MSR3640 CMW710‑R6749P43，开启接口 MAC 地址过滤白名单后 ping 间歇性大延迟

现象：旧版本固件同样开启 MAC 白名单过滤，业务正常；升级 R6749P43 后，开启 MAC 地址过滤白名单就出现 ping 抖动、间歇性高延迟；关闭 MAC 过滤后延迟恢复正常。

根因说明

R6749 系列版本，接口 MAC 地址过滤（mac‑address‑filter）默认走软件转发，不再硬件加速；每一个报文都要做 MAC 白名单逐条匹配校验，当内网终端数量多、报文流量大时，CPU 会被匹配计算占用，出现间歇性时延抖动、ping 跳变；旧版本该特性有硬件加速，所以同样配置无性能问题。

区分两个特性，不要混淆：

1. 接口 MAC 地址过滤（mac‑address‑filter）：接口入方向，基于源 MAC 做白名单 / 黑名单，本次故障点。
2. MAC 地址认证（mac‑authentication）：AAA 认证，是另外一套机制，不受此影响。

⚠️注意：该 MAC 过滤没有自带 accelerate 加速命令，不能像二层 ACL 那样开启加速；只能通过方案规避。

排查验证命令（确认是该特性导致）

关闭 MAC 过滤后，延迟立刻恢复平稳，就可以确认是该特性带来性能开销。

可行解决方案（按推荐优先级排序）

方案 1：替换为二层 MAC ACL（优先推荐，可开启 ACL 加速，性能好）

把接口 MAC 地址过滤白名单，改为二层 MAC ACL，在接口 inbound 调用，二层 ACL 支持accelerate硬件加速，规避软件匹配 CPU 开销H3C。

示例：白名单只允许 MAC1、MAC2 通过，其他丢弃

注意：不要同时开启 mac‑address‑filter 和二层 ACL，二选一，先 undo mac‑address‑filter enable。

⚠️限制：二层 ACL 规则数量不要过大；规则过多，加速资源会耗尽。

方案 2：继续使用 mac‑address‑filter（不推荐，性能上限低）

如果业务必须保留 mac‑address‑filter，不使用 ACL：

1. 尽量减少白名单 MAC 条目数量，条目越多 CPU 开销越大；
2. 仅在接入用户的二层接口启用，不要在 WAN 口启用；
3. 监控 CPU，当 CPU 持续 > 60%，会出现明显时延抖动。

该方式无法开启硬件加速，高并发场景下依然会有抖动。

方案 3：回退到旧版本固件

回退升级前的旧版本；但是 R6749P43 有大量安全漏洞修复，不建议长期回退。

方案 4：使用端口安全 port‑security（适合接入交换机场景）

如果是内网接入接口，可以用端口安全（port‑security），安全 MAC，硬件转发，性能不受影响。

注意：port‑security 是交换机特性，MSR 的交换模块支持；路由器三层接口不支持。

关键踩坑点

1. 升级固件后，原有mac‑address‑filter配置会保留，不会自动迁移成 ACL；升级后直接继承旧配置，就触发性能问题。
2. 很多人以为 MAC 过滤是硬件处理，R6749P43 版本该特性改为软件处理，规则越多，延迟抖动越严重。
3. 不要在 WAN 口配置 mac‑address‑filter，外网报文量大，会直接把 CPU 打高。

快速对比

表格

补充：收集信息用于 H3C 工单

如果需要提交 400，需要收集：

1. 设备型号、版本display version
2. display mac‑address‑filter all 查看过滤条目数量
3. 开启 MAC 过滤时display cpu‑usage CPU 采样
4. ping 测试抓包，确认抖动发生时机。

总结：旧版本固件 mac‑address‑filter 有硬件加速；R6749P43 该特性改为软件匹配，大量报文会占用 CPU 造成间歇性 ping 延迟。建议改用二层 MAC ACL 开启 accelerate。

升级固件后，之前一直正常使用的MAC地址过滤（白名单）功能反而导致网络出现高延迟，这很可能是因为新版本固件（R6749P43）在相关功能的底层实现上发生了变化。

这意味着，在出厂固件版本上正常的配置，在新版本上可能因为机制改变而导致性能问题。

🧐 可能的原因分析

• 软件实现差异：新固件可能在MAC地址过滤的处理逻辑、查询算法或优先级上有所调整，这在处理大量流量时，可能会引入额外的处理延迟。

• 配置兼容性问题：新旧固件对某些配置命令的解析或执行方式可能存在差异，导致原有的白名单配置在新固件下不能高效工作。

• 潜在缺陷：虽然概率较低，但也不能完全排除R6749P43版本在MAC地址过滤功能上存在未被发现的性能缺陷。

🛠️ 解决方案

建议按照以下步骤，从简到繁地进行排查和解决。

1. 首先尝试：清除并重建配置

这是最简单直接的方法，可以排除配置在升级过程中受损的可能。

1. 备份当前配置：通过命令行或Web界面备份所有配置，以防万一。

2. 关闭并保存：在Web界面或命令行中关闭MAC地址过滤功能，并执行 save 命令保存配置。

3. 重启设备：完全重启路由器，让系统在无MAC过滤的状态下初始化。

4. 重新配置：重启完成后，再次开启MAC地址过滤功能，并重新添加白名单MAC地址。

5. 观察效果：检查网络延迟是否恢复正常。

2. 调整实施方案

如果清除重建无效，可以尝试更换MAC地址过滤的实现方式。

• 方案A：改用IP Source Guard：这是一种更精细的绑定方式。

  1. 在需要做限制的接口下，使用 ip verify source 命令。

  2. 例如：ip verify source ip-address mac-address。

  3. 配合 ip source binding 命令来绑定具体的IP和MAC。

• 方案B：使用黑洞MAC：如果只是想阻止特定设备，可以使用 mac-address blackhole 命令，将特定MAC地址加入黑洞列表，这通常比基于ACL的过滤更轻量。

3. 最后手段：固件回滚

如果以上所有方法都无法解决问题，并且业务对延迟非常敏感，可以考虑将固件回退到之前稳定运行的旧版本。

• 这是一个有效的临时解决方案，可以立即恢复网络性能。

• 操作前务必备份当前配置。