几招搞定华为防火墙提速

一、硬件与物理链路验证

1. 确认接口规格与硬件适配
   • USG12004 的接口模块（如 GE、10GE、40GE）需与实际带宽需求匹配。例如，若需 “拉满” 10GE 接口，需确保：
     • 接口模块为 10GE 光模块（如 SFP+），且型号支持 10Gbps 速率（如华为 SFP-10G-SR）；
     • 光模块与光纤类型匹配（多模光纤对应 SR 模块，单模光纤对应 LR 模块），避免因模块不兼容导致降速；
     • 接口插在设备的 “线速插槽”（高端防火墙部分插槽可能存在转发瓶颈，参考设备手册确认）。
2. 排查物理链路质量
   • 使用display interface <接口名>命令检查接口状态：
     
     

display interface 10GE1/0/1

1. • 
     关注返回的这几个参数：
     • Speed：是否为目标速率（如 10000Mbps）；
     • Duplex：是否为全双工（Full-duplex）；
     • CRC、Error计数：若持续增长，可能是光纤 / 网线故障、接口松动或光衰过大（光模块收光功率需在手册规定范围内，通常 - 14dBm 至 - 2dBm）。

二、基础配置优化

1. 关闭接口速率限制
   若接口被手动配置了速率限制（QoS 限速），会导致带宽无法拉满。检查并删除相关配置：
   
   

system-view
interface <接口名>  # 如10GE1/0/1
undo qos lr inbound  # 取消入方向限速
undo qos lr outbound  # 取消出方向限速
quit

• 配置接口速率与双工模式
  优先使用手动指定速率（避免自动协商失败导致降速）：
  
  

system-view
interface <接口名>
speed 10000  # 针对10GE接口，指定10Gbps速率
duplex full  # 强制全双工
undo negotiation auto  # 关闭自动协商（部分场景需开启，根据链路另一端设备配置适配）
quit

三、防火墙性能优化（核心）

1. 启用硬件加速（NP 转发）
   USG12004 搭载网络处理器（NP），可实现硬件线速转发。确保关键业务流量走 NP 加速：
   • 检查 NP 状态：
     
     

display np status  # 确认NP芯片正常运行（Status为Up）

• 确保 “快速转发” 功能启用（默认启用，若被关闭需重新开启）：
  
  

system-view
firewall fast-forward enable  # 启用快速转发（基于流表的硬件加速）
quit

• 精简安全功能
  以下功能会显著消耗性能，非必要场景建议关闭或优化：
  • 入侵防御（IPS）：若无需深度检测，可关闭或仅对关键流量启用：
    
    

system-view
ips global disable  # 全局关闭IPS
quit

• 应用识别与管控：复杂的应用识别规则会增加 CPU 负载，简化规则或关闭：
  
  

system-view
app-system global disable  # 全局关闭应用识别
quit

• URL 过滤、邮件过滤：非必要时关闭，或减少过滤规则数量。
• NAT 转换：若为纯路由场景（无 NAT 需求），关闭 NAT；若需 NAT，确保使用 “快速 NAT”：
  
  

system-view
nat fast-forward enable  # 启用NAT硬件加速
quit

• 调整会话表与连接数限制
  若流量包含大量并发连接（如 P2P、DDoS 测试），会话表满会导致新连接被丢弃，需调大会话表上限：
  
  

system-view
firewall session-table max-number 1000000  # 增大会话表最大条目（根据设备规格调整）
quit

四、流量与网络架构适配

1. 确保流量 “单路径” 转发
   若 USG12004 工作在双机热备（如 VRRP）或负载均衡模式，需确保测试流量仅通过单接口转发，避免流量被分流到其他接口导致单接口带宽未达满。
2. 排除上联 / 下联设备瓶颈
   USG12004 的接口带宽受限于整个链路的 “短板”：
   • 上联交换机 / 路由器的对应接口需支持相同速率（如 10GE），且无带宽限制；
   • 测试工具（如 iPerf 服务器 / 客户端）需能产生足够流量（例如，10GE 接口需至少 2 台万兆服务器并发测试，单台服务器可能因 CPU / 内存限制无法打满）。

五、性能监控与验证

1. 实时监控带宽与资源
   测试时通过命令行监控接口带宽和设备资源，确认瓶颈位置：

   # 实时查看接口流量（每秒刷新）
   display interface <接口名> traffic real-time
   
   # 查看CPU使用率（若超过80%，可能是性能瓶颈）
   display cpu-usage
   # 查看NP资源使用率（硬件转发瓶颈）
   display np usage

1. 用专业工具测试
   用 iPerf3 或 IxChariot 等工具生成大流量测试：
   • 多线程并发（如 iPerf3 使用-P 10指定 10 个并发流）；
   • 调整数据包大小（MTU=1500 时，使用-l 1470避免分片）。

六、版本和固件的优化

• 升级到官方推荐的稳定版本；
• 参考华为官方 “性能优化指南”，确认是否有针对 USG12004 的特定配置建议（如 NP 队列调整）。

总结一下下