关于路由器CPU利用率过高的解决办法
发布时间：2013-07-19 17:31:09 作者：佚名 
我要评论
我要评论对于路由器CPU利用率过高有什么好的解决办法呢？很大一部分朋友都不知道如何解决这个问题。下面小编就为大家介绍一下解决这个问题的方法吧，需要的朋友可以过来参考下
第一步，show process cpu 如显示IP input process is using a lot of CPU resources,检查以下情况：
一、Fast switching
在大流量的外出接口上是否被disabled.可以用 show interfaces switching 命令察看接口流量.然后在接口上重新 Re-enable fast switching .记住 fast switching是配置在output 接口.
二、Fast switching on the same interface是否被disabled. 如一个接口配有多个网段（secondary addresses ）并且在这些网段间流量很大时 路由器工作在process-switches方式 .这种情况下要在接口上enable ip route-cache same-interface.
三、不能被fast switched的包有：switching cache没有entry的包、目的地是路由器的包、需要协议转换的包、做了policy routing的包、X.25 encapsulation的包、Multilink PPP、压缩和加密的包目的地是router的包.
举例:1.路由更新信息（取决于路由协议）过快的更新值显示网络不稳定并增加了CPU utilization. 可以用show ip route检查路由表
2.其它人登录运行命令导致大量log输出
3.Spoof 攻击.用show ip traffic 命令确认，可发现大量到本地的包.
第二步，用 show interfaces 和show interfaces switching命令识别大量包进出的端口；一旦你确认进入端口后，打开 ip accounting on the outgoing interface看其特征.如果是攻击，源地址会不断变化但是目的地址不变.可以用access list暂时解决此类问题 （最好在接近攻击源的设备上配置), 最终解决办法是停止攻击源。
一.需policy routing的包.在 Cisco IOS version 11.3以前, policy-routed packets不能被 fast switched. IOS version 11.3 以后允许 policy-routed packets to be fast switched.使用接口命令ip route-cache policy。
二.通过X.25封装的包,因为有 flow control on the second Open System Interconnection (OSI) layer.7.Compressed traffic.如没有Compression Service Adapter (CSA) in the router, compressed packets must be process-switched.8.Encrypted traffic. 如没有 Encryption Service Adapter (ESA) in the router, encrypted packets must be process-switched.
三.大量的User Datagram Protocol (UDP) 流量. 可以用解决 spoof attack的步骤解决.
四.大量组播流穿越路由器。可以enable fast switching of multicast packets using the ip mroute-cache interface configuration command (fast switching of multicast packets is off by default).
五.大量广播包。 Check the number of broadcast packets in the show interfaces command output.
六.路由器被 over-used 不能处理amount of traffic, 可以用 load among other routers 或者 考虑另购买high-end router.
七.路由器配置了IP NAT (Network Address Translation)并且有很多 DNS (Domain Name System) 包穿越 router. UDP or TCP packets with source and/or destination port 53 (DNS) are always punted to process level by NAT.
无论是什么原因导致high CPU utilization in the IP Input process, 都可以用 debugging IP packets察看.因为 CPU utilization已经较高, debugging产生的许多信息只能通过 logging buffered而不能 Logging to a console。 debugging过程不要超过 3-5秒。如果发现可疑的源可以断掉其设备的连接或者用ACL过滤到目的地的包。
一、Fast switching
在大流量的外出接口上是否被disabled.可以用 show interfaces switching 命令察看接口流量.然后在接口上重新 Re-enable fast switching .记住 fast switching是配置在output 接口.
二、Fast switching on the same interface是否被disabled. 如一个接口配有多个网段（secondary addresses ）并且在这些网段间流量很大时 路由器工作在process-switches方式 .这种情况下要在接口上enable ip route-cache same-interface.
三、不能被fast switched的包有：switching cache没有entry的包、目的地是路由器的包、需要协议转换的包、做了policy routing的包、X.25 encapsulation的包、Multilink PPP、压缩和加密的包目的地是router的包.
举例:1.路由更新信息（取决于路由协议）过快的更新值显示网络不稳定并增加了CPU utilization. 可以用show ip route检查路由表
2.其它人登录运行命令导致大量log输出
3.Spoof 攻击.用show ip traffic 命令确认，可发现大量到本地的包.
第二步，用 show interfaces 和show interfaces switching命令识别大量包进出的端口；一旦你确认进入端口后，打开 ip accounting on the outgoing interface看其特征.如果是攻击，源地址会不断变化但是目的地址不变.可以用access list暂时解决此类问题 （最好在接近攻击源的设备上配置), 最终解决办法是停止攻击源。
一.需policy routing的包.在 Cisco IOS version 11.3以前, policy-routed packets不能被 fast switched. IOS version 11.3 以后允许 policy-routed packets to be fast switched.使用接口命令ip route-cache policy。
二.通过X.25封装的包,因为有 flow control on the second Open System Interconnection (OSI) layer.7.Compressed traffic.如没有Compression Service Adapter (CSA) in the router, compressed packets must be process-switched.8.Encrypted traffic. 如没有 Encryption Service Adapter (ESA) in the router, encrypted packets must be process-switched.
三.大量的User Datagram Protocol (UDP) 流量. 可以用解决 spoof attack的步骤解决.
四.大量组播流穿越路由器。可以enable fast switching of multicast packets using the ip mroute-cache interface configuration command (fast switching of multicast packets is off by default).
五.大量广播包。 Check the number of broadcast packets in the show interfaces command output.
六.路由器被 over-used 不能处理amount of traffic, 可以用 load among other routers 或者 考虑另购买high-end router.
七.路由器配置了IP NAT (Network Address Translation)并且有很多 DNS (Domain Name System) 包穿越 router. UDP or TCP packets with source and/or destination port 53 (DNS) are always punted to process level by NAT.
无论是什么原因导致high CPU utilization in the IP Input process, 都可以用 debugging IP packets察看.因为 CPU utilization已经较高, debugging产生的许多信息只能通过 logging buffered而不能 Logging to a console。 debugging过程不要超过 3-5秒。如果发现可疑的源可以断掉其设备的连接或者用ACL过滤到目的地的包。
相关文章
国产Wi-Fi 7路由器用上歼20通讯高科技!锐捷天蝎龙勃版BE68 Ultra测评
锐捷最新发布的新款Wi-Fi 7家用无线路由器锐捷天蝎龙勃版，即BE68 Ultra Wi-Fi 7路由器，采用了歼20战斗机上面的龙勃透镜天线技术，大幅提升无线路由器的无线覆盖能力，下2024-10-14
569元! 锐捷推出天蝎龙勃版 BE68 Ultra 双频 6800M 电竞路由器
锐捷科技在京东正式推出其最新款双频6800M电竞路由器——天蝎龙勃版 BE68 Ultra，售价为569元，这款路由器的发布，将为广大的游戏爱好者和高带宽需求用户提供全新的选择，2024-10-14
手机怎么查看无线路由器是否支持kvr、mu-mimo、4096-QAM和MLO?
想要使用手机查看路由器是否kvr、mu-mimo、4096-QAM和MLO，该怎么查看呢？下面我们就来看看详细的教程2024-10-08
华为BE7和BE7 Pro有什么区别? 华为BE7路由器拆机测评
华为全新高端Wi-Fi 7路由 BE7系列正式与大家见面，通过全方位升级为用户带来“快又稳”的上网体验，今天我们就来看看华为BE7和BE7 Pro的区别测评2024-10-08
如何才能让自己的宿舍生活拥有顺畅、稳定的良好网络环境，充分满足学习、娱乐、工作需求呢？收好这份路由器使用指南，宿舍上网冲浪没烦恼2024-09-30
CPU不是6nm制程? TPLINK 7DR7250 WiFi7无线路由器拆机测评
TP-LINK 再次以技术创新引领行业潮流，隆重推出了7DR7250 易展版内置天线无线路由器，这款集高性能、易部署、广覆盖于一体的新品，不仅标志着家庭及小型办公网络迈入了全新2024-09-30
BE6500无线路由器不支持MLO开关? 华为BE7 Pro拆机测评
华为路由BE7系列是华为首款搭载飓风散热的Wi-Fi 7路由器，但华为BE7 Pro没有了NFC，下面我们就来看看这款路由器的拆机测评2024-09-30
tplink-R5010PE-EN全2.5G POE一体机路由器拆机测评
P-LINK TL-R5010PE-EN 路由器2.5G交换机一体值得购买吗？下面我们就来看看这款路由器的详细拆机测评2024-09-23
tplink-R5010PE-AC v2.0与旧版v1.1差别在哪? 路由器拆机对比
TP-LINK普联科技PoE·AC一体机TL-R5010PE-AC V2.0等了很久，一直没有发现网上有拆机帖子，下面我们就来看看详细的拆机测评2024-09-23
比R5408PE少了2个千兆口值得吗? TL-R5406PE-AC路由器拆机测评
对于偏大户型、建筑布局复杂的用户，仅靠一台路由器很难获得良好的Wi-Fi覆盖效果，今天我们来看看一款家用商用企业级路由器TL-R5406PE-AC拆机测评2024-09-23
最新评论