AC处于总部，AP位于分部。Msr路由器与总部F5000防火墙建立gre over ipsec隧道保护AC、AP之间的流量。AC、AP之间的流量过高导致MSR路由器的IPSEC进程很高从而使MSR路由器整体CPU利用率非常高
从配置看主要有个两个无线服务
（1）服务模板200是普通用户接入，用的是BYOD方案。
用户未真正MAC认证通过之前，流量是集中转发到AC上，做portal认证的。
这部分流量要走ipsec，但因为没有portal认证通过，按理说不会太大的流量，也就是操作系统、手机后台跑的一些流量，我们控制不了，到了AC才会被portal丢弃。Portal认证通过后，BYOD会把用户踢下线，重新MAC认证走本地转发，也就不涉及ipsec了。
（2）服务模板10是个MAC认证，走集中转发，应当是客户业务需要。
这些用户的所有流量都是要进过ipsec的。需要搞清楚这部分流量有多少，占比多大。
另外，AC上对于集中转发的VLAN，没有开启用户隔离，造成广播报文被复制到各个AP，这点确实是浪费带宽。如果走集中转发的终端没有互访需求，那么开启用户隔离，这是还可以做优化的。
从AC的有线口统计看，出方向流量较大，也就是AC->AP方向，大约是56Mbps左右。从占比看，广播复制产生的流量占了大多数。开启用户隔离，可以把下行流量明显减少。
[MasterAC-hidecmd]dis interface Ten-GigabitEthernet
Last clearing of counters: Never
Last 5 seconds input: 3910 packets/sec 724684 bytes/sec 0%
Last 5 seconds output: 39859 packets/sec 6697779 bytes/sec 1%
Input (total): 53503789 packets, 8100950329 bytes
52305734 unicasts, 720472 broadcasts, 477583 multicasts, 0 pauses
Input (normal): 53503789 packets, 8100950329 bytes
52305734 unicasts, 720472 broadcasts, 477583 multicasts, 0 pauses
Input: 0 input errors, 0 runts, 0 giants, - throttles
0 CRC, - frame, 0 overruns, - aborts
- ignored, - parity errors
Output (total): 1641563604 packets, 210620739207 bytes
1638905433 unicasts, 2458585 broadcasts, 199586 multicasts, 0 pauses
Output (normal): 1641563604 packets, 210620739207 bytes
1638905433 unicasts, 2458585 broadcasts, 199586 multicasts, 0 pauses
Output: 0 output errors, 0 underruns, - buffer failures
- aborts, 0 deferred, 0 collisions, 0 late collisions
- lost carrier, - no carrier
增加了一条配置目的是禁止来自有线“非permit-mac”发送的广播报文进行广播（有线进来的广播报文比较多）。
#
user-isolation vlan 100 enable
user-isolation vlan 100 permit-mac 0000-5e00-0102 7425-8ae9-7c60 3891-d528-2d80 7425-8ae9-7c68
user-isolation vlan 200 enable
user-isolation vlan 200 permit-mac 0000-5e00-0103 7425-8ae9-7c60 3891-d528-2d80 7425-8ae9-7c68
undo user-isolation permit broadcast
#
[MasterAC-hidecmd]dis interface Ten-GigabitEthernet
Ten-GigabitEthernet1/0/1 current state: UP
Last 5 seconds input: 1321 packets/sec 253132 bytes/sec 0%
Last 5 seconds output: 2048 packets/sec 406323 bytes/sec 0%
Ten-GigabitEthernet1/0/2 current state: UP
Last 5 seconds input: 1574 packets/sec 238387 bytes/sec 0%
Last 5 seconds output: 126 packets/sec 43724 bytes/sec 0%
至此MSR路由器CPU压力大幅度降低
通过广播隔离本地转发等优化手段减少AC、AP流量，从而减轻MSR路由器ipsec进程转发压力。