現(xiàn)網(wǎng)組網(wǎng)：內(nèi)網(wǎng)---------SW---------USG2250---------ISP
USG2250作為公網(wǎng)出口上行連接運(yùn)營商，下行通過交換機(jī)連接內(nèi)網(wǎng)。
故障時(shí)，在USG2250上ping直連下一跳延時(shí)達(dá)到300多毫秒，丟包率也很高。斷開內(nèi)網(wǎng)的一個(gè)服務(wù)器后ping正常。要求分析下USG2250 ping公網(wǎng)直連下一跳延時(shí)和丟包的
自身ping延時(shí)和丟包的可能原因：
1、 管理面CPU高，上送VRP丟包；
2、 流量太大，超過轉(zhuǎn)發(fā)性能；
3、 接口協(xié)商有問題；
4、 帶寬限制，運(yùn)營商丟包。
1、在內(nèi)網(wǎng)連接服務(wù)器的時(shí)候，登錄設(shè)備檢查接口和流量情況，G0/0/0連接公網(wǎng)，自動(dòng)協(xié)商為1000Mb/s接口，G0/0/1連接內(nèi)網(wǎng)，自動(dòng)協(xié)商成100Mb/s接口。
2、檢查USG2250的CPU使用率，管理面和轉(zhuǎn)發(fā)面的CPU都不高，不會(huì)因?yàn)镃PU利用率高導(dǎo)致丟包。
3、防火墻上配置流統(tǒng)看ping的結(jié)果，防火墻本身沒有丟包，對(duì)端回應(yīng)的報(bào)文就已經(jīng)少了。從前面的信息以及流統(tǒng)分析，防火墻沒有達(dá)到性能瓶頸，自身也沒有丟包，應(yīng)該跟防火墻不相關(guān)。
4、但是公網(wǎng)出口帶寬有50M，實(shí)際經(jīng)過防火墻只有11M，斷開內(nèi)網(wǎng)服務(wù)器ping又正常.
5、協(xié)調(diào)客戶斷開內(nèi)網(wǎng)服務(wù)器進(jìn)行對(duì)比測試，對(duì)于防火墻來說，唯一的差別就是流量大小由原來的11M降低到0.1M，ping就正常了
6、在防火墻上配置car對(duì)出口流量限流測試，限流5M，ping就立刻正常，刪除限流策略，ping延時(shí)又增加。逐步調(diào)整car的配置，調(diào)整到限流7M時(shí)，ping也正常，再擴(kuò)大就延時(shí)正常。
7、從測試結(jié)果很明顯能夠確認(rèn)，USG2250實(shí)際的公網(wǎng)出口帶寬大于7M的流量就開始在運(yùn)營商側(cè)丟包。所以問題的根本原因就是運(yùn)營商帶寬不足導(dǎo)致。
無