数据中心及园区常见型号交换机基于packet-filter下发的流统规则的经验案例

流量统计是我们在问题定位排查中常用的手段，传统的流量统计通常是我们说的MQC方式下发的accounting packet的动作。这种方式配置繁琐，且显示统计结果的时候只能基于CB统计，无法基于acl中每个rule做统计。下面我们来看下packet-filter是如何对报文进行统计的。

测试的设备和版本

V5：S5800，S125V5

V7：S5820V2，S6800，S125-X，S9800

S5800系列交换机和S125 V5系列交换机，支持出入双方向的acl匹配计数。

但是V5 设备，只能全局查询acl的匹配计数，不支持V7版本下的display packet-filter statistics 命令，如下：

[s5800]dis version

H3C Comware Platform Software

Comware Software, Version 5.20, Release 1809P11

[s5800]dis acl all

Advanced ACL  3000, named -none-, 1 rule,

ACL&＃39;s step is 5

 rule 1 permit ip source 10.1.1.10 0 counting (988 times matched)

Advanced ACL  3001, named -none-, 1 rule,

ACL&＃39;s step is 5

 rule 1 permit ip source 10.1.1.58 0 counting (930 times matched)

[s5800-GigabitEthernet1/0/16]dis this

#

interface GigabitEthernet1/0/16

 port link-mode bridge

 port access vlan 10

 packet-filter 3000 inbound

 packet-filter 3001 outbound

#

return

[s5800]dis packet-filter all inbound

  Interface: GigabitEthernet1/0/16

  In-bound Policy:

    acl 3000, Successful

[s5800]dis packet-filter all out    

[s5800]dis packet-filter all outbound

  Interface: GigabitEthernet1/0/16

  Out-bound Policy:

    acl 3001, Successful

S5820V2和S6800交换机，支持出入双方向的acl匹配计数，如下：

[H3C]dis packet-filter statistics interface GigabitEthernet 2/0/16 inbound

Interface: GigabitEthernet2/0/16

 In-bound policy:

  ACL 3000

   rule 1 permit ip source 10.1.1.10 0 counting (2788 packets)

[H3C]dis packet-filter statistics interface GigabitEthernet 2/0/16 outbound

Interface: GigabitEthernet2/0/16

 Out-bound policy:

  ACL 3001

   rule 1 permit ip source 10.1.1.55 0 counting (3080 packets)

[H3C]int gig 2/0/16

[H3C-GigabitEthernet2/0/16]dis this

#

interface GigabitEthernet2/0/16

 port link-mode bridge

 port access vlan 10

 packet-filter 3000 inbound

 packet-filter 3001 outbound

#

return

[H3C]dis version

H3C Comware Software, Version 7.1.045, Release 2422P01

S125-X系列交换机（ARAD&JR）和S98系列，支持packet filter方式入方向的acl匹配计数，不支持出方向的流量统计（计数始终是1）。

若是必须使用出方向的流量统计，则必须升级版本至R1138P01版本和R2138P01版本及之后版本，且必须使用MQC方式下发outbound方向的流量统计。

[H3C]dis version

H3C Comware Software, Version 7.1.045, Release 1138P01

[H3C]dis acl 3000

Advanced ACL  3000, named -none-, 1 rule,

ACL&＃39;s step is 5

 rule 1 permit ip source 10.1.1.68 0 counting

[H3C]dis acl 3001

Advanced ACL  3001, named -none-, 1 rule,

ACL&＃39;s step is 5

 rule 2 permit ip source 20.1.1.68 0 counting

[H3C]int Ten-GigabitEthernet 1/3/0/16

[H3C-Ten-GigabitEthernet1/3/0/16]dis this

#

interface Ten-GigabitEthernet1/3/0/16

 port link-mode bridge

 port access vlan 10

 packet-filter 3000 inbound

 packet-filter 3001 outbound

#

return

[H3C]dis packet-filter statistics interface Ten-GigabitEthernet 1/3/0/16 inbound

Interface: Ten-GigabitEthernet1/3/0/16

 In-bound policy:

  ACL 3000

   rule 1 permit ip source 10.1.1.68 0 counting (2124 packets)

[H3C]display packet-filter statistics interface Ten-GigabitEthernet 1/3/0/16 outbound

Interface: Ten-GigabitEthernet1/3/0/16

 Out-bound policy:

  ACL 3001

   rule 2 permit ip source 20.1.1.68 0 counting (1 packets)

S125X/S9800 FX板卡出方向流量统计使用限制整理：

1、必须使用R1138P01(R2138P01)（含）之后版本。

2、必须使用MQC的方式下发

3、二层转发的时候必须统计MAC地址，使用IP地址统计统计不到。

4、三层转发的时候必须统计IP地址

5、出方向的流量统计实际使用流镜像的方式实现，规格有限制，出方向的资源为6个。

6、如果是设备直连PING，则入方向上CPU统计不到，出方向需要按照匹配MAC来匹配

7、入方向上CPU的协议报文，统计不到，但可以直接看底层acl的counte记录。还有的方法，就是先去使能协议的counter（debug rxtx rxacl acltype），再看流量统计。