防火墙固件StoneOS 5.5R6，两路ISP PPPoE动态IP接入和静态IP接入，需要提供SSLVPN接入并将内网服务器发布到ISP的公网IP上，对公网直接访问和SSLVPN进行限速。山石网科的原厂工程师都搞不清楚怎么配置及其含义，所以只能通过自己实验来解决。
接口：
- PPPoE接入：配置接口绑定三层安全域（untrust），IP配置为PPPoE，因为是动态IP所以必须配置DDNS，关闭逆向路由。
- 静态IP接入：配置接口绑定三层安全域（untrust），IP配置为静态IP，关闭逆向路由。
目的NAT：
- 源Any，目的地址对于动态IP选物理端口、对于静态IP填写IP地址，服务为对外发布的端口，转换为填写内网服务器IP和端口。
安全策略：
- 源Any，目的安全域trust，目的地址为DDNS的动态域名和静态IP，服务对应目的NAT的服务。
VPN：
- 为每个ISP接入创建独立的VPN，绑定各自的接入接口，为每个ISP创建独立的不同子网的隧道接口和地址池。
iQoS配置：
- 不勾选”启用NAT IP匹配“。
iQoS策略：
- 为每一个IPS接入创建单独的第一层流控管道。
- 管道模式为整形，此模式支持带宽借用。
- 匹配条件创建两条，一条只设置目的接口为ISP接防火墙的物理端口（无论动态还是静态IP），服务选择目的NAT中的服务；另一条只设置目的地址条目为vpn的地址池。
- 流控动作是重点，在上述匹配条件下，正向流量指客户端下载、防火墙向ISP上传的流量；反向流量指客户端上传，防火墙从ISP下载的流量。
- 管道带宽是ISP分配给的带宽，特别注意对于上下行非对等的宽带一定不要设置错。
- 限制类型选限每IP，同IP下NAT的多个客户端会按照整个IP限制。
- 限流选目的IP，这里的目的IP是客户端IP、源IP是服务器IP，因要限速每个客户端所以选目的IP，正向和反向是一样的。
- 设置最小带宽，最小带宽是保证带宽，保证客户端有最基本的带宽可用。不设置最大带宽，尽可能的提高带宽利用率。
-
不勾选平均带宽，这样不能很好地利用总带宽，应该设置最小保证带宽，不限制最大带宽可以充分利用带宽。如果勾选了平均带宽，会出现20Mb总带宽，4个IP连接，只有2个IP传输数据的时候，总带宽只能跑到10Mb。如果设置了最大带宽，但最大带宽小于总带宽，在单一客户端使用的情况下，跑不满总带宽会有浪费。
在以上配置的情况下，单一客户端可以跑满总带宽，多个客户端时可以保证每个客户端至少能获得最小带宽。
