Полисит отлично и торренты в том числе тоже. Пузомерки показывают правильные цифры. Полиси стоят на физических интерфейсах. Фактически внутри этой десятки около 30 штук 24 сетей. Вот простой конфиг которым проверял качество резки траффика, сейчас усложнено, сделано несколько тарифных планов.
access-list 199 permit ip 10.10.0.0 0.0.255.255 any
access-list 2199 permit ip any 10.10.0.0 0.0.255.255
class-map match-any all-10-in
match access-group 2199
class-map match-any all-10-out
match access-group 199
policy-map ubrl-all-in
class all-10-in
police flow mask dest-only 1024000 128000 conform-action transmit exceed-action drop
policy-map ubrl-all-out
class all-10-out
police flow mask src-only 1024000 128000 conform-action transmit exceed-action drop
interface GigabitEthernet7/1
service-policy input ubrl-all-in
interface GigabitEthernet8/1
service-policy input ubrl-all-out
P.S. Мнение коллег о том, что для бордера и браса лучше иметь отдельные железки категорически поддерживаю.
А можно поподробнее ? :)
А то что-то пока не ясно с какого боку к этому подступиться
http://www.cisco.com/en/US/docs/switches/lan/catalyst3550/software/release/12.1_9_ea1/configuration/guide/swtunnel.html
Если только транзит, то dot-q-tunnel для каждой пары портов. Не забыть сказать на "аксесовом" порту вот такое :l2protocol-tunnel point-to-point lacp/pagp (чем у вас там etherchannel собран).
Полисит и ingress и egress на физических портах, за svi ничего не скажу - не нужно было.
пруф: http://www.cisco.com/en/US/products/hw/switches/ps646/products_tech_note09186a00800feff5.shtml
В сторону esx на свичах: spanning-tree portfast trunk.
Если собран etherchannel в сторону esx - посмотрите чтобы механизм балансировки на esx стоял ip hash и на свичах тоже, если разный нужно уровнять.
После этого если шторм повторяется цепляйте tcpdump или чем там вам удобней траффик смотреть и смотрите что там валиться.
Для размышления:
vSwitch не имеет очень многих свойств обычных свичей. Это скорее расширенный драйвер для сетевой карты не более. Но есть у него один замечательный момент - поскольку все мак адреса виртуальных машин в пределах этого конкретного сервера гипервизору известны "левый" траффик он просто дропает. Поэтому если специально не постараться причиной шторма он быть не может. За исключением случая битого железа.
Соответственно spanning-tree на нем не реализован ибо незачем, транзитного траффика нет, изучения мак адресов тоже (и так известны все).
