3步搞定交換機ACL資源不足

來源：華為產(chǎn)品資料

很多業(yè)務都會占用ACL資源，而設備的ACL資源是有限的，當ACL資源不足時，則會導致業(yè)務應用ACL失敗或產(chǎn)生ACL資源不足告警。換設備嘛領導不同意，不換設備有什么辦法嗎？

通常情況下，當用戶配置ACL相關的業(yè)務時，需要先創(chuàng)建ACL并配置rule規(guī)則，隨后在全局、VLAN或接口視圖下應用ACL。當業(yè)務下發(fā)成功后，這些rule規(guī)則就會占用ACL資源。

通常我們可以通過以下公式簡單計算或預估ACL資源占用數(shù)量：

ACL資源占用數(shù)量=rule規(guī)則數(shù)量×業(yè)務應用位置的數(shù)量×業(yè)務應用方向的數(shù)量

• rule規(guī)則數(shù)量：一般情況下，一條rule規(guī)則會占用一條ACL資源。如果一條rule規(guī)則中指定了TCP/UDP端口號范圍時，一條rule規(guī)則可能會按照拆分成多條規(guī)則下發(fā)，進而占用多條ACL資源。具體拆分規(guī)則可通過display acl division命令指定相應的端口號范圍進行查看。

• 業(yè)務應用位置的數(shù)量：業(yè)務應用的接口數(shù)量或VLAN數(shù)量，應用到全局時為記為1。

• 業(yè)務應用方向的數(shù)量：業(yè)務應用到入方向或出方向時記為1，出入方向都應用時記為2。

部分業(yè)務在不需要配置rule規(guī)則的情況下也會隱式地下發(fā)rule規(guī)則，這些不通過配置rule規(guī)則占用ACL資源的業(yè)務不在本文的討論范圍之內，如黑名單等安全類業(yè)務，流量抑制、CPCAR等流量限速業(yè)務，上送CPU的報文統(tǒng)計、VLAN的流量統(tǒng)計等流量統(tǒng)計業(yè)務。

2.  配置ACL 3000。ACL 3000中包含2條rule規(guī)則，并將ACL 3000應用到接口GE0/0/1和GE0/0/2的入方向。

很多業(yè)務配置以后長時間不生效或不使用，持續(xù)占用大量ACL資源。例如流策略業(yè)務、基于ACL的簡化流策略業(yè)務、本機防攻擊業(yè)務、iPCA業(yè)務等。

以下幾種情況都會導致ACL資源占用數(shù)量成倍增長：

• 配置的rule規(guī)則數(shù)量過多，沒有考慮rule規(guī)則合并。

• 業(yè)務應用范圍過大，將業(yè)務應用到過多的接口或VLAN上。

• 業(yè)務應用的范圍有重疊，相同業(yè)務同時應用到全局、VLAN和接口上。

本章節(jié)著重介紹規(guī)劃ACL相關業(yè)務的配置不精細導致ACL資源不足的優(yōu)化方法，從而在不影響業(yè)務的情況下精簡業(yè)務所占用的ACL資源。為了更好的理解如何優(yōu)化ACL資源，本章節(jié)以流策略業(yè)務為例進行介紹。

優(yōu)化前，某流策略所綁定的ACL中包含1000條rule規(guī)則，并且該流策略應用在4個接口的入方向上，則該業(yè)務需要占用的ACL資源為1000（rule規(guī)則數(shù)量）×4（接口數(shù)量）×1（入方向）=4000，但當前設備剩余的ACL資源僅為3000，小于該流策略所需的ACL資源4000，因此當前該業(yè)務無法成功下發(fā)。對應的配置文件如下：

接下來，通過以下三種方法，就可以將該流策略所需占用的ACL資源減少到3000以下，從而滿足配置該流策略的ACL資源需求。

1.  推薦先嘗試使用方法一，合并rule規(guī)則，減少rule規(guī)則數(shù)量。

2.  在已經(jīng)使用方法一的基礎上，可以繼續(xù)使用方法二或方法三，進一步減少ACL資源的使用數(shù)量。如果對ACL資源精簡數(shù)量要求較高，推薦將應用在接口的業(yè)務調整至全局，或者配置基于流ID的流策略；如果對ACL資源精簡數(shù)量要求不高，且應用流策略的接口數(shù)量大于接口所屬VLAN的數(shù)量，推薦將應用在接口的業(yè)務調整至VLAN。

表1-1 方法二與方法三的比較

分析各rule規(guī)則公用的匹配項，找出各規(guī)則之間的聯(lián)系。

本例中的1000條rule規(guī)則中包含以下內容：

合并規(guī)則后，上例中的規(guī)則減少到462條，實際下發(fā)的規(guī)則為466條，占用的ACL資源數(shù)量為1864。計算過程為：461（IP地址合并后的rule規(guī)則數(shù)量）×4（接口數(shù)量）×1（入方向）+1（端口號合并后的rule規(guī)則數(shù)量）×5（按range拆分后的rule規(guī)則數(shù)量）×4（接口數(shù)量）×1（入方向）=1864，小于設備剩余的ACL資源數(shù)量（3000條），因此能夠滿足配置該流策略的ACL資源需求。

方法二：調整業(yè)務應用范圍，減少業(yè)務應用位置的數(shù)量

在通過方法一合并rule規(guī)則后，可以選擇以下任意一種方式，調整業(yè)務應用范圍，從而繼續(xù)精簡ACL資源數(shù)量。

• 將應用在接口的業(yè)務調整至VLAN

如果應用流策略的接口數(shù)量大于這些接口所屬VLAN的數(shù)量，且未應用流策略的接口均不屬于這些VLAN，則可以將流策略應用到這些接口所屬的VLAN下。調整應用范圍后的ACL資源占用數(shù)量為rule規(guī)則數(shù)量×VLAN數(shù)量，小于之前的rule規(guī)則數(shù)量×接口數(shù)量。否則，建議將應用在接口的業(yè)務調整至全局。

• 將應用在接口的業(yè)務調整至全局

可以將流策略應用到全局，并在不應用該流策略的接口下各配置一條讓全局的配置不生效的流策略，利用接口優(yōu)先級大于全局優(yōu)先級的原則，實現(xiàn)相同的配置效果。

由前文流策略中的配置可知，需要在接口的GE1/0/1～GE1/0/4入方向上應用流策略。此時，若僅有接口GE1/0/5的入方向不可以應用該流策略，且其他所有接口的入方向都可以應用該流策略，則可以將該流策略應用到全局，并在接口GE1/0/5上應用分類規(guī)則相同的不同流策略（例如流策略p2）。

在使用方法一的基礎上，繼續(xù)使用本方法調整后，對應的配置文件如下：

對于流策略業(yè)務，當設備上不同的接口或VLAN需要配置相同的流分類規(guī)則并對匹配的報文做相同的動作時，為節(jié)省ACL資源，可以將一條流策略拆分成兩條，第一條對報文按照ACL分類后重標記每類報文的流ID，第二條按照流ID進行分類并對匹配同一流ID的報文進行相同的處理。該功能僅適用于應用在入方向的流策略。

如果不配置該功能，流策略占用的ACL資源數(shù)量為rule規(guī)則數(shù)量×接口數(shù)量（或VLAN數(shù)量）×1（入方向）；配置該功能后，流策略占用的ACL資源數(shù)量為rule規(guī)則數(shù)量×1（全局）×1（入方向）+1（流ID）×接口數(shù)量（或VLAN數(shù)量）×1（入方向）。

1.  配置ACL，并指定rule規(guī)則。

本例中，已經(jīng)通過方法一合并rule規(guī)則。合并后的rule規(guī)則如下：

# 
acl number 3000 
 rule 1 permit ip source 10.1.1.00.0.0.255 destination 10.10.1.1 0 
 rule 2 permit ip source 10.1.2.00.0.0.255 destination 10.10.1.1 0 
 ... 
 rule 801 deny tcp destination-port range80 110 
 ... 
 rule 1000 ip source 192.168.10.1 32 
#

2.  配置流分類，按照ACL對報文進行分類。

本例中，已經(jīng)配置流分類c1，用于匹配符合ACL 3000的報文。

# 
traffic classifier c1 operator and precedence 5 
 if-match acl 3000 
#

3.  配置流行為，通過remark flow-id命令重新標記報文的流ID。

配置流行為b3，用于重新標記報文的流ID。例如，重新標記流ID為4。

# 
traffic behavior b3 
 remark flow-id 4 
#

配置流策略p3，綁定流分類c1和流行為b3，并應用到全局的入方向。

配置流分類c3，匹配流ID為4的報文。

本例中，已經(jīng)配置流行為b1，用于對報文進行流量統(tǒng)計。

最后再復習一下：

1.  首先，推薦先嘗試合并rule規(guī)則，減少rule規(guī)則數(shù)量。

2.  其次，如果對ACL資源精簡數(shù)量要求較高，推薦將應用在接口的業(yè)務調整至全局，或者配置基于流ID的流策略；如果對ACL資源精簡數(shù)量要求不高，且應用流策略的接口數(shù)量大于接口所屬VLAN的數(shù)量，推薦將應用在接口的業(yè)務調整至VLAN。