某局点S10512X-G ACL资源不足问题

故障现象

• 现象描述：客户现场在子接口 GigabitEthernet1/3/0/1.1915 下下发策略路由 ip policy-based-route PE-NAC-Global 时，系统提示 "Not enough resources to complete the operation in chassis 1 slot 3."，策略路由下发失败。

• 触发条件：Slot3 板卡已成功下发策略路由 xxx、yyy后，在新增子接口下下发策略路由 zzz时触发。

• 现象特征：待下发的 acl 2002（xxx）共 884 条 rule（与已成功下发的 xxx 引用的一致，总计约 930 条，大部分为主机地址）；查看该板卡资源信息，发现 ACL 资源剩余 59%。

从策略路由下发失败的报错 "Not enough resources" 入手，优先检查 Slot3 板卡 ACL 硬件资源使用情况（执行 display hardware internal qacl show acl-resc 确认 PBR 资源占用），并对比已成功下发的策略路由 xxx与下发失败的 yyy所引用 ACL 的一致性，判断是否因 ACL 规则数量过多导致资源不足。

2. 关键命令与输出

• display hardware internal qacl show acl-resc chassis 1 slot 3 chip 0：查看板卡 ACL 硬件资源占用。输出显示 IACL 0~2 分别被 SYSTEM、SYS CID、EXCP 系统组占用，IACL 3（GroupType: PBR）中 xxx已用 904 条。

• 查看板卡资源信息，ACL 资源剩余 59%。

• 确认板卡信息：1/3 LSEM1GP40TS12SD0-G3，状态 Normal

acl 2002规则数量过多（rule 1~884，总计约 930 条，大部分为主机地址），SD 单板 ACL 硬件资源不足以再承载新增策略路由 的等价 ACL 规则，导致下发时报 "Not enough resources to complete the operation in chassis 1 slot 3."。

1. 精简合并 ACL 规则：对 acl 2002 进行精简、合并，尽量减少 rule 个数，从源头降低 ACL 硬件资源占用。

2. 使用 QoS local-id 优化：通过 QoS local-id 将部分规则迁移至 SCL 资源，最多可转移 256 条 rule，缓解 ACL 资源压力。

3. 启用 user-acl-enhance 模式：776x 版本 SD 单板支持 user-acl-enhance 模式，单板入方向共 8 个 slice，前 4 个 slice 每个资源 1536，后 4 个 slice 每个资源 512；默认系统规则占用前面容量大的 slice，配置 user-acl-enhance 后系统规则优先占用后面容量小的 slice，将容量大的 slice 留给用户 ACL 使用，从而扩大用户可用的 ACL 资源。