1676538798,

组网及说明

组网不涉及

问题描述

河北移动某局点在原先的IPv4包过滤的基础上要新增IPv6包过滤，新增结束测试发现IPv6业务不通。

 关键配置：

#

interface Ten-GigabitEthernet2/0/16

 port link-mode bridge

 port access vlan 110

 packet-filter 3002 inbound

 packet-filter ipv6 3002 inbound

#

acl number 3002（37条）

 rule 10 permit ip source 111.63.118.128 0.0.0.63 destination 111.63.117.0 0.0.0.63

 rule 20 permit ip source 111.63.118.128 0.0.0.63 destination 111.63.118.98 0.0.0.1

#

acl ipv6 number 3002 （20条）

 rule 140 permit ipv6 source 2409:8087:590:1021:1401::/80 destination 2409:8087:5C0:1021:1401::/80

rule 150 permit ipv6 source 2409:8087:590:1021:1401::/80 destination 2409:8087:550:1021:1401::/80

rule 330 permit icmpv6 source 2409:8087:590:1021:1401::/80

rule 520 deny ipv6

#

过程分析

流统发现报文确实丢在交换机上：

（1）查看设备上配置无问题且ACL资源足够

Type             Total      Reserved   Configured Remaining  Usage

---------------------------------------------------------------------

 IFP ACL          16384      5120       78         11186      31%

（2）查看acl下发情况——[probe]debug qacl show acl-resc slot 2 chip 0，底层占用的entry数量和ACL中rule的数量一致

但是在slice 5的资源未用完的情况下，ipv6包过滤下发到slice2/3，group 9中。包过滤可能会占用多个slice，但同一类ACL一般下到同一group中

（3）查看下发到slice中的ACL详细信息[probe]debug qacl show slot 2 chip 0 verbose 0 acl-type 141

        具有更高优先级的group 8中的ipv6 packet-filter更先生效，而下发到group 8中的rule刚好是最后一条规则rule 520 deny ipv6

        当流量过来时最先匹配rule 520将所有的ipv6报文都丢弃

 

解决方法

决定acl group会不会分裂要看qset中选择的模式所匹配的源目IP地址是否超规格

Qset中只有如下几种模式，总结来说同一个group中有以下4种配置组合超过两个会group分裂（括号内的，可以合起来算一个） （SrcIp4、DstIp4）、SrcIp6、DstIp6、(SrcIp6HIGH、SrcIp6HIGH(掩码<=64位时会下发)) 

将IPv4和ipv6过滤分别选择以MQC和packet-filter的方式下发。

CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。本文来源：知了社区基于知识共享署名-相同方式共享3.0中国大陆许可协议,某局点S7500E设备新增ipv6包过滤后ipv6业务中断