現(xiàn)網(wǎng)組網(wǎng)：內(nèi)網(wǎng)---------SW---------USG2250---------ISP
USG2250作為公網(wǎng)出口上行連接運(yùn)營(yíng)商，下行通過(guò)交換機(jī)連接內(nèi)網(wǎng)。
故障時(shí)，在USG2250上ping直連下一跳延時(shí)達(dá)到300多毫秒，丟包率也很高。斷開(kāi)內(nèi)網(wǎng)的一個(gè)服務(wù)器后ping正常。要求分析下USG2250 ping公網(wǎng)直連下一跳延時(shí)和丟包的
自身ping延時(shí)和丟包的可能原因：
1、 管理面CPU高，上送VRP丟包；
2、 流量太大，超過(guò)轉(zhuǎn)發(fā)性能；
3、 接口協(xié)商有問(wèn)題；
4、 帶寬限制，運(yùn)營(yíng)商丟包。
1、在內(nèi)網(wǎng)連接服務(wù)器的時(shí)候，登錄設(shè)備檢查接口和流量情況，G0/0/0連接公網(wǎng)，自動(dòng)協(xié)商為1000Mb/s接口，G0/0/1連接內(nèi)網(wǎng)，自動(dòng)協(xié)商成100Mb/s接口。
2、檢查USG2250的CPU使用率，管理面和轉(zhuǎn)發(fā)面的CPU都不高，不會(huì)因?yàn)镃PU利用率高導(dǎo)致丟包。
3、防火墻上配置流統(tǒng)看ping的結(jié)果，防火墻本身沒(méi)有丟包，對(duì)端回應(yīng)的報(bào)文就已經(jīng)少了。從前面的信息以及流統(tǒng)分析，防火墻沒(méi)有達(dá)到性能瓶頸，自身也沒(méi)有丟包，應(yīng)該跟防火墻不相關(guān)。
4、但是公網(wǎng)出口帶寬有50M，實(shí)際經(jīng)過(guò)防火墻只有11M，斷開(kāi)內(nèi)網(wǎng)服務(wù)器ping又正常.
5、協(xié)調(diào)客戶斷開(kāi)內(nèi)網(wǎng)服務(wù)器進(jìn)行對(duì)比測(cè)試，對(duì)于防火墻來(lái)說(shuō)，唯一的差別就是流量大小由原來(lái)的11M降低到0.1M，ping就正常了
6、在防火墻上配置car對(duì)出口流量限流測(cè)試，限流5M，ping就立刻正常，刪除限流策略，ping延時(shí)又增加。逐步調(diào)整car的配置，調(diào)整到限流7M時(shí)，ping也正常，再擴(kuò)大就延時(shí)正常。
7、從測(cè)試結(jié)果很明顯能夠確認(rèn)，USG2250實(shí)際的公網(wǎng)出口帶寬大于7M的流量就開(kāi)始在運(yùn)營(yíng)商側(cè)丟包。所以問(wèn)題的根本原因就是運(yùn)營(yíng)商帶寬不足導(dǎo)致。
無(wú)