• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

某局点SR6608路由器Portal ACL规格问题处理经验案例

2014-04-21 发表
  • 0关注
  • 0收藏 1857浏览
张玺 六段
粉丝:4人 关注:0人

一、问题现象

某局点客户在SR6608上进行Portal认证配置时,出现以下log提示:

%Feb 13 18:35:13:306 2014 SR6608-1 SHELL/6/SHELL_CMD: -Task=vt0-IPAddr=18.1.251.14-User=h3c; Command is portal free-rule 320 source any destination ip 18.106.62.77 mask 255.255.255.255

%Feb 13 18:35:13:309 2014 SR6608-1 PORTAL/4/PORTAL_ACL_FAILURE: -Slot=2; The number of ACLs on the device has reached the maximum.

%Feb 13 18:35:13:512 2014 SR6608-1 SHELL/6/SHELL_CMD: -Task=vt0-IPAddr=18.1.251.14-User=h3c; Command is portal free-rule 321 source any destination ip 18.106.63.77 mask 255.255.255.255

%Feb 13 18:35:13:515 2014 SR6608-1 PORTAL/4/PORTAL_ACL_FAILURE: -Slot=2; The number of ACLs on the device has reached the maximum.

 

二、问题分析

从以上故障信息可以初步判断,这是一个与Portal ACL规格相关的问题。

根据客户收集的诊断信息,我们首先查看其中的配置信息,观察客户都做了哪些配置。可见:

 

1、类似下面的Portal free-rule命令,共配置了200条左右。

portal free-rule 323 source any destination ip 18.106.65.77 mask 255.255.255.255

客户SR6608路由器使用的主控板为RPE-X1,可以支持1024条Portal free-rule,显然该规格可以满足客户需求。

2、客户SR6608路由器下联分支网点较多,所以使用了450个子接口与网点连接。目前已经有近100个子接口启用了Portal。

客户SR6608路由器使用的业务板卡为FIP-210,上面每个物理接口支持1024个子接口,显然该规格可以满足客户需求。

3、客户SR6608路由器配置了6个ACL,每个ACL下面有100个左右的rule。显然SR66的ACL规格也完全可以满足客户需求。

 

既然以上规格都满足要求,我们把目光投向另一个规格:Portal ACL条数。该规格包括静态rule和动态rule。这个不是指系统视图下配置的ACL num和ACL rule的规格。

Portal ACL条数的规格对RPE+FIP210而言,是20000。

通过客户的配置可以看到,Portal free-rule都是全局的,这些全局的free-rule会下发到启用Portal的每个接口。按照用户的需求(900条Portal free-rule和450个子接口),单单free-rule的Portal ACL(不包含启用Portal后默认生成的ACL以及认证用户动态生成的ACL)就要达到900*450,显然超出了20000的规格。

这样,问题终于得到定位。

 

三、问题处理方法

这个问题可以通过更改配置解决,方法如下:

 

客户配置的这些free-rule是针对每个网点的BFD和ATM,每个网点对应两条,450个网点一共900条。只需要在配置Portal free-rule的时候指定接口即可,就可以使Portal ACL的条数从900*450下降到2*450=900。

portal free-rule 0 source int  g 0/0.1 ip any destination ip 18.1.90.2 mask 255.255.255.255

 


该案例对您是否有帮助:

您的评价:1

若您有关于案例的建议,请反馈:

作者在2019-06-08对此案例进行了修订
0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作