AR路由器下挂的PC打开网页慢

组网情况

现象描述

内网主机通过交换机接入AR路由器，并通过AR路由器的出接口GE0/0/1做NAT转换后访问外网，出现打开网页慢的问题。查看设备的日志，发现设备上记录了大量的DNS Reply报文因CPU阈值被丢弃的日志。

AR路由器的日志信息如下：

<Huawei> display logbuffer 2016-2-6 05:06:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1751]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=13741) 2016-2-6 05:16:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1752]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=10879) 2016-2-6 05:26:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1753]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=32302) 2016-2-6 05:36:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1754]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=21678) 2016-2-6 05:46:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1755]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=790) 2016-2-6 05:56:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1756]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=29290) 2016-2-6 06:06:16+00:00 Huawei %%01DEFD/4/CPCAR_DROP_MPU(l)[1757]:Some packets are dropped by cpcar on the MPU. (Packet-type=dns-reply, Drop-Count=44849)

原因分析

1. 检查是否是报文分片问题。在上行接口GE0/0/1上执行命令tcp adjust-mss 1400，修改接口的TCP最大报文段长度为1400，测试发现效果改善不明显。

2. 检查设备CPU使用率是否正常。执行命令display cpu-usage，发现设备CPU使用率在正常范围内。

3. 检查接口带宽使用率是否正常，接口模式是否为全双工模式。执行命令display interface GigabitEthernet 0/0/1，发现接口带宽使用率在正常范围内，接口模式Duplex为FULL全双工模式。

4. 检查NAT会话资源是否达到使用上限。执行命令display nat session number，发现NAT会话资源没有达到使用上限。

5. 检查是否是上送CPU的DNS Reply报文超过限速值的问题。执行命令packet-type dns-reply rate-limit 512修改上送CPU的DNS Reply报文的限速值为512。测试发现网页打开速度正常，问题解决。

   总结：名称为default的防攻击策略为系统自动生成的缺省策略，默认应用到设备的所有单板。由于default策略中上送CPU的DNS Reply报文的限速值为128，速率超过该值的报文都会被丢弃，所以内网主机打开网页时无法收到响应报文，网页打开慢。

操作步骤

1. 创建防攻击策略。

   <Huawei> system-view [Huawei] cpu-defend policy dns

2. 配置上送CPU的DNS Reply报文的限速值。

   [Huawei-cpu-defend-policy-dns] packet-type dns-reply rate-limit 512 [Huawei-cpu-defend-policy-dns] auto-defend enable [Huawei-cpu-defend-policy-dns] quit

3. 应用防攻击策略。

   [Huawei] cpu-defend-policy dns [Huawei] cpu-defend-policy dns global

总结与建议

在网络中，存在大量正常上送CPU的各类报文和针对CPU的恶意攻击报文。如果上送CPU的报文过多，会导致CPU占用率过高，影响CPU对正常业务的处理。创建防攻击策略，并在防攻击策略中对某种类型的协议报文进行限速，可以将该类型的协议报文限制在一个较小的速率范围内，减少对CPU的影响。缺省情况下，设备应用default策略对协议报文进行限速。default策略里的限速值一般比较小，可以使用packet-type packet-type rate-limit rate-value命令重新设置某种类型协议报文的限速值。