无线设备引起MSR路由器CPU过高

1、 问题现象

AC位于总部，AP位于分部。MSR路由器与总部F5000防火墙建立GRE over IPSec隧道，保护AC、AP之间的流量。网络在使用的过程中，发现MSR路由器的IPSec进程资源消耗很高从而使MSR路由器整体CPU利用率非常高

2、 原因分析

从配置看主要有个两个无线服务，具体情况如下。

（1）服务模板200用于普通用户接入，用的是BYOD方案。

用户未真正MAC认证通过之前，流量是集中转发到AC上，做Portal认证的。这部分流量要走IPSec，但因为没有完成Portal认证，按理说不会出现太大的流量，也就只有操作系统、手机后台跑的一些流量。这些流量到了AC才会被Portal丢弃。Portal认证通过后，BYOD会把用户踢下线，重新MAC认证走本地转发，也就不涉及IPSec了。

（2）服务模板10是个MAC认证，走集中转发，应该是客户业务需要。

这些用户的所有流量都是要经过IPSec的。需要搞清楚这部分流量有多少，占比多大。

另外，AC上对于集中转发的VLAN，没有开启用户隔离，造成广播报文被复制到各个AP，这点确实是浪费带宽。如果走集中转发的终端没有互访需求，那么开启用户隔离，这是可以做优化的。

从AC的物理接口统计信息来看，出方向流量较大，也就是AC->AP方向，大约是56Mbps。从占比看，广播复制产生的流量占了大多数。开启用户隔离，可以把下行流量明显减少。

[MasterAC-hidecmd]dis interface Ten-GigabitEthernet

Last clearing of counters: Never

Last 5 seconds input: 3910 packets/sec 724684 bytes/sec 0%

Last 5 seconds output: 39859 packets/sec 6697779 bytes/sec 1%

Input (total): 53503789 packets, 8100950329 bytes

         52305734 unicasts, 720472 broadcasts, 477583 multicasts, 0 pauses

Input (normal):  53503789 packets, 8100950329 bytes

         52305734 unicasts, 720472 broadcasts, 477583 multicasts, 0 pauses

Input:  0 input errors, 0 runts, 0 giants, - throttles

         0 CRC, - frame, 0 overruns, - aborts

         - ignored, - parity errors

Output (total): 1641563604 packets, 210620739207 bytes

         1638905433 unicasts, 2458585 broadcasts, 199586 multicasts, 0 pauses

Output (normal): 1641563604 packets, 210620739207 bytes

         1638905433 unicasts, 2458585 broadcasts, 199586 multicasts, 0 pauses

Output: 0 output errors, 0 underruns, - buffer failures

         - aborts, 0 deferred, 0 collisions, 0 late collisions

        - lost carrier, - no carrier

增加了一条配置目的是禁止来自主网络“非permit-mac”发送的广播报文进行广播（有线进来的广播报文比较多）。

user-isolation vlan 100 enable

user-isolation vlan 100 permit-mac 0000-5e00-0102 7425-8ae9-7c60 3891-d528-2d80 7425-8ae9-7c68

user-isolation vlan 200 enable

user-isolation vlan 200 permit-mac 0000-5e00-0103 7425-8ae9-7c60 3891-d528-2d80 7425-8ae9-7c68

undo user-isolation permit broadcast

#

[MasterAC-hidecmd]dis interface Ten-GigabitEthernet

 Ten-GigabitEthernet1/0/1 current state: UP

Last 5 seconds input:  1321 packets/sec 253132 bytes/sec 0%

Last 5 seconds output:  2048 packets/sec 406323 bytes/sec 0%

Ten-GigabitEthernet1/0/2 current state: UP

Last 5 seconds input:  1574 packets/sec 238387 bytes/sec 0%

Last 5 seconds output:  126 packets/sec 43724 bytes/sec 0%

至此MSR路由器CPU压力大幅度降低

3、 解决办法

通过广播隔离、本地转发等优化手段减少AC、AP流量，从而减轻MSR路由器IPSec进程转发压力，路由器CPU也降了下来。

2016年11月