Konfigurera QoS och Storm Control på Sophos Switch
QoS avgör vilken kö som skickas först vid överbelastning. Bandwidth control begränsar inkommande eller utgående trafik och Storm control kasserar broadcast, unknown multicast och unknown unicast över ett tröskelvärde. Dokumentera trafik, märkning och skrivande gränssnitt, inför stegvis och testa under kontrollerad belastning.
⚠️ För låga värden kasserar legitim trafik, särskilt på uplänkar och portar till hantering, accesspunkter, telefoni eller servrar. Dokumentera startvärden, börja på en okritisk testport och behåll oberoende hanteringsåtkomst.
Kort arbetsgång: öppna My Products > Switches > Switches > [Switch] > QoS; ange status, Scheduling method och Trust mode i General settings; konfigurera CoS mapping och DSCP mapping; ange CoS mapping, Bandwidth control och Storm control under Ports; använd Policies endast vid finare klassning; kontrollera synkronisering, Configuration source, märkning och prestanda.
Vilken funktion löser vilket problem?
QoS med CoS/DSCP prioriterar röst/video men skapar inte bandbredd. Bandwidth control begränsar en port utan prioritetsgaranti. Storm control begränsar broadcast och okänd multicast/unicast, men låga trösklar påverkar legitim trafik. Policies klassar via protokoll, MAC, IP, VLAN eller tjänst om match och binding är rätt. QoS syns först när köer konkurrerar om samma utgång; Storm Control bedömer tre klasser separat.
Förutsättningar och ändringsplan
Switchen måste vara registrerad, nåbar och synkroniserad. Varje Fusion-hanterad switch kräver giltig Sophos Switch Support and Services; utan den fungerar lokal hantering men inte Fusion-ändringar. Se Registrera Sophos Switch i Sophos Fusion (tidigare Sophos Central). Kontot måste få skriva; lokalt skriver Privilege type: Admin, medan Privilege type: User bara läser. Välj en styrande konfigurationsyta före start och undvik parallella lokala ändringar, eftersom lokala ändringar inte automatiskt synkroniseras till Sophos Fusion.
Dokumentera switch/port/VLAN/motpart, hastighet, normal- och topplast, applikationer, CoS/DSCP och köer, status/scheduler/trust/åtta vikter, portvärden, policyer, Configuration source, baslinje, fönster och återställningsväg. CoS enligt IEEE 802.1p finns i VLAN-taggens 3-bitarsfält (0–7), medan DSCP finns i IP-huvudets 6-bitarsfält (0–63); otaggad trafik har ingen 802.1p. Kontrollera taggning och PVID via Konfigurera Sophos Switch VLAN säkert.
Not set är ingen avstängning
Not set låter lokal konfiguration gälla för Status, Scheduling method, CoS, Trust state, gränser och Storm Control. Välj ett uttryckligt värde för central styrning, kontrollera Configuration source och dokumentera först det lokala värdet.
Heltäckande exempel
Detta är en anpassningsbar testplan, inte Sophos-standard. Port 12 ansluter en hanterad router som normaliserar röst till DSCP 46 och övrigt till 0; utgången är uplänk 48. Mätningar: 72 Mbit/s normalt, 84 Mbit/s topp, broadcast 640 kbit/s på en 100-Mbit/s-väg. Namnge köerna Q1–Q8, mappa 46 till Q7 (“Voice”), 0 till Q1 (“Best Effort”). Första WRR-testet: Q7=24, övriga=8 (relativt 3:1, inte procent eller garanti). Ange Ingress (kbps)=92400, Broadcast (kbps)=800; behåll övriga startvärden och kopiera inte till uplänken utan mätning.
Konfigurera QoS globalt
1. Välj Status och Scheduling method
Enabled aktiverar centralt, Disabled stänger av, Not set använder lokalt. Strict priority betjänar högre prioriterade köer först; lägre köer betjänas först när de högre är tomma. Det kan svälta lägre köer vid varaktig hög belastning. Välj detta bara om den högt prioriterade lasten är begränsad och risken för övriga köer har testats. WRR använder Queue weight 0–128; Sophos dokumenterar inte exakt effekten av 0. Använd 0 bara om effekten har verifierats separat för aktuell modell och firmware. Planera annars ett värde över 0 för varje kö som behövs och kontrollera under konkurrerande last att alla betjänas. Vikterna är relativa, inte kbit/s eller procent; i exemplet Q7=24, övriga=8.
2. Ange Trust mode
DSCP använder Layer 3, 802.1p CoS i VLAN-taggen och 802.1p-DSCP kan översätta mellan dem när detta ingår i det dokumenterade helhetskonceptet. Ett Trust mode korrigerar inte felaktig eller missbrukad märkning. Lita på DSCP endast från en tillförlitlig eller verifierat normaliserad källa.
⚠️ Portens Trust state gäller bara inkommande CoS/802.1p. Untrusted skyddar inte mot endpoint-DSCP. Tvinga/normalisera uppströms eller använd inte Trust mode: DSCP.
Exemplet är tillåtet eftersom IT hanterar routern och infångningar bekräftar 46 och 0. Spara med Update.
Mappa CoS och DSCP till köer
CoS mapping
Typisk fallande ordning: 7 network control, 6 röst/videosignalering, 5 röst, 4 video, 3 kritiska applikationer, 2 hög data, 1 medel, 0 best effort. Det är ingen rekommendation: fånga verkliga värden, mappa observerade och välj Update. DSCP-exemplet använder ingen CoS-mappning; befintliga CoS-mappningar lämnas därför oförändrade.
DSCP mapping
Motsvarande intervall är 56–63, 48–55, 40–47, 32–39, 24–31, 16–23, 8–15, 0–7. Prioritera bara värden som nätet avsiktligt tilldelar; prioritera inte hela ett högt intervall utan verifiering. Kontrollera separat vilka värden endpoint, telefoni, brandvägg och WAN sätter och bevarar. I exemplet 46→Q7 och 0→Q1; välj Update och följ dem till uplänk 48.
Konfigurera portar
1. Ange CoS och Trust state
Välj CoS 0–7, Trust state: Trusted endast för kontrollerad märkning, annars Trust state: Untrusted; Not set använder lokalt. Kontrollera Configuration source. Detta gäller bara CoS/802.1p.
2. Ange Bandwidth control
Egress (kbps) begränsar utgående, Ingress (kbps) inkommande. Värden är multiplar av 16 mellan 16 och 10.000.000; 0 stänger av riktningen och Not set använder det lokala värdet. Utgå från uppmätt normal last inklusive legitima toppar och välj en gräns över dessa men under kapaciteten som ska skyddas. Avrunda till en tillåten multipel av 16. Ändra bara den riktning som behöver begränsas och testa innan fler portar ändras. Exempel: Ingress (kbps): 92400, egress oförändrat. Välj Update och kontrollera källan.
3. Ange Storm control
Begränsa separat Broadcast (kbps), unknown Multicast (kbps) och unknown Unicast, alla i kbit/s med samma intervall; 0 stänger av klassen och Not set använder den lokala konfigurationen. Mät, avrunda till 16 och testa DHCP, namnuppslagning, discovery och multicast. I exemplet ändras bara Broadcast (kbps) till 800.
Lägg bara till en QoS-policy vid behov
Öppna QoS > Policies > Add policy och fyll endast i nödvändiga kriterier: Class name för ett unikt policynamn; Ports binding för berörda portar; käll- och måladresser under MAC address och IP address; VLAN och VLAN-prioritet; Service med Ethertype och Service type; Protocol från listan eller Custom för ett definierat IANA-IP-protokollnummer; samt Action och värdet som åtgärden tilldelar. Ethertype anger protokollet i Ethernet-ramens nyttolast; Service type använder DSCP för trafikidentifiering. Kontrollera åtgärd och värde mot QoS-planen och överför ingen odokumenterad åtgärd från en annan Sophos-produkt. Exemplet behöver ingen policy. Välj Save och jämför Ports binding, Binding source, matchningskriterier, Action, tilldelat värde och Configuration source med planen; redigera via Class name, ta bort med Delete policy.
Validera effekten
1. Kontrollera konfigurationen
Verifiera status, scheduler, åtta vikter, trust, mappningar, gränser/storm och källor; ladda om efter synkronisering.
2. Kontrollera märkning och kömappning
Fånga CoS/DSCP vid en lämplig mätpunkt och jämför värdet med mappningen. Mappningen kan inte klassificera en saknad märkning som planerat; anta inte att endpointens CoS-märkning bevaras på en Untrusted-port. Skicka hög DSCP från en opålitlig endpoint genom normaliseringen. Fånga före och efter normaliseringen och testa under kontrollerad trängsel om den otillåtna märkningen ändå når den höga kön; om kontrollen inte fungerar ska Trust mode: DSCP inte införas.
3. Testa QoS under kontrollerad belastning
Mät latency, jitter, förlust och throughput utan och med best effort på samma utgång. Bara trängsel bevisar att Q7=24 skyddar röst och köer med 8 fortfarande betjänas.
4. Testa gränser och Storm Control
Belasta en riktning; den uppmätta nyttodatagenomströmningen får inte överstiga 92400 kbit/s. Protokolloverhead och mätmetod kan ge en något lägre applikationsgenomströmning. Skapa aldrig en okontrollerad produktionsstorm. Använd en begränsad isolerad last som inte äventyrar normala tjänster. Testa att legitima toppar fungerar och last över 800 begränsas; kontrollera ARP, DHCP, DNS, discovery och multicast. Dokumentera eventuella port- eller droppräknare om modellen erbjuder dem; de är inget allmänt obligatoriskt fält.
Drift och livscykel
Granska efter firmware-, topologi- eller applikationsändring. Dokumentera mappningar, vikter, trust, mätning/reserv, policyägare/match/binding/åtgärd/borttagning, resultat, undantag och Configuration source. Läs om och upprepa berörda tester efter uppgradering eller byte.
Vanliga problem
Röst eller video prioriteras inte trots QoS
Kontrollera Enabled, infångning, Trust mode, CoS Trust state eller DSCP-kontroll, mappning, scheduler, åtta vikter och att samma utgång överbelastas.
Lågprioriterad trafik upphör helt
Vid Strict priority, sök en ständigt upptagen högre kö; ta bort orsaken eller planera WRR. Vid WRR kontrollerar du alla åtta vikter mot planen, ersätter 0 för en kö som behövs om den tidigare begärda verifieringen saknas och upprepar sedan konkurrenstestet för varje kö som behövs.
Genomströmningen är oväntat låg
Kontrollera om Ingress (kbps)/Egress (kbps) växlats, kbit/s, multipel av 16 och lokalt värde bakom Not set; återställ startvärdet och testa policy/mappning/scheduler.
DHCP, ARP eller discovery fallerar efter Storm Control
Återställ bara berörd klass, mät legitim topp och beakta uplänkens aggregering. Höj inte alla tre samtidigt.
En policy matchar inte eller fångar för mycket
Verifiera Ports binding, Binding source, riktningar, VLAN, Ethertype, DSCP Service Type, protokoll, Custom IANA-nummer och Action mot infångningar; snäva in stegvis.
Sophos Fusion visar värden men beteendet avviker
Kontrollera synkronisering, målswitch, Configuration source, lokala värden bakom Not set och Binding source.
Återställning
Not set, 0 och Disabled är inte synonymer. Ta bort ny policy med Delete policy eller återställ och Save; återställ sedan Ports > Storm control, Ports > Bandwidth control, CoS/Trust state, mappningar, Trust mode, Scheduling method, vikter och Status. Välj Update, invänta synkronisering och upprepa tester av hantering, applikationer, röst/video, DHCP, DNS och multicast. Vid hanteringsavbrott ska inga fler ändringar göras via samma instabila väg. Använd den förberedda oberoende åtkomsten, återställ först det senast ändrade portvärdet och verifiera alla konfigurationskällor samt belastningstestet.