ACL下发失败，部分规则不生效

不需要

型号为S6850-56HF-G的交换机，配置明细 ACL（编号3724，约94条规则），并将其绑定在16 VLAN接口入方向（packet-filter 3724 inbound）。开始的时候显示acl资源还有剩余，但是配置下发acl会报错。后配置ACL时设备长时间卡顿，随后提示刷入成功，但仍有部分规则没有下发成功。

图1：故障现象——显示规则 503、504 及 4000 等为Failed

display  qos-acl resource 

Interfaces: WGE1/0/1 to WGE1/0/24, HGE1/0/25 to HGE1/0/28 (slot 1)

---------------------------------------------------------------------

 Type             Total      Reserved   Configured Remaining  Usage

---------------------------------------------------------------------

 VFP ACL          1024       256        0          768        25%

 IFP ACL          18432      7680       6136       4616       74%

 IFP Meter        3072       768        0          2304       25%

 IFP Counter      18432      7680       0          10752      41%

 EFP ACL          2048       0          0          2048       0%

 EFP Meter        1024       0          0          1024       0%

 EFP Counter      1024       0          0          1024       0%

1.确认故障现象：先通过 display packet-filter statistics 确认规则”Failed“以及接口绑定关系，明确故障为“部分 ACL 条目未下发成功”。

2.排除配置错误：核对ACL 3724规则内容与接口绑定命令，确认配置本身正确，排除语法/绑定问题。

3.排查资源层面：查看 display qos-acl resource，IFP ACL 利用率 74%，但“剩余 4680”看似仍有空间，与“下发失败”现象矛盾——因此重点怀疑“资源统计口径”与“实际可分配空间”不一致。

4.从日志定位直接原因：检索日志发现 free resource is not enough（apply entry 94 / free entry 0 / cur free entry 87）、bcm_field_group_config_create failed等，判定为硬件资源不足，且是ACL目标写入的组空闲不足而非整机聚合不足。

5.结合部署形态推理根因：同一ACL 3724 被16个接口以单模式应用，每个接口各占一份TCAM资源，重复占用导致资源耗尽；靠后的、匹配较复杂的 L4 规则优先失败。

【Slot01 2026/09/04 17:47:56:853378 [LINE:13610-TASK:aclmgrd-FUNC:Drv_Qacl_Soc_Free_Resource_Is_Enough]:free resource is not enough ,ulRet 0,uiUnit 0 apply entry 16 meter 0 counter 0 , free entry 0 free meter 2304 free counter 0 cur free entry 2  cur free meter 0 cur free coutner 72704 

Slot01 2026/09/04 17:47:56:853463 [LINE:14001-TASK:aclmgrd-FUNC:Drv_Qacl_Soc_SingleMode_Install_Is_Enough]:uiUnit=0 ,stage 2,i 0,ResFlag 1 】

6.确定验证手段：以 display qos-acl resource、display packet-filter statistics、display logbuffer 三者为改前/改后对比依据。

为 16 个接口统一增加 share-mode，使相同 ACL 共享一份资源：

interface Vlan-interface 204

 undo packet-filter 3724 inbound

 packet-filter 3724 inbound share-mode

保证16 个接口配置一致（避免共享/单模式混用）

验证：

display qos-acl resource：IFP ACL 利用率显著下降；

display packet-filter statistics interface Vlan-interface204 inbound#验证原Failed规则恢复成功；

display logbuffer#验证不再出现 free resource is not enough、bcm_field_group_create failed。

若资源仍不足，则减少挂载接口数量，或精简/合并规则以汇总网段替代逐条规则

注意：在vlan接口下面配置包过滤，share-mode有个最大的限度，最多只能配置三组