请问如何在对VXLAN报文进行基于DSCP的流统

组网背景：DRNI 场景下，peer‑link（IPL）接口传输已经完成 VXLAN 封装的 UDP‑4789 报文；报文外层 IP 头携带 DSCP，内层是原始业务报文。 Comware V7 关键点：在 IPL 物理 / 聚合接口上做 ACL 流统计，不加inner关键字，匹配的就是 VXLAN【外层 IP 头 DSCP】；带上inner才匹配 VXLAN 解封之后内层业务报文 DSCPH3C。

一、区分 inner 参数（非常关键）

1. if‑match acl xxx 不带 inner：直接看 VXLAN 封装后的外层 UDP‑4789 报文 IP 头 DSCP，IPL 接口入方向流统就用这种。
2. if‑match acl xxx inner：设备先解封装 VXLAN，再匹配内层原始报文 DSCP，IPL 上不适用，适合 VXLAN 隧道出接口解封装之后。

注意：ACL 规则直接写rule permit udp eq 4789 dscp xx，就可以匹配 VXLAN 外层 DSCP；4789 是 VXLAN 目的 UDP 端口。

二、完整配置示例（IPL peer‑link 接口，统计外层不同 DSCP 的 VXLAN 流量）

⚠️约束：流策略只能应用 inbound（入方向）；V7 交换机物理接口出方向不支持 traffic‑policy 做 ACL 流统计。如果要看出方向外层 DSCP，只能在对端设备 IPL 入方向统计。

三、查看统计结果命令

display acl 3000输出里每一条 rule 后面的计数，就是对应该 DSCP 的 VXLAN 封装报文数量。

四、其他可选方式：NetStream（更适合长期采集 DSCP 流量）

如果需要长期导出、分析不同外层 DSCP 的 VXLAN 流量，使用 NetStream：

1. IPL 接口下配置ip netstream inbound；
2. 流模板包含外层 DSCP、UDP 源目的端口；
3. 上报 NetStream 服务器做分析；

注意：NetStream 在 IPL 上采集，拿到的就是 VXLAN 外层 IP 头 DSCP，不会自动解封装内层。

五、常见踩坑点

1 ❌错误：配置if‑match acl 3000 inner在 IPL 接口；inner 需要设备先解 VXLAN，IPL 收到的是封装报文，inner 匹配会全部不命中，统计为 0H3C。 2 ❌错误：把 traffic‑policy 应用在 outbound；Comware V7 物理 / 聚合接口出方向不支持 ACL 流统计，必须在入方向统计。 3 ❌混淆：VSI 视图下statistics enable只能统计该租户整体报文数，不能按 DSCP 细分统计H3C。 4. 硬件资源：多条 dscp rule 会占用 ACL TCAM；如果提示资源不足，减少 DSCP 匹配条目。 5. DRNI IPL 如果是 VXLAN‑Tunnel 类型的 IPP 接口，流策略同样应用在 Tunnel 接口 inbound，匹配逻辑一样，不加 inner 看外层 DSCPH3C。

六、快速排查步骤（统计为 0 时）

1. 确认 IPL 接口实际有 VXLAN (UDP 4789) 流量：display interface Bridge‑Aggregation 1看报文计数。
2. 确认 traffic‑policy 成功绑定在接口 inbound：display traffic‑policy interface Bridge‑Aggregation 1 inbound。
3. 去掉 inner 关键字，ACL 匹配 udp eq 4789，看display acl 3000是否有命中计数。
4. 确认芯片支持该匹配，部分老款单板不支持封装报文外层 DSCP 匹配，需要升级版本。

文档参考：《ACL 和 QoS 配置指导‑流量统计》，VXLAN 章节中inner参数说明。

对您关于在Peer-link链路上对VXLAN报文进行基于DSCP的流统以及如何查看DSCP值的问题，以下是专业解答：

一、基于DSCP对VXLAN报文进行快速转发与统计

对于VXLAN报文，H3C防火墙支持基于DSCP进行快速转发（流统），配置命令如下[15]：

使用指导要点[15]：

• 该命令只针对上送软件处理的GRE（乘客协议类型为IP）和VXLAN报文有效。
• 对于VXLAN报文，使用外层报文的DSCP替代源端口号标识数据流。
• 注意：本命令不能与NAT或负载均衡特性同时使用。

二、查看DSCP值的方法

要查看VXLAN报文中封装的DSCP值，可通过以下方式：

1. 使用抓包工具查看

DSCP值位于外层IP头的TOS字段中。可通过抓包工具（如Wireshark）在Peer-link链路上抓取VXLAN报文，查看其外层IP头的Differentiated Services Field即可获得DSCP值。

2. 确认外层报文与内层报文关系

需要特别注意的是[15]，当启用ip fast-forwarding dscp后：

• 设备识别VXLAN报文时，使用的是外层报文的DSCP值。
• 实际被VXLAN封装的内层原始报文的DSCP标记，需要通过解封装后在内层IP头中查看。
• 如果希望修改报文中的DSCP标记以区分流量，可以使用带宽通道中的重标记DSCP功能，该操作会改变初始报文中的DSCP标记，可通过抓包工具在IP层发现修改是否生效[1]。

三、关于流统的其他建议

如需在Peer-link上进行VXLAN报文的统计，还可以参考以下方式：

1. 使用NetStream VXLAN统计功能[11][14]：

   复制

   system-view ip netstream vxlan udp-port port-number

   开启后可通过display ip netstream cache命令的VNI字段查看统计结果。

2. 检查接口统计计数[19]：确认Peer-link链路两端接口的入方向/出方向报文计数是否一致，辅助判断DSCP流统结果是否生效。

总结建议

要在Peer-link上对VXLAN报文进行基于DSCP的流统，请：

1. 确保设备已配置ip fast-forwarding dscp命令；
2. 通过抓包工具查看外层IP头的DSCP字段来验证标记值；
3. 确认统计的是外层DSCP，而非内层原始报文DSCP；
4. 若需修改DSCP以区分流量，配置带宽通道中的重标记DSCP功能。