Catalyst 3850 安全 ACL 总资源未满，但硬件下发失败导致业务丢包

Catalyst 3850 交换机配置安全 ACL 后，设备出现 %ACL_ERRMSG-4-UNLOADED 告警，提示部分 VLAN 接口的 IPv4 ACL 无法写入硬件，相关流量将被丢弃。

检查 TCAM 使用情况，Security Access Control Entries 显示已使用 1648 条，总容量为 3072 条。虽然总使用量未达到上限，但仍发生 ACL 下发失败，需要进一步定位资源限制。

1. 执行 show platform tcam utilization asic all，检查各 ASIC 的安全 ACL 资源使用量，确认存在“总容量未满但下发失败”的现象。
2. 执行 show platform acl info acltype all，核查 ACL 类型、应用方向及关联的硬件标签，确定失败规则所在的资源区域。
3. Catalyst 3850 的安全 ACL 资源按硬件区域分配，输入、输出方向存在独立限制。VACL 受 Doppler 芯片限制，只能使用其中一个区域，无法使用全部安全 ACL 空间。
4. 配置中的一条 ACL 规则不一定只占用一条硬件表项；端口范围等匹配条件可能发生展开，进一步增加资源消耗。
5. 执行 show mgmt-infra trace messages acl-events switch 1，结合安装失败事件及硬件资源占用，判断是否达到特定方向或 ACL 类型的上限。不能仅依据总体 TCAM 使用率排除资源耗尽。

根据失败 ACL 的类型和方向，调整对应资源区域的规则规模。保持安全策略语义不变，合并重复规则，清理无效规则及不必要的应用关系，并核查范围匹配产生的硬件展开。

调整后，检查 ACL 硬件安装状态和事件日志，确认不再出现 UNLOADED 告警；通过 show platform acl counters hardware switch 1 及业务测试验证转发情况。

若优化后的策略仍超过该产品的硬件区域限制，应将部分策略迁移至其他设备，或采用具有更大 ACL 容量的平台。上述措施依据 Cisco 文档揭示的资源限制制定。