业务板对象组限制

报错日志解读

PFILTER/3/PFILTER_IF_NOT_SUPPORT: Failed to apply or refresh IPv4 ACL 3002 rule 16 to the inbound direction of interface vlan‑interface9. The ACL is not supported. Board state changed to Normal on slot 2, type is LSXM3CGQ18SF2

现象：slot2 这块 LSXM3CGQ18SF2 业务板上电注册时，尝试把 Vlan‑interface9 inbound 绑定的 ACL3002 灌入该芯片 TCAM，下发失败报不支持；其他老板卡可以正常下发。 ACL 规则：rule 16 permit tcp source object‑group ZKFC destination 10.1.1.1 0 destination‑port eq 1521，规则里面引用了ip 对象组 object‑group。

根本限制（R8056P08 版本硬件芯片约束）

1. 物理二层接口（G/10G/40G/100G 口）packet‑filter inbound/outbound：支持带 object‑group 对象组的 ACL，硬件下发
2. Vlan‑interface（SVI 三层虚接口）下 packet‑filter inbound：LSXM3CGQ18SF2 新一代芯片，R8056P08 基线不支持引用object‑group的 ACL 做硬件报文过滤H3C。

• 配置命令可以正常敲进去，CLI 不报错；
• 老款业务板芯片可以正常下发；
• 新板 LSXM3CGQ18SF2 上电，同步硬件表项直接失败输出 PFILTER 告警；
• 下发失败这条 rule 会落到 CPU 软件转发处理，大流量场景 CPU 冲高丢包，不建议长期带病运行。

注意：不是板卡硬件故障，不是 object‑group 配置写错，是该版本芯片对 SVI+inbound + 对象组 ACL 存在硬件规格限制。

验证手段

1. 将 rule16 改写，去掉 object‑group，直接写 source 网段 / 主机，保存配置，复位 slot2 板卡，告警直接消失。

rule 16 permit tcp source 【实际网段】 destination 10.1.1.1 0 destination‑port eq 1521

2. 查看硬件下发状态：

display packet‑filter interface Vlan‑interface 9 inbound display acl hardware 3002

报错发生时，LSXM3CGQ18SF2 所在 slot，该 rule 不会出现在 hardware 表项中。

4 种可行改造方案，按优先级排序

方案 1：展开对象组，把 object‑group 拆成多条 ACE（最推荐，性能无损，硬件全部生效）

把对象组 ZKFC 里面所有 IP / 网段，一条条写进 ACL3002，不再引用source object‑group ZKFC。

适合对象组内条目不多的场景，全部硬件 TCAM 转发，CPU 无压力，所有业务板卡兼容。

方案 2：把 packet‑filter 从 SVI 迁移到物理接入二层接口

删除 Vlan‑interface9 下的packet‑filter 3002 inbound； 在接入终端的物理端口下配置packet‑filter 3002 inbound。

✔物理接口支持 object‑group，不再报告警； ❌缺点：多个接入端口需要重复绑定 ACL，维护工作量变大。

方案 3：改用 MQC 流策略（traffic classifier /behavior/qos policy）绑定 SVI inbound

S125G‑AF R8056，MQC 相比 packet‑filter 对对象组的硬件支持更好，但仍存在部分芯片约束，上线前必须验证display qos policy interface Vlan‑interface 9 inbound确认硬件下发成功。

acl advanced 3002 rule 16 permit tcp source object‑group ZKFC destination 10.1.1.1 0 destination‑port eq 1521 #流分类 traffic classifier cls‑zkfc operator and if‑match acl 3002 #流行为 traffic behavior beh‑perm filter permit #流策略 qos policy pol‑zkfc classifier cls‑zkfc behavior beh‑perm #绑定SVI interface Vlan‑interface 9 qos apply policy pol‑zkfc inbound

方案 4：软件版本升级（备选，风险最高）

后续 R806x 新版本基线修复该芯片限制，SVI 接口支持带 object‑group 的 packet‑filter。

⚠升级涉及整机 / IRF，需要业务维护窗口，优先采用 1、2 方案，不优先升级。

重要误区澄清

1. ❌不是 LSXM3CGQ18SF2 完全不支持 object‑group：物理接口支持，仅 Vlan‑interface (SVI) inbound 场景受限；
2. ❌不是配置错误：CLI 可以成功保存，只是新业务板芯片 TCAM 无法加载这条规则；
3. ❌告警出现不等于业务直接断网：该条规则降级 CPU 软件处理，高流量会 CPU 高、随机丢包，存在业务风险，不能长期保留告警运行。

排查收集命令（提交 400 时一并输出）

display version display device display object‑group ip ZKFC display acl 3002 display acl hardware 3002 display packet‑filter interface Vlan‑interface 9 inbound display logbuffer level warning

该业务板LSXM3CGQ18SF2对ACL中对象组的应用存在限制，具体表现为：当ACL规则中源地址使用对象组时，若同时匹配目的IP和目的端口，会触发PFILTER_IF_NOT_SUPPORT报错，提示硬件不支持该规则下发。
排查步骤：
1. 确认业务板类型及芯片能力：
display device
display hardware internal devm
2. 查看ACL下发失败详情：
display acl all
display packet-filter verbose
debugging pfilter error
3. 验证对象组单独使用是否正常：
acl advanced 3003
rule 5 permit tcp source object-group ZKFC
原因分析：
该业务板使用的芯片对对象组与目的IP/端口组合匹配存在硬件资源限制。当源地址为对象组且同时匹配目的IP和目的端口时，需要将对象组展开为多条硬件条目，超出芯片TCAM资源或触发芯片限制。
解决方案：
1. 将对象组展开为具体地址段，直接配置：
acl advanced 3002
rule 16 permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 1521
2. 拆分为多条规则，减少单条规则复杂度。
3. 升级到最新版本，确认是否已优化该限制。
4. 如必须使用对象组，联系H3C技术支持确认该业务板芯片的具体限制规格。