有搞网络硬件的 v 友吗？单位翻新网络设备，求配置指点。

[gamecmt]

某偏远地方单位，原设备已使用10年，打算重新配置网络设备，基础如下：
目前峰值为300人同时上网，100M网络带宽占满70MB（估计最高也就这个数）。很多人员表示网速严重不足。不在峰值的时候，100M网络带宽也就使用平均30MB左右。
考虑到本次更换之后要比原先网速体验要好，因此需要在不提升intel网速带宽的条件下，改善上网环境。同时希望如果未来条件变化，能够支持峰值在600人左右的上网，同时保证每个人员能够正常上网（聊天，网页，收发邮件，偶尔看点视频）。
改造预算在40-50w左右。
预想如下图：


现在的问题是俺是一个n年老菜鸟，平时也很少接触网络硬件，询问商家也多是语焉不详，因此发在这里求各位高人指点一下。
1。我这个设计合理吗？缓存服务器加上后对网页之类的浏览有无很大提升？
2。600人的网络，上认证服务器合理吗？还是说直接买台服务器用windows的radius认证就够了？
3。各位v友，你们的公司或者单位在这方面的配置是怎么样的?能否交流一下？

走过路过，谈论谈论呗。无以为报，回复必点感谢。

[Rustle]

妥妥的上台深信服，搞定。几万块钱搞定。
可认证、限速、缓存、加速。

[Pete]

弱弱的吐槽一下 为啥100m带宽占满了30MB
我不是专业人士我闪了…

[gamecmt]

@Pete 空闲是30M，峰值在70M左右，某信叫嚣100M，肯定达不到这个速度的。
@Rustle 求指点，深信服能够支持600人左右的上网不？小地方根本连摸都没有摸过这东西啊。

[mongodb]

100M只跑70M，就算出口那边打点折扣，也不至于折扣这么多。同时大家还反映严重的慢。。。真是设备跟不上了。

[gamecmt]

@mongodb 对啊，10年前左右的老设备，最新的也是09年的，所以需要更新换代了。另外，一旦上网高峰期，连网页打开都成问题的。希望的就是能在不提升带宽的情况下，让上网体验得到改善。

[datocp]

qos这块一直是在下行做基于每ip的流量限制，防止少量用户占用90%以上的带宽，上行做基于端口的qos防止p2p拥塞保证正常流量。这就是我实施过的感觉网络最好的qos了。

其实单纯的从上网体验，想改变这种体验估计在这种环境只有研究routeros系统的QOS了。
100mbps 12800kb/s / 300 = 42.7 kb/s 平均每客户端也就42.7 kb/s的流量。回到拔号时代了。如果你选择的是tplink的设备，那什么都没的玩。它的QOS策略只有基于每ip的而且是做严格的除法，300个ip每ip就只能42.7kb/s.tplink这样做是为了保证人人都有42.7kb/s的流量，如果你分配了每ip50kb/s的流量，那么当遍历这些规则时，有可能 12800kb/s / 50 kb/s = 256 ,在遍历到256时就已经使用光100mbps的流量，而后续的44个ip没流量可分配的情况。

这里存在两个问题，每个ip只有42.7kb/s的流量，而且有高达300条的遍历规则。这种包匹配存在cpu占用和匹配效率问题。所以routeros有它独家的pcq QOS，用来解决这300条规则的遍历效率问题。

QOS这块只用过第三方像dd tt openwrt之类的基于linux的tc+iptables。但是目前mips平台的cpu还是太弱了，不知道带机上限是多少，用dlink 600 b2 320mhz 刷ddwrt 10mbps光纤带过120ip。高峰时每ip只有30kb/s左右的流量，但是人人都有机会获得100%的下行流量这就是能跑shell脚本路由的灵活。routeros做为linux的变形，有它独家的pcq算法，也是可以实现基于脚本的动态qos实现的。

至于其它的企业级路由在QOS这块能实现的效果都远远不如上面这些可以运行脚本的路由。深信服这种东西没用过，公司以前有网康，这种东西更应该像是安全接入设备而不是qos设备，很多规则都是要不定时花钱更新的，效率也就那样了。用起来非常得不爽。

[gamecmt]

@datocp 非常感谢，我就是希望能够让单位的人用起来至少体验要好，能够正常办公，去咨询网络公司并不靠谱，给我们推荐的产品全是高大上的，问题是价格昂贵，而且估计只是单独机器运算量上去了，真正对我们网速体验提升不到。这个就很老火了。
比如有家公司给我们推荐一个6000的路由作为主路由器，70000的核心交换机，80000的防火墙。。。感觉就是硬凑在一起的。路由器和交换机之间价格相差好大。

[gamexg]

去参观下网吧就知道怎么搞了，大部分路由器都是用的 routeros 。
我这里是电信100M共享，高峰跑到60M，带100多台固定IP，80多PPOE拨号，软路由跑的很流畅。

主要你确定是设备问题造成的卡还是电信宽带不达标？
之前有过一次100M被调到了10M，打开网页都卡，怎么限速都没用。

[datocp]

肯发钱还怕什么，50万不是小数目。效果一定要立杆见影，不然到时候要被领导责怪了。

100mbps看起来不少，但是实际分配起来又那么不够用，所以首先能想到就只有routeros了。QOS属于识别，优先级调度，应该带600个用户上上网没问题，毕竟网络总是有一定的剩余带宽可以再次分配。可以试试去淘宝搜搜看routerboard有些卖设备的也顺带提供配置服务解决方案的，50万哦。飞都飞到你身边帮你解决了，估计也不需要这么昂贵的价格。

小单位用不到 防火墙 和 缓存服务器，认证可以直接用freeradius搭建。价格应该用不到这个数。

[gamecmt]

@gamexg 能说下你那里的配置是些什么吗？我这里峰值300台机器同时上网，有两百台左右的在高峰间会上网看视频。一旦开始，带宽就被看满了，其他上网就出现了问题。所以我打算加个缓存服务器之类的东西来缓存视频，改善上网环境。

[exploreonce]

Panabit 应该可以解决你高峰期间流量被视频占满的情况（它可以识别视频流量，把视频流量限制在一个范围，比如说20Mbps，这样子）。
建议你去官方页面了解下。

[hemingway]

同一楼推荐深信服 http://www.sangfor.com.cn/ 可以打电话咨询

[lyh3222]

其实最主要的还是qos，上防火墙吧，终端就划分vlan好了，经常需要大量网络的和其他的划分开来，p2p流量管控

[anubu]

这个价钱的话应该是个很好解决的问题，带宽都没跑满体验就这么差了，个人推测是内网有问题或者设备太老旧了。不要找本地的所谓的系统集成商，都是坑钱的。直接联系厂家，深信服，华三之类的，一般都有区域销售团队，能提供整体解决方案，从规划到实施到售后维护，这个预算还是做得下来的。

[gamexg]

@gamecmt 硬件没什么好说的，找台空闲电脑加个网卡装上routeros就好了。你要是觉得普通电脑不稳定，就上两台双机热备份，记得routeros有这个功能。我这里大约1年左右出一次硬件故障。

缓存视频？看看你是什么类型的视频，刚刚看了下优酷的，是http协议的，应该能缓存。
你可以虚拟机装个 routeros 试一下，routeros 自带透明代理功能。

感觉升级硬件还不如升级网络宽带。

[gamexg]

不过不建议缓存视频，占用空间大。

[gamecmt]

感谢各位帮助，价格其实不是我关心的问题。毕竟是招标方式进行。我主要关心的是比较搭配的参数，能够支撑所有同事正常上网。
1.希望新配置搭建完成后能够有效提升网络体验。
2.几年不出问题或者很简单就能解决。
3.照楼上几位的建议，我明天问下厂家的硬件处理方案。

[leehomsf]

图片是如何做滴？

[ryd994]

缓存效果主要看有多少重复数据
如果大家看的都是类似的内容，效果才会比较好

视频的话可否加squid反代劫持并分析？
或者qos卡长连接

[mhycy]

个人认为现有的峰值带宽情况可以忽略，毕竟跑到那个数字的时候大家都在抱怨。
至于为何网络慢希望可以在峰值的时候跑个mtr看看瓶颈出在哪。
带宽不够的话就找电信，100M只能到70M可不是个好结果。
内网路由性能不足的话自然就是这次升级所要解决的。

既然是招标，自然就要定下相应的技术参数，目测题主不是国企就是政府啊。。。
现在是希望能满足同时600人在线，因为没给出其他设备（服务器，远程教育之类的）的需求。
所以仅在满足600人在线考虑问题。（其实就是学习长城宽带）
（另，因为没接触过相应设备，所以仅给出技术方案，直接问投标人能否做到就好）

1 - 路由劫持的能力是必须的，所有HTTP通讯劫持到透明代理.DNS挟持到本地的DNS服务器。

2 - 高性能的内网HTTP透明代理，千兆甚至万兆内网出口的缓存服务器，缓存所有网站的静态资源。
（标准是劫持所有HTTP通信，只要设定了max-age的都给缓存，所以硬盘要够大）
（万兆内网平均下来600人能有 10000/600=16.67mbits 的带宽，所以磁盘性能要好，后续升级也行）
（另外，为了用户体验晚上更新数据吧，不然下个QQ都是上一年的）

3 - 为了整体资源均衡，需要一个主网关控制所有人的带宽，空闲时候给满，繁忙时候尽可能高优先级应用先过。（SYN/ACK/ICMP/DNS，允许ICMP是允许调试）
（运营商接入设备能控制每一个端口的峰值保证带宽，具体企业级有没有这能力不了解）
（为了方便管理，估计是按照部门给接入线路的吧？总交换机->部门交换机->用户）
（一级总交换机具备这个能力即可，但必须保证缓存服务器的通讯是个例外，能跑多少就跑多少）

4 - 学习网吧，接入廉价线路。
（如果公司在城区倒是有可能，在郊区给专线那就算了）
（网吧会接入一条专线保证用户低延迟，再接N条家用电信100M光纤之类的保证大家能看视频能下载）

5 - 如果存在一个部门人员技术水平较高，一定要保证这群人的用户体验。（这是后话）
（我们公司上了台行为管理系统，劫持所有HTTPS通讯，且性能极其糟糕）
（所以程序员们统统翻墙了，所有缓存机制失效~然后这货还会屏蔽端口，所以我们现在是换着端口上）

注意： 资金充足情况下，要保证从上到下（从主到次）的交换机都尽可能具有防环路的能力。
不然一个办公室的用户给你短路一下全公司都没法上网

最后，同意楼上说法，别找集成商。我们公司被集成商坑惨了，技术不行的。
（我指的集成商是只管卖，没技术的那些）