3步搞定交换机ACL资源不足.docxVIP

3步搞定交换机ACL资源不足 来源：华为产品资料 很多业务都会占用ACL资源，而设备的ACL资源是有限的，当ACL资源不足时，则会导致业务应用ACL失败或产生ACL资源不足告警。换设备嘛领导不同意，不换设备有什么办法吗？ 本文以V200R019C10版本的华为S5732-H系列交换机为例，介绍了ACL资源的基本原理，ACL资源不足的原因，并通过一个例子，讲解了ACL资源优化方法。不同款型及版本之间的ACL资源原理和规格可能存在差异，请以实际设备为准。 ? ACL资源的基本原理? 通常情况下，当用户配置ACL相关的业务时，需要先创建ACL并配置rule规则，随后在全局、VLAN或接口视图下应用ACL。当业务下发成功后，这些rule规则就会占用ACL资源。 通常我们可以通过以下公式简单计算或预估ACL资源占用数量： ACL资源占用数量=rule规则数量×业务应用位置的数量×业务应用方向的数量 rule规则数量：一般情况下，一条rule规则会占用一条ACL资源。如果一条rule规则中指定了TCP/UDP端口号范围时，一条rule规则可能会按照拆分成多条规则下发，进而占用多条ACL资源。具体拆分规则可通过display acl division命令指定相应的端口号范围进行查看。 业务应用位置的数量：业务应用的接口数量或VLAN数量，应用到全局时为记为1。 业务应用方向的数量：业务应用到入方向或出方向时记为1，出入方向都应用时记为2。 说明： 部分业务在不需要配置rule规则的情况下也会隐式地下发rule规则，这些不通过配置rule规则占用ACL资源的业务不在本文的讨论范围之内，如黑名单等安全类业务，流量抑制、CPCAR等流量限速业务，上送CPU的报文统计、VLAN的流量统计等流量统计业务。 为了更加直观地介绍如何计算ACL资源占用数量，下面我们通过举例观察设备ACL资源信息变化： 1.??首先，查看设备的ACL模块的资源信息。可以看到“ACL Unallocated”字段显示设备未分配ACL资源共有4096条，“ACLAllocated”字段显示设备已分配ACL资源共有512条，其中Sec安全类业务已使用146条，设备ACL资源总数量为4608条。 2.??配置ACL 3000。ACL 3000中包含2条rule规则，并将ACL 3000应用到接口GE0/0/1和GE0/0/2的入方向。 #?acl number 3000??rule 5 permit ip destination ??rule 10 permit ip destination ?#?interface GigabitEthernet0/0/1??traffic-filter inbound acl 3000?#?interface GigabitEthernet0/0/2??traffic-filter inbound acl 3000?# 3.??再次查看ACL资源信息。“Ingress ACL”字段显示设备入方向ACL资源占用数量为2（rule规则数量）×2（接口数量）×1（入方向）=4。 ACL资源不足的原因? 导致ACL资源不足的原因主要有如下两个： 原因一：配置使用ACL资源的冗余业务过多 很多业务配置以后长时间不生效或不使用，持续占用大量ACL资源。例如流策略业务、基于ACL的简化流策略业务、本机防攻击业务、iPCA业务等。 原因二：配置使用ACL资源的业务时规划不精细 以下几种情况都会导致ACL资源占用数量成倍增长： 配置的rule规则数量过多，没有考虑rule规则合并。 业务应用范围过大，将业务应用到过多的接口或VLAN上。 业务应用的范围有重叠，相同业务同时应用到全局、VLAN和接口上。 ACL资源的优化方法 对于使用ACL资源的冗余业务过多的情况，可以排查已配置的ACL相关业务，删除其中长时间不生效或不使用的业务。 本章节着重介绍规划ACL相关业务的配置不精细导致ACL资源不足的优化方法，从而在不影响业务的情况下精简业务所占用的ACL资源。为了更好的理解如何优化ACL资源，本章节以流策略业务为例进行介绍。 优化前，某流策略所绑定的ACL中包含1000条rule规则，并且该流策略应用在4个接口的入方向上，则该业务需要占用的ACL资源为1000（rule规则数量）×4（接口数量）×1（入方向）=4000，但当前设备剩余的ACL资源仅为3000，小于该流策略所需的ACL资源4000，因此当前该业务无法成功下发。对应的配置文件如下： #?acl number 3000??rule 1 permit ip source 0destination 0??...???????????????????????????????????