H3C S10506 Portal IPV6认证问题

一、IPv6 Portal 认证具体调用了哪些资源？

1. Portal 重定向 ACL 规则（最核心瓶颈）

• 作用：拦截未认证用户的 HTTP/HTTPS 流量，强制重定向到 Portal 服务器。
• 资源类型：ACL 硬件表项（通常是 OpenFlow Flow Entry 或 TCAM Entry）。
• IPv6 vs IPv4 差异：
  • IPv4：一条规则匹配源 IP（用户 IP）+ 目的端口 80/443。
  • IPv6：一条规则匹配源 IPv6 地址（128 bit）+ 目的端口。由于 IPv6 地址更长，一条 IPv6 规则占用的 TCAM 宽度是 IPv4 的两倍。这就导致同一个硬件芯片上可容纳的 IPv6 Portal 规则数只有 IPv4 的一半甚至更少。
• 告警对应关系：
  • PORTAL/4/RULE: Not enough resources. → 就是 TCAM/ACL 资源耗尽，无法再下发新的 Portal 重定向规则。
  • The driver does not support rule assignment. → 驱动层尝试向芯片写入规则时失败，通常也是资源不足的连锁表现。

2. ND（邻居发现）资源

• 作用：Portal 认证过程中，设备需要代理或学习用户的 IPv6 邻居信息（ND 表项）。尤其是当 Portal 采用 Direct 模式时，设备会针对每个未认证用户生成临时的 ND 条目用于流量牵引。
• 资源类型：ND 表项硬件资源（部分芯片有独立的 ND Table 大小限制）。
• 告警对应关系：
  • ND/6/ND_CONFLICT: M_FLAG is inconsistent → 这个告警虽然显示为 ND 冲突（M_FLAG 不一致），但通常是在大量 Portal 用户上线/下线时，ND 表项频繁刷新导致的间接现象，不一定直接是资源不足，但表明 ND 处理压力很大。

3. Session / Flow 表项资源

• 作用：每个 Portal 用户在未认证前，设备会为其建立一个临时会话（Session），记录其 MAC、IP、VLAN 等信息。
• 资源类型：Session 表项硬件资源（部分平台称为 FIB/Session Table）。
• 如果同时启用大量 VLAN 的 Portal，每个 VLAN 内又有多个未认证用户，Session 表项会迅速膨胀。

4. CPU 软转发资源（间接）

• 当硬件规则无法下发时，部分流量会被上送到 CPU 处理，导致 CPU 飙升，进而引发更多的超时、丢包、规则下发失败。

二、交换机上查看资源池使用情况的命令

1. 查看 Portal 规则下发状态（最直观）

• 输出解读：
  • 查看每个 VLAN 接口下 Portal 规则的总数和成功下发数。
  • 如果某个 VLAN 的规则数为 0 或远小于预期，说明该 VLAN 的 Portal 规则因资源不足未能下发。
  • 示例：
    Interface: Vlan-interface100 (IPv6) Total portal rules: 200 Active portal rules: 150 <-- 150条成功，50条失败

2. 查看 ACL 硬件资源使用情况（核心）

• 输出解读：
  • 重点看 IPv6 ACL​ 或 OpenFlow Flow​ 的占用率。
  • 如果占用率达到 90% 以上，基本就是资源瓶颈。
  • 示例片段：
    Slot 0: IPv4 ACL: Used 1024 / Total 2048 IPv6 ACL: Used 960 / Total 1024 <-- IPv6几乎满

3. 查看 ND 表项资源

• 查看当前 ND 表项总数，对比设备的 ND 表项硬件规格（S10506 单板规格通常在几千到一万左右）。

4. 查看硬件芯片资源（更底层，需诊断视图）

• 注意：诊断视图命令在不同版本可能有差异，且需要一定的权限。输出内容非常详细，包含 TCAM、Hash Table、Counter 等细分资源。
• 重点关注 TCAM Entry​ 和 Policy Entry​ 的占用百分比。

5. 查看 Portal 用户在线数

• 确认当前在线 Portal 用户数，判断是否接近硬件规格上限。

三、总结与建议

• 减少 Portal 使能的 VLAN 数量（你已经验证有效）。
• 将 Portal 使能从 VLAN 级别改为 Sub-VLAN 级别​ 或 端口级别，减少规则总数。
• 升级线卡到更大 TCAM 容量的型号（例如从 24G 线卡换到 48G 线卡）。

• 考虑使用 MAC-based Portal​ 代替 VLAN-based Portal，减少规则数量。
• 如果业务允许，迁移到 802.1X + Portal 联动​ 方案，利用 802.1X 先做准入，Portal 只做 Web 认证，降低 Portal 规则依赖。

S10506 IRF IPv6‑Portal 告警 PORTAL/4/RULE: Not enough resources
故障现象解读
plaintext
PORTAL/4/RULE: Not enough resources # Portal下发硬件规则资源耗尽
PORTAL/4/RULE: The driver does not support rule assignment # 部分芯片无法下发IPv6‑Portal硬件规则
ND/6/ND_CONFLICT: M_FLAG is inconsistent # ND报文处理受Portal规则资源不足连带影响
现象：大量 VLAN‑IF 下开启portal ipv6 enable，每开启一个 VLAN 接口，系统会自动生成一组 IPv6 Portal 硬件 ACL 规则下发到各业务板 TCAM；开启 VLAN 数量多，各业务单板 Ingress TCAM（ACL 硬件表项）被占满，无法生成重定向、放行规则，报资源不足；减少开启 Portal 的 VLAN，告警消失。
⚠️注意：TCAM 资源是每块业务单板独立，不是主控共享。告警里‑Chassis=1‑Slot=4代表 ** chassis1 的 slot4 业务板 TCAM 耗尽 **，别的板卡可能还剩余资源。
IPv6‑Portal 占用哪些硬件资源
单板 TCAM（Ingress Filter ACL 硬件表项）【核心瓶颈】
每一个 VLAN‑if 开启 IPv6 Portal，会自动生成多条动态 IPv6 ACL 硬件规则：
放行 Portal 服务器、DHCPv6、ND 报文；
HTTP/HTTPS 报文重定向；
已认证用户流量放行规则。
IPv6 的 ACL 规则条目占用 TCAM 远大于 IPv4 Portal；同样 VLAN 数量，IPv6 更容易打满硬件 TCAM 资源。
软件层面：Portal 会话表、ND 表项（次要，你的告警不是会话满，是硬件 rule 下发失败）。
关键点：该硬件资源是每块业务板独立，IRF 堆叠不会跨机箱共享 TCAM；哪个槽位报告警，就是该槽业务芯片 TCAM 耗尽。
查看资源池命令（直白查看单板 TCAM/ACL 资源）
1）查看每块单板 ACL‑TCAM 硬件资源（最关键）
bash
display qos‑acl resource chassis 1 slot 4
display qos‑acl resource chassis 2 slot 4
重点看：Total / Configured / Remaining，Remaining 接近 0 就是资源耗尽。
2）查看系统动态生成 Portal 内部 ACL（看不到 web，只能命令行）
bash
display acl ipv6 dynamic
IPv6‑Portal 生成的都是 dynamic 动态 ACL，不能手动编辑，VLAN 下 undo portal ipv6 enable 后自动删除。
3）查看 Portal 全局状态
bash
display portal
display portal interface Vlan‑interface xxx
4）收集单板芯片驱动报错信息
bash
display system‑internal errorlog slot 4
根因总结
S10500 系列，IPv6‑Portal 在 VLAN‑if 上开启，每个 VLAN 接口会向所有业务板下发一套独立动态 IPv6 ACL 硬件规则，消耗 Ingress TCAM 表项；开启 VLAN 越多，TCAM 消耗呈线性上涨。
The driver does not support rule assignment：部分板卡芯片 KEY 掩码模式对 IPv6 Portal 某些规则支持受限，叠加 TCAM 紧张，直接拒绝下发硬件规则。
ND 告警是副作用：Portal 硬件规则下发失败，ND 报文放行规则缺失，出现 ND M‑FLAG 标记异常。
生产网可行优化方案
方案 1（推荐）：不要全部 VLAN‑if 开启 ipv6 portal
不要在所有 VLAN‑interface 下敲portal ipv6 enable；
改用VLAN‑mapping / 聚合网关，只在少数三层接口开启 IPv6‑Portal，减少生成动态 ACL 数量。
不要把几十个 VLAN 全部开启 ipv6 portal，极易打满单板 TCAM。
方案 2：分离 IPv4、IPv6 Portal 部署
IPv4 Portal 可以大量 VLAN 开启；IPv6 Portal 硬件开销大，尽量收敛 VLAN 数量。
方案 3：版本优化
部分 R1200 版本对 IPv6‑Portal 动态 ACL 有优化，减少 TCAM 占用；核对版本，升级到最新稳定 R1200P 版本。
方案 4：规避硬件下发限制
如果业务允许，可开启portal ipv6 software‑forward，IPv6 Portal 规则不走硬件 TCAM，CPU 软件处理；代价：大流量场景 CPU 升高。
plaintext
interface Vlan‑interface X
portal ipv6 software‑forward
仅业务量不大场景使用，高并发不建议。
重要误区
❌不是整机全局有统一 VLAN 数量规格上限；瓶颈是每块业务板的 TCAM 硬件表项；不同业务板型号 TCAM 容量不一样。
❌IRF 堆叠不会把 TCAM 资源合并；chassis1 槽位 4 耗尽，不代表 chassis2 槽位 4 资源紧张。
❌告警Not enough resources不是 Portal 在线用户数满，是硬件 ACL TCAM 耗尽，规则无法下发芯片。
排错操作顺序
执行display qos‑acl resource chassis X slot Y确认告警槽位 TCAM 剩余；
display acl ipv6 dynamic统计 Portal 自动生成的动态 IPv6 ACL 数量；
临时 undo 部分 VLAN‑interface 下portal ipv6 enable，观察告警是否消失；
优化配置，收敛开启 IPv6‑Portal 的 VLAN 数量；必要时升级版本或开启 software‑forward 模式。