S10506 做的qos转发到上网控制设备，路由过来的地址没有被转发

第一部分：路由流量未被重定向的原因与解决方案

​​根本原因​​

在H3C Comware交换机（如S10500系列）中，数据包的处理流程遵循特定的路径：

1. ​​入方向（Inbound）​​：数据包从物理端口进入。

2. ​​查表转发​​：根据目的IP地址查询路由表，确定出接口（这是三层转发）。

3. ​​出方向（Outbound）​​：从确定的三层接口（VLAN接口/路由子接口）或物理出端口发出。

您的QoS策略（重定向）很可能只应用在了​​物理端口的入方向​​。对于​​二层Trunk流量​​，它在入端口被命中ACL并重定向，流程简单。

但对于​​路由流量​​，数据包在入端口进入后，需要先经过三层路由引擎处理。​​应用在物理端口入方向的QoS/ACL策略，通常在路由查询之前生效​​。此时，数据包的目的IP地址可能还不是最终的上网控制设备地址，或者策略在路由处理过程中被绕过，导致重定向失败。

​​解决方案​​

您需要确保重定向策略在数据包转发的​​正确节点​​生效。以下是两种最可靠的方法：

​​方法一：在物理出端口（Outbound）应用QoS策略【推荐】​​

这是最直接有效的方法。无论流量是二层过来还是路由过来，最终所有需要上网的流量都会从连接防火墙或上网控制设备的那个物理端口出去。在这个端口上做重定向，可以捕获所有最终要通过它出去的流量。

​​方法二：在三层接口（VLANIF）的出方向应用QoS策略​​

如果流量结构非常复杂，您也可以在选择性的VLAN接口上应用策略。

​​配置验证步骤：​​

1. ​​检查当前策略应用位置​​：display qos policy interface查看您的策略应用在了哪些接口和哪个方向。

2. ​​移除旧的入方向策略​​：在原来的入接口上取消策略绑定。

3. ​​应用新的出方向策略​​：按上述方法在正确的出接口上绑定策略。

4. ​​验证​​：使用 display interface查看目标端口的计数是否增长，并在上网控制设备上检查是否能看到路由过来的IP地址。

第二部分：ACL规则计数不增长的原因与解决方案

​​根本原因​​

即使ACL被QoS策略调用，counting功能不显示统计值，通常有以下原因：

1. ​​硬件资源限制​​：高端交换机使用TCAM等硬件芯片来加速ACL匹配。如果规则没有完全被硬件编译或资源不足，统计功能可能无法正常工作。

2. ​​流量不匹配​​：这是最常见的原因。您的ACL规则没有匹配到任何流量。

   • 规则中的IP地址、端口号写错了。

   • 流量没有经过您应用了ACL/QoS策略的接口（方向）。

3. ​​策略未生效​​：虽然配置了，但可能未成功激活或提交给硬件处理。

​​解决方案与排查步骤​​

1. ​​首先检查ACL规则本身​​：

   display acl <acl-number>

   • 确认规则（rule）的permit语句是否正确，IP地址范围是否覆盖了所有需要重定向的流量（例如，目的IP是外网，源IP是内网网段）。

   • 确认没有配置 rule deny语句在您需要匹配的规则之前，导致流量被拒绝而不再匹配后续规则。

2. ​​使用更强大的调试工具——报文捕获​​：

   ACL计数不直观，直接在交换机上对目标流量进行捕包是最直接的验证方式。

   # 在S10506上开启捕包功能（需要指定端口和过滤条件） packet-capture interface ingress GigabitEthernet x/x/x cpu # 捕获某个入端口的流量 packet-capture interface egress GigabitEthernet x/x/x cpu # 捕获某个出端口的流量 # 设置过滤条件，只捕获特定IP的流量，例如源IP是那个路由过来的地址 packet-capture filter ip src-ip <那个路由过来的IP地址> # 开始捕包 packet-capture start # ...让流量跑一会儿... packet-capture stop packet-capture save filename test.pcap # 通过FTP/TFTP将pcap文件导出，用Wireshark分析

   ​​通过捕包，您可以清晰地看到：​​

   • 流量是否到达了您期望的接口。

   • 如果没有，说明路由或策略应用点有问题。

   • 如果到达了，但没被重定向，说明ACL规则可能不匹配。

3. ​​检查TCAM资源​​：

   display qos-acl resource

   查看是否有资源耗尽的情况。

总结与行动清单

1. ​​立即操作​​：将您的QoS重定向策略从源端口的​​入方向（inbound）​​ 移动到连接上网控制设备端口的​​出方向（outbound）​​。

2. ​​验证流量​​：使用 display interface命令查看计数，并使用 packet-capture功能直接捕获流量，确认流量路径和匹配情况。

3. ​​复查ACL​​：使用 display acl仔细检查规则配置是否正确。

4. ​​保存配置​​：确认问题解决后，记得 save。

按照这个流程，您应该能很快定位并解决路由流量未被重定向的问题。ACL计数更多是辅助，捕包才是诊断数据包转发问题的“终极武器”。

先搞清楚组网详情吧

目前主流方案中没有需要sw侧qos方式引流到行为管理的方案的。。。

另外这种105高端设备尽快联系400或供应商技术支持方便快速定位处理吧