防火墙accelerate 交维检查不通过

具体反馈发上来看下  是哪个不通过

华三防火墙"交维检查"里 accelerate 项不通过，本质是安全策略 / ACL 的硬件/软件加速激活失败，交维脚本扫到加速未生效就标红。现场 90% 的 case 都落在下面两类原因里。
一、先定位是哪类 accelerate 失败
交维检查一般扫两项，先敲命令确认：
# 看安全策略加速状态
display security-policy accelerate

# 看 ACL 加速状态
display acl accelerate
报错含 Failed to accelerate IPv4/IPv6 security-policy​ → 走 §二（安全策略加速）
报错含 Failed to accelerate ACL xxxx​ → 走 §三（ACL 加速）
二、安全策略 accelerate 不通过（最常见）
🔴 根因 1：内存不足（占绝大多数）
华三安全策略加速 默认开启且关不掉，accelerate enhanced enable激活时会一次性吃不少内存，内存不够就失败，失败的那批规则不生效（这也是为什么有些现场"策略配了但 ping 不通"）。
典型中招机型 / 场景：
F1000-AK109（1G/2G 内存款）​ 跑较新版本（如 R9536P2415），官方虽写适配但实际吃紧，有案例回退到 R9510P12 解决
HCL 模拟器默认内存 < 512M，必须把虚拟机内存调到 ≥ 512M 才能过
开了多实例 / 虚墙，内存被分摊
核查：
display memory-usage
如果空闲内存偏低（尤其 < 30%），基本就是它。
处理：
物理机：加内存条，或减虚墙 / 减特性释放
虚拟机 / HCL：把内存配到 512M 以上再激活
版本有踩坑记录的机型（如 AK109 + R9536P2415）可考虑回退到稳定版本
激活命令（内存够的前提下）：
system-view
security-policy ip
accelerate enhanced enable
security-policy ipv6
accelerate enhanced enable
💡 建议所有策略配完再统一敲一次​ accelerate enhanced enable，频繁激活会反复吃内存。
🟡 根因 2：策略里用了"加速不支持"的写法
即使内存够，下面几种写法也会导致这条规则加速失效，批量里有就会让交维脚本判不通过：
安全策略里 IP 对象组包含"排除地址"或"通配符掩码"
对象组里挂了 用户/用户组​ → 这条规则直接失效、不匹配任何报文
策略规则数很多 + 内存临界，也会偶发
处理：把对象组里的排除地址 / 通配符拆成普通地址对象，或把用户组相关的策略单独拎出来。
三、ACL accelerate 不通过
如果是 ACL 加速项红，常见不支持场景：
IPv6 ACL 里用了 hop-by-hop​ 参数
一条 ACL rule 里指定了 多个 TCP flags
ACL 规则里混了不支持加速的 match 项，导致 accelerate命令开启失败
ACL 资源（TCAM）本身被其他特性吃满了
处理：
# 看哪条 ACL 加速没起来
display acl accelerate
对照上面几条改规则，或把不用的 ACL / 特性（如 QoS、PBR）清一清释放 TCAM。
四、交维检查过了之后还要确认的事
加速失败不会让流量全断，设备会回退到慢速匹配，但：
CPU 会高（大规格策略尤其明显）
新增/修改的策略如果不 accelerate，可能间隔期内不生效（下一个自动激活周期才会补）
所以交维脚本卡这一项是有道理的，建议修到 display security-policy accelerate/ display acl accelerate能看到正常状态再签字。

防火墙 accelerate 硬件加速交维校验失败、网络卡顿断流完整排查方案
一、先明确核心概念
accelerate 是 H3C SecPath V7 防火墙硬件转发加速引擎（ASIC），交维检测不通过 = 硬件加速未正常启用 / 异常失效。
后果：所有流量切到 CPU 软转发，CPU 冲高、延迟高、丢包、业务卡顿频繁断流，和用户反馈现象完全对应。
二、第一步：现场确认加速状态（故障定位入口）
1、查看全局加速总状态
plaintext
display accelerate summary

正常标准输出：
Accelerate status: Enabled（已开启）
Fast forwarding: Yes（硬件快转生效）
If 显示 Disabled/Partial/Fault，代表校验失败
2、分层查看子模块加速状态（交维校验项）
plaintext
# 1. 接口硬件加速
display accelerate interface brief
# 2. NAT/ASPF/ACL/IPS硬件加速
display accelerate feature brief
# 3. 硬件转发统计，判断流量是否走ASIC
display accelerate statistics
# 4. 加速异常告警日志
display logbuffer | include Accelerate
display logbuffer | include hardware

日志常见关键字：accelerate initialization failed、chip error、offload disabled、resource exhausted
三、四大类根因 + 对应修复（按排查优先级）
根因 1：接口配置不满足硬件加速条件（最高频交维不通过）
触发场景
接口未开启硬件转发，或接口混合特殊功能阻断加速
接口配置：QoS 复杂队列、流量监管限速、报文镜像、ACL 深度匹配、IP/MAC 绑定、URPF 严格模式、大量三层子接口
Combo 光电口混用、接口协商异常（速率双工不匹配）
校验标准（电 / 光口硬件加速生效前提）
plaintext
interface GigabitEthernet 0/0
port link-mode route
undo speed
undo duplex
# 关闭会禁用加速的功能
undo qos carl
undo qos policy apply
undo mirroring both
undo urpf strict
accelerate enable // 手动开启接口硬件加速

验证
执行后display accelerate interface brief对应接口 Fast Forward 变为 Yes。
根因 2：业务功能占用硬件资源，加速芯片资源耗尽
常见占用项
NAT Server、大量源 NAT 地址池、大数量 ACL 规则
开启 IPS/AV/ 应用控制深度检测（深度安全功能默认抢占 ASIC 资源）
RBM 双主、DRNI/M-LAG、EVPN/VXLAN 叠加部署
修复方案
分层关闭不需要的深度硬件卸载，释放资源
plaintext
# 关闭IPS硬件卸载（IPS全部切CPU，释放ASIC）
accelerate ips disable
# 关闭ASPF硬件加速
accelerate aspf disable
# 精简ACL规则，合并冗余策略，减少硬件表项占用

拆分策略：只对核心业务开启硬件 NAT，无用 NAT 删除；
若为 F1060/F1000/F1000-AK/M9000 系列，硬件规格不同，超大策略会直接导致 accelerate 校验失败。
根因 3：系统版本 BUG / 加速驱动初始化失败（交维专项常见）
现象
accelerate 全局显示 Enabled，但 feature 子项全部 Disabled，重启临时恢复、运行一段时间再次失效。
处理
查看设备版本，老基线存在硬件加速初始化 BUG：
F1060 早期 R1109、R6305 基线大量存在 accelerate 校验缺陷；
临时急救命令（不重启）：
plaintext
undo accelerate enable
accelerate enable

根治：升级到官方稳定补丁基线（F1060 推荐 R6351P06 及以上）。
根因 4：硬件故障、光模块 / 板卡异常、资源冲突
日志特征
日志持续打印 ASIC chip exception、transceiver error、硬件寄存器报错
排查步骤
更换光模块 / 网线，确认接口无物理故障；
M9000 多业务机箱：更换业务槽位、更换同型号业务板卡对比测试；
执行硬件诊断检测：
plaintext
diagnostic accelerate test

诊断返回 Fail = 加速芯片硬件损坏，需走 400 售后报修更换硬件。
四、RBM 双主组网额外专属问题（匹配你上一轮 RBM 双主场景）
RBM 会话同步表项过大，占满 ASIC 内存，加速自动降级为 Partial；
双主模式下两台设备加速状态不一致，交维平台校验两台不统一，判定不通过；
优化配置
plaintext
rbm session sync threshold 100000
accelerate session-limit adjust lower

五、临时应急恢复（用户网络卡顿断流时优先执行）
关闭深度安全硬件卸载，释放 ASIC 资源
plaintext
accelerate ips disable
accelerate app-control disable

重置硬件加速引擎
plaintext
undo accelerate enable
accelerate enable

查看 CPU，硬件加速恢复后 CPU 会明显下降，卡顿、丢包同步缓解。
六、交维检测一次性达标优化清单
所有三层接口恢复自动协商，关闭镜像、严格 URPF、复杂 QoS 限速；
精简 ACL、NAT 策略，删除无用表项释放 ASIC 资源；
非必要的 IPS / 病毒过滤硬件卸载关闭；
升级防火墙固件至官方稳定无 BUG 基线；
RBM 双主统一两台 accelerate 配置，会话同步阈值调低；
执行diagnostic accelerate test硬件诊断无报错；
最终校验标准：display accelerate summary 全部模块 Status=Enabled、Fast forwarding=Yes，无任何 Fault 提示。
极简总结
accelerate 校验不通过 = 硬件加速失效，流量软转发 CPU 冲高，直接导致网络卡顿断流；
优先排查接口功能阻断、安全功能耗尽硬件资源两大软件原因；
重启加速引擎可临时缓解，版本 BUG 需升级固件，硬件诊断失败则更换硬件；
RBM 双主场景需同步优化会话同步参数，保证两台加速状态一致，交维才能通过。