S9500交换机QACL规则已下发但是无法生效问题处理方法

H3C S9500交换机QACL规则已下发但是无法生效问题处理方法

 

一、故障处理流程

 

图1 规则已下发但是无法生效故障处理流程

二、故障处理步骤

1）步骤1

    如果配置time-range，确定是否当前为Active状态。如果是Active状态，请转步骤2。

display time-range  <timerangename>

[S9500]display time-range H3C

Current time is 15:07:42 3-16-2006 Thursday

Time-range : H3C ( Active )

 08:30 to 18:00 working-day

2）步骤2

    检查配置的规则是否正确。检查步骤如下：

    配置的规则顺序是否正确，是否存在后面的下发的规则，已经被前面过滤掉的情况。在端口模式下下发到硬件的ACL规则，采取的一次匹配原则，假设一个报文的特征同时满足该端口上下发的几条规则那么报文只会匹配其中的一条规则，匹配的原则是最先下发的那一条规则。

    如果是流量限速，检查配置的参数是否正确。单速率控制参数中CIR并不表示实际的控制速率，实际标识的是srTCM中的绿色报文速率（对于增强型单板，CIR是指实际的控制速率）。双速率控制参数中CIR实际表示trTCM中绿色报文的速率，PIR实际表示trTCM中绿色报文和黄色报文的速率和。所以如果希望做50M的限速，最好采用trTCM，将PIR配置成50M即可。另外一点令牌桶大小参数EBS和CBS尽量配置的大一些，不要配置1000、2000这样小的数值，这样会对burst报文缺少足够的缓存，建议配置数值至少上五万以上。

    如果端口下发了多种类型的流动作，每种流动作又有多条流规则。比如同时下发了多条packet-filter动作和traffic-redirect动作，而这两类动作中的流规则下发时顺序是交叉的，那么当系统重起后，配置恢复的实际顺序不再按照原先的配置顺序而是按照端口下显示的buildrun的显示顺序，先packet-filter动作，再traffic-redirect动作。特别是当配置的流规则有相互包含关系的时候需要注意这个问题，否则有可能导致系统重起后有些流规则不起作用。在具体应用ACL规则的时候需要注意回避这个问题。

如果确定配置正确，请转步骤3。

3）步骤3

    检查该规则是否为VLAN ACL规则。可以使用display current来查看规则是否为vLAN ACL。如果确定是VLAN ACL，请转步骤4。如果不是VLAN ACL，请直接转步骤5。

[H3C S9505]display current

#

vlan 2

#

vlan 100

 packet-filter inbound ip-group 3005 rule 0 system-index 1

#

interface Ethernet1/1/6

packet-filter inbound ip-group 3005 rule 0 system-index 2

4）步骤4

    检查配置VLAN ACL规则时的限制条件，具体检查如下几步：

当端口所在的VLAN和端口都下发有QACL规则时，只有端口下的QACL起作用；VLAN-ACL只有在删除端口下的QACL规则才起作用。

VLAN-ACL在XP4K单板端口下实际是不生效的。

5）步骤5

    上述步骤无法定位问题，请联系800进一步处理。