos. Wybierz Save, sprawdź Binding source i Configuration source; edytuj przez Class name, usuń przez Delete policy.
Walidacja działania
1. Kontrola konfiguracji
Sprawdź Status, Scheduling method, wszystkie osiem wag i Trust mode względem planu. Każda potrzebna kolejka musi mieć wagę większą od 0 lub wspomniany dowód dotyczący modelu i firmware. Zweryfikuj mapowania CoS/DSCP, portowe CoS, Trust state, oba limity oraz wszystkie trzy progi Storm Control. Configuration source ma wskazywać oczekiwane źródło lokalne lub centralne; przy politykach sprawdź też powiązanie, kryteria i akcję. Odśwież widok po synchronizacji, aby wykluczyć stare wartości.
2. Kontrola oznaczeń i mapowania kolejki
Przechwyć pakiety w odpowiednim punkcie pomiarowym i sprawdź rzeczywiste CoS tagu VLAN lub DSCP nagłówka IP względem mapowania. Jeśli oznaczenia brakuje już u źródła, mapowanie nie sklasyfikuje ruchu zgodnie z planem. Na porcie Untrusted nie zakładaj zachowania CoS nadanego przez urządzenie. W projekcie DSCP wyślij celowo wysoki DSCP z niezaufanego urządzenia testowego; w przykładzie znajduje się ono za routerem. Porównaj przechwycenia przed normalizacją i po niej oraz wynik kontrolowanego testu przeciążenia: czy niedozwolona wartość nadal trafia do wysokiej kolejki? Jeśli osobne wymuszanie lub normalizacja nie zatrzymuje tej próby zgodnie z planem, nie wdrażaj Trust mode: DSCP w tym segmencie.
3. Test QoS pod kontrolowanym obciążeniem
Zmierz latency, jitter, straty i throughput bez oraz z best effort na tym samym wyjściu. Przechwycenia muszą pokazywać DSCP 46 i 0 aż do uplinku 48, a konfiguracja przypisanie do Q7 i Q1. Dopiero rzeczywisty test przeciążenia pokaże, czy telefonia z wagą Q7=24 mieści się w uzgodnionych granicach, a Q1 i wszystkie pozostałe potrzebne kolejki z wagą 8 nadal są obsługiwane. Niezmieniony ping bez rzeczywistego przeciążenia nie potwierdza priorytetyzacji.
4. Test limitów i Storm Control
Obciążaj jeden kierunek. Najpierw potwierdź w widoku portu Ingress (kbps): 92400 i właściwe Configuration source. Zmierzona przepustowość danych użytkowych nie może przekroczyć ustawionego limitu; narzut protokołów i metoda pomiaru mogą dać nieco niższy wynik aplikacji. Nigdy nie twórz niekontrolowanej burzy produkcyjnej. W ograniczonym, izolowanym teście sprawdź prawidłowe szczyty i ograniczenie powyżej 800; sama zapisana wartość nie dowodzi ochrony. Przed zmianą i po niej przetestuj ARP, DHCP, DNS, wymagane discovery i produkcyjny multicast. Jeśli dany model udostępnia odpowiednie liczniki portu lub odrzuceń, udokumentuj również ich zmianę; nie zakładaj, że takie pole jest dostępne wszędzie.
Eksploatacja i cykl życia
Przeglądaj po zmianie firmware, topologii lub aplikacji. Dokumentuj mapowania, wagi, trust, pomiary/rezerwę, właściciela/match/binding/akcję/usunięcie polityk, wyniki, wyjątki i Configuration source. Zapisz także datę ostatniej kontroli i planowany termin usunięcia polityk. Nowe telefony, AP, uplinki i VLAN mogą zmienić oznaczenia, obciążenie oraz prawidłowe szczyty broadcast/multicast; są lepszym impulsem do kontroli niż ogólny termin kalendarzowy. Po aktualizacji lub wymianie odczytaj ponownie konfigurację i Configuration source, powtórz oznaczony przepływ i testy pozytywne oraz przeciążeniowe, których dotyczyła zmiana. Nieużywane polityki i wyjątki zaufania usuwaj w sposób kontrolowany; limity zmieniaj wyłącznie na podstawie nowych pomiarów.
Typowe problemy
Głos lub wideo nie ma priorytetu mimo QoS
Sprawdź Enabled, przechwycenie, Trust mode, CoS Trust state lub wymuszanie DSCP, mapowanie, scheduler, osiem wag i przeciążenie tego samego wyjścia.
Ruch niskiego priorytetu całkowicie zanika
Przy Strict priority znajdź stale zajętą wyższą kolejkę; usuń przyczynę lub zaplanuj WRR. Przy WRR sprawdź wszystkie osiem wag względem planu i zastąp 0 potrzebnej kolejki, jeśli nie ma wymaganego potwierdzenia jego działania; następnie powtórz test konkurencji dla każdej potrzebnej kolejki.
Przepustowość jest nieoczekiwanie niska
Sprawdź zamianę Ingress (kbps)/Egress (kbps), kbit/s, wielokrotność 16 i lokalną wartość pod Not set; przywróć początkową i testuj politykę/mapowanie/scheduler.
DHCP, ARP lub discovery zawodzi po Storm Control
Przywróć tylko daną klasę, zmierz legalny szczyt i uwzględnij agregację uplinku. Nie podnoś wszystkich trzech naraz.
Polityka nie pasuje lub obejmuje za dużo
Zweryfikuj Ports binding, Binding source, kierunki, VLAN, Ethertype, DSCP Service Type, protokół, Custom IANA i Action za pomocą przechwyceń; zawężaj stopniowo.
Sophos Fusion pokazuje wartości, lecz zachowanie jest inne
Sprawdź synchronizację, docelowy switch, Configuration source, wartości lokalne za Not set i Binding source. Nie zapisuj wielokrotnie tych samych wartości Central bez ustalenia faktycznie działającej konfiguracji lokalnej.
Wycofanie
Not set, 0 i Disabled nie są synonimami. Usuń nową politykę przez Delete policy albo przywróć i Save; następnie przywróć Ports > Storm control, Ports > Bandwidth control, CoS/Trust state, mapowania, Trust mode, Scheduling method, wagi i Status. Przywróć dokładnie udokumentowane wartości, a nie zgadywane domyślne. 0 wyłącza dany kierunek Bandwidth Control lub klasę Storm Control; Not set oddaje sterowanie konfiguracji lokalnej. Disabled wyłącza QoS centralnie, natomiast Not set nie przywraca automatycznie poprzedniego stanu Central. Wybierz Update, poczekaj na synchronizację i powtórz testy zarządzania, aplikacji, głosu/wideo, DHCP, DNS i multicastu. Przy utracie zarządzania użyj niezależnego dostępu, najpierw cofnij ostatnią wartość portu i potwierdź wszystkie źródła oraz test obciążenia.