S7510X-G交换机Portal免认证规则过多导致TCAM资源不足、用户认证异常
- 0关注
- 0收藏 43浏览
组网及说明
不涉及
告警信息
Portal认证异常期间，交换机出现以下日志：
%Oct 8 14:56:23:804 2026 waiwanghexin PORTAL/4/RULE: -Chassis=2-Slot=0; Not enough resources.
%Oct 8 14:56:25:079 2026 waiwanghexin PORTAL/4/RULE: -Chassis=1-Slot=0; Not enough resources.
同时存在TCAM资源不足告警：
DEV/2/BOARD_ALARM_OCCUR:
ErrorCode=425027,
Reason=Insufficient entry resources on TCAM.
资源监控日志：
RESMON/2/RESMON_USEDUP:
-Resource=igs_acl_0_0
-Total=4920-Used=4920-Free=0
问题描述
现场使用iMC进行Portal认证测试时，部分终端能够正常认证上线，部分终端需要多次认证，存在认证失败、无法正常访问网络的情况。
设备同时出现Portal规则下发资源不足告警
过程分析
1. 分析Portal模块告警
查看设备日志，发现两台IRF成员设备的Slot 0均出现PORTAL/4/RULE: Not enough resources告警，说明Portal模块在处理规则时存在资源不足的情况。
进一步查看诊断，发现设备同时出现Insufficient entry resources on TCAM告警，初步判断与交换芯片硬件表项资源有关。
2. 检查硬件资源使用情况
通过display resource-monitor查看两块业务板的资源使用情况，发现：
Chassis 1 Slot 0:
igs_acl_0_0 0/4920
Chassis 2 Slot 0:
igs_acl_0_0 0/4920
igs_acl_0_0表示入方向ACL资源，Free/Total表示剩余资源数与总资源数。
两块业务板的入方向ACL资源均已耗尽，与Portal规则下发资源不足及TCAM告警相吻合，可以确认存在ACL硬件资源不足问题。
3. 分析Portal配置及资源消耗原因
检查当前配置，发现设备在73个VLAN接口上启用了Portal认证，并配置了大量未指定生效接口的portal free-rule，例如：
portal free-rule 2001 source ip 10.100.1.240 255.255.255.240
portal free-rule 2002 source ip 10.100.2.240 255.255.255.240
portal free-rule 2003 source ip 10.100.3.240 255.255.255.240
根据故障前后配置及操作记录，原有免认证规则约77条，诊断收集时已删除其中5条。
查阅H3C Portal命令手册，未指定接口的全局免认证规则，缺省情况下会在每个启用Portal的接口上分别下发。
因此，现场大量Portal接口叠加较多全局免认证规则，导致硬件规则重复下发，消耗大量ACL/TCAM资源，最终可能影响Portal规则正常下发。
4. 结合现场调整情况确认
现场删除部分portal free-rule后，使用多台终端测试，Portal认证已能够正常完成，故障现象有所改善。
结合Portal资源不足日志、TCAM资源告警、ACL资源耗尽情况及现场调整结果，判断故障主要与大量Portal免认证规则重复下发造成的硬件资源不足有关。
解决方法
1. 优化Portal免认证规则资源占用
H3C S7500X-G R7764版本支持Portal免认证规则资源优化功能，建议在维护窗口于系统视图下配置（04-Portal命令-新华三集团-H3C）：
system-view
portal free-rule resource optimize
开启该功能后，未指定接口的Portal免认证规则可采用全局下发方式，减少规则在多个Portal接口上的重复下发，降低硬件ACL资源消耗。
2. 按需恢复免认证规则
对于现场已经删除的portal free-rule，根据实际业务需求决定是否恢复。启用资源优化功能后，可分批恢复必要规则，避免大量规则一次性下发导致资源再次耗尽。
3. 检查优化后的资源使用情况
分别查看两块业务板的ACL资源：
display resource-monitor chassis 1 slot 0
display resource-monitor chassis 2 slot 0
重点关注igs_acl_0_0的Free/Total字段，确认剩余资源是否增加，并检查Portal用户认证及业务访问情况。
附官网原文如：
1.1.51 portal free-rule resource optimize
portal free-rule resource optimize命令用来开启Portal免认证规则资源优化功能。
undo portal free-rule resource optimize命令用来关闭Portal免认证规则资源优化功能。
【命令】
portal free-rule resource optimize
undo portal free-rule resource optimize
【缺省情况】
Portal免认证规则资源优化功能处于关闭状态。
【视图】
系统视图
【缺省用户角色】
network-admin
mdc-admin
【使用指导】
应用场景
缺省情况下，在系统视图下执行portal free-rule命令配置Portal用户的免认证规则时，如果未指定免认证规则生效的接口，则该规则对所有使能了Portal功能的接口有效，系统会对每个接口都下发一遍规则。当设备上存在大量接口使能了Portal功能，并且配置了较多未指定接口的免认证规则时，按照缺省实现每条规则下发到每个接口将消耗大量的系统资源，影响正常业务运行。
为了解决以上问题，提高设备业务运行的性能和稳定性，可以开启Portal免认证规则资源优化功能。
工作机制
开启Portal免认证规则资源优化能后，系统视图下配置的未指定接口的免认证规则，不再单独遍历每个接口下发规则，只需在全局下发一条规则即可对所有接口生效，从而节约系统资源。
推荐配置
启用Portal功能后，如果配置了未指定接口的免认证规则且设备资源不足，则建议开启本功能；否则不建议开启本功能。
【举例】
# 配置Portal免认证规则资源优化功能。
<Sysname> system-view
[Sysname] portal free-rule resource optimize
【相关命令】
· portal free-rule
· display portal global-rule
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作