Lülitite ACL-id detailides

ACL (Access Control List) võrguseadmetes võivad olla rakendatud nii riistvaraliselt kui ka tarkvaraliselt, või nagu tavaliselt öeldakse, hardware ja software-based ACL. Ja kui software-based ACL on tõenäoliselt hästi arusaadav — need on reeglid, mis salvestatakse ja töödeldakse RAM-is (st Control Plane’is), kõikide piirangutega, mis sellest tulenevad, siis kuidas on rakendatud ja kuidas töötavad hardware-based ACL, uurime meie artiklis. Näitena kasutame Extreme Networks'i ExtremeSwitching seeria lülitusi.

Kuna meid huvitavad just hardware-based ACL, on meie jaoks esmatähtis sisemise Data Plane'i rakendamine ehk tegelikult kasutatavad kiibid (ASIC). Kõik Extreme Networks'i lülituste seeriad on üles ehitatud Broadcom'i ASIC-idele, seega enamik allpooltoodud teabest kehtib ka teiste turul saadaval olevate lülituste kohta, mis on rakendatud sellistele ASIC-idele.

Nagu jooniselt näha, vastutavad ACL-i töö eest kiipide sees "ContentAware Engine", eraldi "ingress" ja "egress" kohta. Arhitektuurselt on nad identsed, ainult "egress" on vähem skaleeritav ja vähem funktsionaalne. Füüsiliselt on mõlemad "ContentAware Engine" TCAM-mälu pluss kaasneva loogika kombinatsioon, ja iga kasutajale või süsteemile määratud ACL-reegel on lihtne bitmask, mis on salvestatud sellesse mällu. Seetõttu toimub kiibi poolt liikluse töötlemine pakettide kaupa ja ilma jõudluse languseta.

Füüsiliselt jaguneb sama Ingress/Egress TCAM loogiliselt mitmeks segmentiks (sõltuvalt mälu mahust ja platvormist), nn “ACL slices”. Näiteks toimub sama ka füüsiliselt ühe ja sama HDD puhul teie sülearvutis, kui loote sellel mitu loogilist ketast – C:>, D:>. Iga ACL-slice koosneb omakorda mälu rakkudest, mis on kujundatud "ridade" kujul, kuhu salvestatakse "rules" (reeglid/bitmaskid).

TCAM-i jagamine ACL-slice'ideks põhineb kindlal loogikal. Igas eraldi ACL-slice'is võivad olla salvestatud ainult omavahel ühilduvad "rules". Kui mõni reegel ei ühildu eelmisega, salvestatakse see järgmistesse ACL-slice'idesse, olenemata sellest, kui palju vabu ridu eelmisest jääb "rules" kõigis eelnevalt.

Kust tuleb siis see ühilduvus või ühilduvus puudumine ACL reeglite puhul? Asi on selles, et üks "rida" TCAM-is, kuhu kirjutatakse "reeglid", on 232 bit pikk ja jaguneb mitmeks väliseks - Fixed, Field1, Field2, Field3. 232 bit või 29 byte TCAM mälust on täiesti piisav, et salvestada bit-mask teatud MAC või IP aadressi jaoks, kuid see on oluliselt vähem kui täis Etherneti paketi pealkiri. Igas eraldi ACL-slice'is toodab ASIC sõltumatut otsingut, kasutades F1-F3 bit-mask-is määratud. Üldiselt võib see otsing toimuda esimestel 128 byte-l Etherneti pealkirjast. Just sellepärast, et otsing võib toimuda 128 byte ulatuses, samas kui salvestada saab vaid 29 byte, peab korrektse otsingu tagamiseks olema määratud nihke (offset) algusest paketi. Nihke määratakse iga ACL-slice jaoks, kui sinna kirjutatakse esimene reegel, ja kui järgneva reegli kirjutamisel avastatakse vajadus teistsuguse nihke järele, peetakse sellist reeglit esimese suhtes ühilduvaks ja kirjutatakse järgmisse ACL-slice'i.

Allolevas tabelis on esitatud ACL-isse kirjutatud tingimuste ühilduvuse järjekord. Iga eraldi rida sisaldab omavahel ühilduvaid ja teiste ridadega ühilduvaid bit-mask-e.

Iga eraldi pakett, mida ASIC töödeldakse, käivitab paralleelse otsingu igas ACL-slice'is. Kontroll toimub kuni esimese kokkusobivuseni ACL-slice'is, kuid samal ajal on lubatud mitu kokkusobivust ühe ja sama paketi puhul erinevates ACL-slice'ides. Igal eraldi "reeglil" on vastav tegevus, mida tuleb teha, kui tingimus (bit-mask) on täidetud. Kui vastavus toimub kohe mitu ACL-slice'is, siis "Action Conflict Resolution" plokis vastavalt ACL-slice'i prioriteedile otsustatakse, milline tegevus ellu viia. Kui ACL-is on toodud nii "action" (permit/deny) kui ka "action-modifier" (count/QoS/log/…), siis mitmete vastavuste korral viiakse ellu vaid prioriteetsem "action", kuid kõik “action-modifier’id” täidetakse. Alloleval näitel on näidatud, et mõlemad loendurid suurenevad ja prioriteetsem "deny" teostatakse.

"ACL Solutions Guide" rohkema teabe saamiseks ACL töö kohta on avatud juurdepääs veebisaidil extremenetworks.com. Kõik tekkinud või jäävad küsimused saab alati esitada meie kontori töötajatele - cis@extremenetworks.com.

Allikas: habr.com