Cisco6509+sup720+acl = нагрузка cpu на 100%

[serg_sk]

Приветствую всех!

Столкнулся с такой проблемой. Имеется Cisco Catalyst 6509 с sup720, локальная сеть примерно на 5к человек. Применяем acl правила для блокирования доступа не проплатившим абонентам. После применения правил получаем 100% нагрузку на CPU.

Вот такой лист, в который с биллинга автоматом вносятся ip-шники "хороших ребят":

Код: Выделить всё

(config)#ip access-list extended 199
(config-ext-nacl)#dynamic GOODBOYS permit ip any any

Код: Выделить всё

cisco6509#show access-lists 199
Extended IP access list 199
    10 Dynamic GOODBOYS permit ip any any
    10   permit ip host xxx.xxx.xxx.xxx any (1 match)
ну и тут много аналогичных правил.

Собственно все, кто в этот список не попал, доступа не имеют.

После применения листа получаем:

Код: Выделить всё

CPU utilization for five seconds: 99%/5%; one minute: 99%; five minutes: 99%
 PID Runtime(ms)   Invoked      uSecs   5Sec   1Min   5Min TTY Process
 202   535031420  35126860      15231 78.97% 83.80% 83.74%   0 FM core

Опытные цисководы есть? С циской столкнулся впервые и пока только разбираюсь.
Есть у кого идеи как разгрузить проц?

[daedalus]

Код: Выделить всё

get config nvram

с циски

[serg_sk]

Такой команды нет. Вам нужен рабочий конфиг или что? Весь конфиг ну очень большой )

Скажите, что конкретно интересует.

[daedalus]

Интересует как задаете ACL правила. Может лучше добавлять записи нехороших абонентов, их меньше чем хороших. Следовательно меньше операций придется выполнять процессору коммутатора.

[serg_sk]

Я же описал выше как задаю.

А нехороших.. на первое число нехороших становится куда больше, чем хороших.

[taaroa]

Опытные цисководы есть?

http://forum.nag.ru/forum/index.php?showforum=3

[daedalus]

Вообще при таком количестве абонентов на коммутаторе лучше сделать таблицу маршрутизации для обычных пользователей, а неплательщиков пускать через правила ACL, остальные по стандартным IPROUTE.

[serg_sk]

Пока сделал таблицу BADBOYS. Вношу туда всех неплатильщиков, а остальных пропускаю в интернет. Количество acl уменьшилось с 5к до 1к )

[serg_sk]

Переделал вообще по другому и теперь не блокирую кошкой, а выдаю dhcp другую айпишку и для абонентов с левыми айпишками прописываю next-hop на мой сервер заглушку.