知

S7510X-G交换机Portal免认证规则过多导致TCAM资源不足、用户认证异常

Portal
ACL

鱼群就在前面

2天前发表

组网及说明

不涉及

告警信息

Portal认证异常期间，交换机出现以下日志：

%Oct 8 14:56:23:804 2026 waiwanghexin PORTAL/4/RULE: -Chassis=2-Slot=0; Not enough resources.

%Oct 8 14:56:25:079 2026 waiwanghexin PORTAL/4/RULE: -Chassis=1-Slot=0; Not enough resources.

同时存在TCAM资源不足告警：

DEV/2/BOARD_ALARM_OCCUR:
ErrorCode=425027,
Reason=Insufficient entry resources on TCAM.

资源监控日志：

RESMON/2/RESMON_USEDUP:
-Resource=igs_acl_0_0
-Total=4920-Used=4920-Free=0

问题描述

现场使用iMC进行Portal认证测试时，部分终端能够正常认证上线，部分终端需要多次认证，存在认证失败、无法正常访问网络的情况。

设备同时出现Portal规则下发资源不足告警

过程分析

1. 分析Portal模块告警

查看设备日志，发现两台IRF成员设备的Slot 0均出现PORTAL/4/RULE: Not enough resources告警，说明Portal模块在处理规则时存在资源不足的情况。

进一步查看诊断，发现设备同时出现Insufficient entry resources on TCAM告警，初步判断与交换芯片硬件表项资源有关。

2. 检查硬件资源使用情况

通过display resource-monitor查看两块业务板的资源使用情况，发现：

Chassis 1 Slot 0:
igs_acl_0_0    0/4920

Chassis 2 Slot 0:
igs_acl_0_0    0/4920

igs_acl_0_0表示入方向ACL资源，Free/Total表示剩余资源数与总资源数。

两块业务板的入方向ACL资源均已耗尽，与Portal规则下发资源不足及TCAM告警相吻合，可以确认存在ACL硬件资源不足问题。

3. 分析Portal配置及资源消耗原因

检查当前配置，发现设备在73个VLAN接口上启用了Portal认证，并配置了大量未指定生效接口的portal free-rule，例如：

portal free-rule 2001 source ip 10.100.1.240 255.255.255.240
portal free-rule 2002 source ip 10.100.2.240 255.255.255.240
portal free-rule 2003 source ip 10.100.3.240 255.255.255.240

根据故障前后配置及操作记录，原有免认证规则约77条，诊断收集时已删除其中5条。

查阅H3C Portal命令手册，未指定接口的全局免认证规则，缺省情况下会在每个启用Portal的接口上分别下发。

因此，现场大量Portal接口叠加较多全局免认证规则，导致硬件规则重复下发，消耗大量ACL/TCAM资源，最终可能影响Portal规则正常下发。

4. 结合现场调整情况确认

现场删除部分portal free-rule后，使用多台终端测试，Portal认证已能够正常完成，故障现象有所改善。

结合Portal资源不足日志、TCAM资源告警、ACL资源耗尽情况及现场调整结果，判断故障主要与大量Portal免认证规则重复下发造成的硬件资源不足有关。

解决方法

1. 优化Portal免认证规则资源占用

H3C S7500X-G R7764版本支持Portal免认证规则资源优化功能，建议在维护窗口于系统视图下配置（04-Portal命令-新华三集团-H3C）：

system-view
portal free-rule resource optimize

开启该功能后，未指定接口的Portal免认证规则可采用全局下发方式，减少规则在多个Portal接口上的重复下发，降低硬件ACL资源消耗。

2. 按需恢复免认证规则

对于现场已经删除的portal free-rule，根据实际业务需求决定是否恢复。启用资源优化功能后，可分批恢复必要规则，避免大量规则一次性下发导致资源再次耗尽。

3. 检查优化后的资源使用情况

分别查看两块业务板的ACL资源：

display resource-monitor chassis 1 slot 0
display resource-monitor chassis 2 slot 0

重点关注igs_acl_0_0的Free/Total字段，确认剩余资源是否增加，并检查Portal用户认证及业务访问情况。

附官网原文如：

1.1.51 portal free-rule resource optimize

portal free-rule resource optimize命令用来开启Portal免认证规则资源优化功能。

undo portal free-rule resource optimize命令用来关闭Portal免认证规则资源优化功能。

【命令】

portal free-rule resource optimize

undo portal free-rule resource optimize

【缺省情况】

Portal免认证规则资源优化功能处于关闭状态。

【视图】

系统视图

【缺省用户角色】

network-admin

mdc-admin

【使用指导】

应用场景

缺省情况下，在系统视图下执行portal free-rule命令配置Portal用户的免认证规则时，如果未指定免认证规则生效的接口，则该规则对所有使能了Portal功能的接口有效，系统会对每个接口都下发一遍规则。当设备上存在大量接口使能了Portal功能，并且配置了较多未指定接口的免认证规则时，按照缺省实现每条规则下发到每个接口将消耗大量的系统资源，影响正常业务运行。

为了解决以上问题，提高设备业务运行的性能和稳定性，可以开启Portal免认证规则资源优化功能。

工作机制

开启Portal免认证规则资源优化能后，系统视图下配置的未指定接口的免认证规则，不再单独遍历每个接口下发规则，只需在全局下发一条规则即可对所有接口生效，从而节约系统资源。