{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"ACL von Switches im Detail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

ACLs (Access Control Lists) auf Netzwerktechnologien k\u00f6nnen sowohl hardware- als auch softwarebasiert \u0440\u0435\u0430\u043b\u0438\u0437iert werden. W\u00e4hrend softwarebasierte ACLs relativ klar sind \u2013 es handelt sich um Regeln, die im RAM (d.h. im Control Plane) gespeichert und verarbeitet werden, was bestimmte Einschr\u00e4nkungen mit sich bringt, werden wir in diesem Artikel die Funktionsweise von hardwarebasierten ACLs n\u00e4her untersuchen. Als Beispiel verwenden wir die Switches der ExtremeSwitching-Serie von Extreme Networks.<\/p>\n

\"ACL
\n <\/a><\/noindex>
\nDa wir uns f\u00fcr hardwarebasierte ACLs interessieren, ist die interne Implementierung des Data Plane, insbesondere der verwendeten Chips\u00e4tze (ASICs), von h\u00f6chster Bedeutung. Die Switches aller Serien von Extreme Networks basieren auf ASICs von Broadcom; daher gelten die meisten nachfolgenden Informationen ebenso f\u00fcr andere Switches auf dem Markt, die auf \u00e4hnlichen ASICs basieren.<\/p>\n

Wie aus der obigen Abbildung ersichtlich ist, sind die \"Content-Aware Engines\" im Chipsatz direkt f\u00fcr die Funktion der ACL verantwortlich, sowohl f\u00fcr \"Ingress\" als auch f\u00fcr \"Egress\". Architektonisch sind sie identisch, wobei \"Egress\" weniger skalierbar und weniger funktional ist. Physikalisch handelt es sich bei beiden \"Content-Aware Engines\" um TCAM-Speicher sowie zugeh\u00f6rige Logik, wobei jede Benutzer- oder Systemregel der ACL eine einfache Bitmaske ist, die in diesem Speicher abgelegt wird. Aus diesem Grund erfolgt die Verarbeitung des Datenverkehrs durch den Chipsatz paketweise und ohne Leistungsverlust.<\/p>\n

Physikalisch wird dasselbe Ingress\/Egress TCAM logisch in mehrere Segmente unterteilt (abh\u00e4ngig von der Speichermenge und der Plattform), die sogenannten \"ACL Slices\". Zum Beispiel geschieht das Gleiche mit einer physikalisch identischen HDD in Ihrem Laptop, wenn Sie mehrere logische Laufwerke darauf erstellen \u2013 C:>, D:>. Jeder ACL-Slice besteht wiederum aus Speichereinheiten in Form von \"Zeilen\", in die die \"Regeln\" (Regeln\/Bitmasken) geschrieben werden.<\/p>\n

\"ACL
\nDie Aufteilung von TCAM in ACL-Slices folgt einer bestimmten Logik. In jedem einzelnen ACL-Slice d\u00fcrfen nur miteinander kompatible \u201eRegeln\u201c gespeichert werden. Wenn eine der \u201eRegeln\u201c nicht mit der vorhergehenden kompatibel ist, wird sie im nachfolgenden ACL-Slice gespeichert, unabh\u00e4ngig davon, wie viele freie Zeilen f\u00fcr \u201eRegeln\u201c im vorherigen Slice noch verf\u00fcgbar sind. <\/p>\n

Woher kommt also die Kompatibilit\u00e4t oder Inkompatibilit\u00e4t von ACL-Regeln? Der Grund ist, dass eine \"Zeile\" des TCAM, in der die \"Regeln\" gespeichert werden, eine L\u00e4nge von 232 Bit hat und in mehrere Felder unterteilt ist \u2013 Fixed, Field1, Field2, Field3. 232 Bit oder 29 Byte TCAM-Speicher reicht durchaus aus, um die Bitmaske einer bestimmten MAC- oder IP-Adresse zu speichern, ist jedoch wesentlich weniger als der vollst\u00e4ndige Header eines Ethernet-Pakets. In jedem einzelnen ACL-Slice f\u00fchrt der ASIC eine unabh\u00e4ngige Suche nach den in F1-F3 festgelegten Bitmasken durch. Im Allgemeinen kann diese Suche \u00fcber die ersten 128 Byte des Ethernet-Headers erfolgen. Gerade weil die Suche \u00fcber 128 Byte erfolgen kann, aber nur 29 Byte gespeichert werden k\u00f6nnen, muss f\u00fcr die korrekte Suche ein Offset relativ zum Beginn des Pakets festgelegt werden. Der Offset f\u00fcr jedes ACL-Slice wird beim Speichern der ersten Regel festgelegt. Wenn beim Speichern einer nachfolgenden Regel festgestellt wird, dass ein anderer Offset erforderlich ist, wird diese Regel als inkompatibel mit der ersten angesehen und in das n\u00e4chste ACL-Slice geschrieben.<\/p>\n

In der folgenden Tabelle finden Sie die Kompatibilit\u00e4tsordnung der in ACL definierten Bedingungen. Jede einzelne Zeile enth\u00e4lt Kombinationen, die miteinander kompatibel sind, sowie solche, die nicht kompatibel sind und die durch einen Bitmasken definiert werden.<\/p>\n

\"ACL
\nJedes einzelne Paket, das vom ASIC verarbeitet wird, startet einen parallelen Lookup in jedem ACL-Slice. Die \u00dcberpr\u00fcfung erfolgt bis zur ersten \u00dcbereinstimmung im ACL-Slice, wobei jedoch mehrere \u00dcbereinstimmungen f\u00fcr dasselbe Paket in verschiedenen ACL-Slices zul\u00e4ssig sind. Jede einzelne \"Regel\" hat eine entsprechende Aktion, die im Falle einer \u00dcbereinstimmung der Bedingung (Bitmasken) ausgef\u00fchrt werden muss. Wenn eine \u00dcbereinstimmung gleichzeitig in mehreren ACL-Slices auftritt, wird im Block \"Action Conflict Resolution\" auf Basis der Priorit\u00e4t des ACL-Slice entschieden, welche Aktion ausgef\u00fchrt werden soll. Wenn in der ACL sowohl eine \"Aktion\" (erlauben\/ablehnen) als auch ein \"Aktionsmodifikator\" (z\u00e4hlen\/QoS\/protokollieren\/\u2026) definiert sind, wird bei mehreren \u00dcbereinstimmungen nur die priorit\u00e4rere \"Aktion\" ausgef\u00fchrt, w\u00e4hrend alle \"Aktionsmodifikatoren\" ausgef\u00fchrt werden. Im folgenden Beispiel wird dargestellt, dass beide Z\u00e4hler erh\u00f6ht werden und die priorit\u00e4rere \"ablehnen\"-Aktion ausgef\u00fchrt wird.<\/p>\n

\"ACL
\n\"ACL Solutions Guide\"<\/a><\/noindex> mit detaillierteren Informationen zur Funktionsweise von ACL \u00f6ffentlich auf der Website verf\u00fcgbar extremenetworks.com<\/a><\/noindex>. Bei Fragen oder Anliegen k\u00f6nnen Sie sich jederzeit an unsere Mitarbeiter im B\u00fcro wenden \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Details zu den ACLs von Switches | ProHoster","description":"ACLs (Access Control Lists) auf Netzwerkger\u00e4ten k\u00f6nnen sowohl hardware- als auch softwarebasiert implementiert werden; einfacher gesagt, als hardware- und softwarebasierte ACLs. W\u00e4hrend softwarebasierte ACLs, die in der Regel gut verst\u00e4ndlich sind, Regeln darstellen, die im RAM gespeichert und verarbeitet werden (d.h. auf der Control Plane), gibt es hier einige Einschr\u00e4nkungen zu beachten, wie diese umgesetzt sind und funktionieren.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}