双线接入依然连接数不够，有什么办法解决吗？

[zackxu233]

最近在公司接手了网络管理的活，目前用着两台电信线路接入，一条说是不限制连接数的专线（上行 40M 下行 200M ），一条普通拨号上网的企业宽带（上行 100M 下行 1000M ）。

出口路由：TP-Link ER6220T （两条线路做负载均衡） 核心三层交换机：TP-Link SG5428 （ DHCP 服务器、VLAN ） 设备：台式电脑 + 员工手机 + 一些其他设备（大概 300 设备在线）

之前是两条普通拨号宽带，每天都有几个时间段特别慢，网页都打不开。咨询过电信和 TP 的工程师，TP 那边远程抓包分析了一周说是连接数过高才把其中一条升级到专线，好使了半年左右最近又开始了，想问问各位大佬有什么其他办法可以解决这种问题？感谢大佬们～

PS：可以加钱，也可以换设备，但最好有数据 “展示” 给领导看才能申请到费用。

[zackxu233]

@crac 啊这。。。

[zackxu233]

@wu67 这个不敢动，毕竟老板自己都经常要刷。。。QAQ

[wolffcat]

@zackxu233 op 先生！ 给你一个新思路
我看你目前做的工作都在三层方面 负载均衡...之类
鄙人说道说道你二层方面工作做了吗？
RLDP 防环路、DHCP snooping 、广播风暴抑制、单端口 MAC 数限制、arp 绑定
先生 希望你的二层设备（或者你的三层交换）带网管功能

[wolffcat]

@wolffcat 先生！打开你的 sourceCRT ！
看看交换机每个端口流量负载 峰值流量 Bps
是否满千兆载核，达到了物理极限。
如果是，考虑多端口聚合。

[wolffcat]

@zackxu233 看了一眼我单位 16 年老设备 RG-S2928G-V2 ，也许它的命令行，比 tp 功能多一些可能！我对 tp 有严重偏见。

[zackxu233]

@wolffcat 二层功能好像只打开了防环路和广播风暴抑制（我感觉没什么效果），但确实是个新思路，不过这方面的设置我确实不熟得研究下。实际环境的网线状况有些复杂，有些埋在地板里的还是上一任业主留下了的 囧

[Ipsum]

拿单位报废电脑装个爱快试试？反正之前跑 pt ，连接数 10 万+都没问题。

[duanxianze]

@zackxu233 #31 歪日 领导这是个啥奇葩理由啊

[luoyide2010]

@zackxu233 专线肯定不限制连接数，我问的是非专线那条，负载均衡后，如果非专线那条连接数超了，那么使用非专线这边的人肯定会卡，看你说部署 ADGuardHome 后有改善，本地 DNS 可以让连接数减少很多，连接数问题的可能性更大大增加了，最简单方法就是再搞条专线，联通上行 100M 下行 500M 大概五千左右，你可以考虑办一条

[lostsquirrelX]

上监控，拿数据，出报告

[xhcnb]

@zackxu233 办公室网络必须限制连接数, 可以分 ip 段单独设置, ikuai 这方面很简单

[devswork]

@MRlaopeng 如果是开发的岗，静态 DHCP 或者单独一个网段，针对这些 IP 做更高的连接数限制就好了，多个连接数限制的规则是可以同时存在的，先匹配先生效

[wolffcat]

我看到有些 V 友提出连接数超过 65535 ，非常不解，单 IP 就 65535 个端口，普通路由一个出口就 65535 个连接数，所有设备如果是单网关接入就算双出口单网关一个 IP 也限到了 65535 ，可以考虑多网关负载连接数，深信服有一套动态随机虚拟网关出口。
以/24 为例
10.10.10.0/24 下一跳 虚拟出来的网关 IP 下一条 出口专线 1
10.10.8.0/24 下一跳 虚拟出来的网关 IP 下一条 出口专线 2
直接贴华为文吧
https://support.huawei.com/enterprise/zh/knowledge/EKB1000017722
一个 NAT 地址的有效端口在 4.5 万左右，应该考虑多个 NAT 地址

[fengfisher3]

把 TP 换掉就可以解决，TP 路由器人少，个人用用还行，人一多，就是不行。
亲身经验，换路由器，一切都爽。

[shenqi]

我看了那么多回复，感觉也就 @ThirdFlame 5 楼的意见和我的一致。
需求就是让路由器做负载均衡，但是负载均衡不知道你访问的这个网站具体用的是哪个宽带，这又是一个不合理的需求场景。

按照你这个宽带场景，我猜测：看抖音小红书之类的娱乐或者普通上网，就走跑普通的宽带。对外暴露端口共外网使用（例如外部连接回来的 vpn ）的就使用专线。

而不是说所有手机连上 wifi 后自动让交换机选择走哪个宽带。

这个时候的场景就是，所有的办公设备都走普通宽带来访问互联网。这时候卡是必然的，连接数超了，因为多数中午玩手机时候看视频必然一大堆连接数然后卡顿。
唯一的解决方法就是加钱，抛弃旧的普通宽带，升级专线宽带。

[lirno]

宽带现在不贵 可以试试用爱快软路由进行负载分担 或者把办公和 WiFi 进行一些区分 或者就是做上网行为管理了 如果只是上网软路由感觉很好用

[life90]

本人经历过你这些问题。我的解决方法是这样的：
1 ，检查除连接数以外的条件是否有瓶颈。如果只是某个时段会这样，以我的经验，300 终端（我猜员工在 100 左右吧）理论上不是全打满的话。你这个配置应该是够用的。检查路由器转发，或进行压力测试。看下卡的时段，路由器 cpu 占用量是否满了。或其他交换机设备是否有瓶颈问题。
2 ，检查 dns 配置。确认上面都没有问题。dns 设置其实在你这种负债均衡的情况下尤为重要。你没说这两条宽带是否同一家运营商，如果是还好一点，如果不是。那你的负载均衡就要根据 dns 返回的结果做相应调整。不然联通跑电信去上网。在网络不拥挤的时候，他不会有卡的问题。但是一旦高峰期，这个配置就会导致卡顿。
3 ，查看本栋楼的出口带宽是多少。向管理辖区的电信师傅询问下整栋楼的出口带宽是多少。如果确认以上都没问题。大概率问题就出在这。运营商超卖宽带。超卖的结果就是，平时无问题。大流量的时候，巨卡。

[j2001588]

300 人的网络直接上华为的防火墙和三层交换机吧，作为一个管理上万人的企业网得到的经验给你参考一下，划 3 个 vlan 和 3 段内网地址区分一下，把重要的业务放在专线上跑,不重要的业务放在宽带上跑，（每个内网 IP 地址限速上行 4M ，下行 20M ）每个 IP 的连接数限制 500 个,如果还不够可以考虑限制 300 个，再低就会影响体验了,然后把 BT 封掉是关键

[datocp]

tplink 也有 qos ？？？声称带 512 个终端，面对 20mbps 的网络也无能为力。。。根本看不上 tplink ，似乎只有 ip 限速和百分比 2 种，至于内部策略到底是怎么运行的，不知道。


openwrt 使用了
1.首先 tcp/udp timeout 能设置，决定了连接何时消亡，这就是所谓的并发控制
2.如果真的有并发数限制，试过比较好的方法是 iptables limit 比较平和，也能有效的压抑流量。但是亢长的 iptables 规则匹配也非常耗 cpu
3.深入学习了 tomato 的 qos
上行按目的端口分级有效的做到高优先级业务出列

下行按有流量的 ip 拥有最高优先极，却只能使用总下行的 60%。其它流量次之却拥有 100%的流量。相比那种根据 ip 或者 ip 组来限制，做到到每秒 100%流量调用。

在动态 qos 的加持做到了保障高优先级流量，无视 p2p 的存在。市面上的路由还是没有能跑 shell 脚本的 openwrt 厉害啊。

[wolffcat]

@j2001588 终于有人和我看法一样了