ACG1000 CPU100%，关闭审计对象降低 CPU 分析

现状：设备保留限速（流控），CPU 跑满 100%、内存约 60%；希望通过修改 IPv4 审计策略、关闭审计对象降低 CPU 开销H3C。

1、核心结论

1. 关闭审计策略里的审计对象，确实可以降低 CPU 开销。

审计包含 DPI 深度识别、内容解析、日志生成落盘，这部分是 CPU 消耗大户；但带宽限速（流控功能不受审计开关影响，可以继续保留生效H3C。

2. 注意区分：
   • 「免审计动作」：流量匹配策略后，不做行为审计、不生成上网行为日志，但仍然会做应用识别（应用识别是流控限速的基础，不能关闭）；
   • 完全禁用整条审计策略：不再做审计识别，但是不建议直接删除，优先调整动作；
   • ⚠️流控限速依赖应用识别，即使关闭审计对象，应用识别模块仍然运行，否则限速规则失效。

内存 60% 不算瓶颈，本次性能压力主要来自 CPU。

2、Web 界面操作（上网行为管理→安全策略→IPv4 策略）

1. 找到当前生效的审计策略；
2. 把需要减负的流量，策略动作由【审计】修改为【免审计】；

动作改为免审计之后：该部分流量不再做内容审计、不产生网页 / IM / 文件等行为日志，CPU 消耗下降；但依然识别应用，带宽限速可以正常工作H3C。

3. 不要直接删除全部审计策略，如果有合规要求，保留必要业务网段审计，其余业务设置免审计。

不建议全部流量设置免审计；按需分网段：核心业务保留审计，大流量（视频、下载）设置免审计，用来降压。

3、重点高消耗审计功能（优先关闭，降 CPU 效果明显）

1. HTTPS 解密审计：解密 SSL 报文属于重度 CPU 消耗，如非合规硬性要求，优先关闭 / 缩小解密审计范围，只针对必要 IP 段解密，不要全部流量解密。
2. 网页内容审计、IM 聊天审计、文件传输审计：这类深度内容解析 CPU 开销最大。
3. 日志本地存储：系统管理‑日志设定，关闭不需要的本地日志类别，或者把日志全部外送到外置日志服务器，减少本地硬盘写操作带来 CPU 开销H3C。

4、排查确认命令，定位 CPU 高的根因

ACG 有自动保护机制：inspect cpu‑threshold，CPU 过高会自动 bypass 深度检测，保证基础转发；如果该功能关闭，CPU 会持续 100%，业务可能卡顿、丢包H3C。

5、其他优化手段（关闭审计还不够时使用）

1. 缩小审计匹配范围：按源 IP 网段做策略，不要使用源 any 全部流量审计，仅审计需要合规的网段，大流量业务网段设置免审计。
2. 检查特征库：最近是否升级应用特征库，新版本特征库异常会拉高 CPU，可以回退旧特征库验证。
3. 日志优化：关闭本地不必要日志输出，将审计日志外送到 BA / 第三方日志服务器，减少设备本地写盘压力。
4. 确认流量是否已经达到设备规格上限：如果实际流量已经达到设备硬件性能上限，仅关闭审计只能临时缓解，长期需要硬件升级。

6、风险提醒

1. 修改为免审计之后，该部分流量不会产生上网行为审计日志，事后无法追溯上网行为，需要评估是否满足等保、内部合规要求。
2. 只关闭审计≠关闭应用识别；流控限速依赖应用识别，不要关闭应用识别引擎，否则限速策略失效。
3. 不要关闭inspect cpu‑threshold保护，该功能是 CPU 过载保护，关闭后流量大时设备容易卡死。

7、排障顺序（现场实施步骤）

1. 先记录当前 CPU 基线display cpu‑usage history；
2. 将大流量网段策略动作从【审计】改为【免审计】，提交保存；
3. 观察 5‑10 分钟，持续查看 CPU 利用率，确认是否下降；
4. 如果 CPU 改善有限，再关闭 HTTPS 解密、裁剪审计对象类别；
5. 如 CPU 依旧 100%，核查实际业务流量是否超过设备硬件规格。

总结：你的思路可行，关闭审计对象 / 设置免审计可以降低 CPU，流控限速可以保留；但是要评估审计日志缺失带来的合规风险。

可以，通过关闭或精简 IPv4 审计策略来降低 CPU 使用率是完全可行且非常有效的手段。ACG1000 在开启详细审计时，需要对流量进行深度解析和日志记录，这是 CPU 高负载的主要原因之一。

 为什么关闭审计对象能降低 CPU

审计功能（特别是应用识别和内容审计）需要设备对流量进行深度包检测（DPI），会消耗大量 CPU 资源。当你的 ACG 主要功能是限速和审计，且 CPU 已达 100% 时，精简审计范围可以直接减轻设备的处理负担。

 通过 Web 界面操作（推荐）

根据 ACG1000 的 Web 配置指导，你可以按以下路径进行操作：

1. 登录 Web 管理界面，进入 “上网行为管理” > “IPv4审计策略”。

2. 禁用或删除不必要的审计策略：

   • 你可以直接勾选不再需要的审计策略，点击 <禁用> 按钮。禁用后策略不再生效，但配置仍保留。

   • 如果确认不再使用，也可以直接点击 <删除>。

3. 精简现有策略的“审计对象”：

   • 如果必须保留某些审计策略，可以编辑该策略，进入 “审计对象” 标签页。

   • 取消勾选那些非必需的审计对象类别，例如 HTTP 网页搜索、邮件、即时通讯等。只保留你最关心的少数几类。

   • 例如，如果只需审计网页访问，可以取消邮件、IM、P2P 等对象的勾选，仅保留 HTTP 相关审计。

 通过命令行操作（备选）

如果 Web 界面无法满足需求，也可以通过 Console 或 SSH 登录设备，使用命令行进行全局关闭。部分版本的 ACG1000 支持通过隐藏命令关闭审计功能，但具体命令可能因版本而异，建议优先使用 Web 界面操作。如果需要命令行操作，建议联系 H3C 技术支持获取针对你当前版本的准确命令。

 其他优化建议

如果精简审计后 CPU 仍偏高，可以结合以下措施：

• 升级软件版本：H3C 官方知识库多次建议将 ACG1000 升级到最新版本，因为新版本通常包含针对 CPU 性能的优化和 Bug 修复。

• 评估日志级别：检查审计策略中的“日志级别”，如果设置为“信息”或更详细的级别，会产生大量日志记录，增加 CPU 负担。可以尝试调整为更精简的级别。

• 检查流量是否经过 NAT：如果 ACG 部署在 NAT 设备之后，或流量携带隧道信息，可能导致源 IP 地址过少，引起分流不均，单个 CPU 核心利用率过高。

把审计策略关了就行