{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"D\u00e9tails sur les ACL des commutateurs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les ACL (Listes de Contr\u00f4le d'Acc\u00e8s) sur les dispositifs r\u00e9seau peuvent \u00eatre mises en \u0153uvre de mani\u00e8re mat\u00e9rielle ou logicielle, ou plus famili\u00e8rement dites bas\u00e9es sur le mat\u00e9riel et sur le logiciel. Et si les ACL bas\u00e9es sur le logiciel sont assez claires \u2014 ce sont des r\u00e8gles qui sont stock\u00e9es et trait\u00e9es dans la m\u00e9moire vive (c'est-\u00e0-dire sur le Plan de Contr\u00f4le), avec toutes les limitations qui en d\u00e9coulent, nous allons analyser comment les ACL bas\u00e9es sur le mat\u00e9riel sont mises en \u0153uvre et fonctionnent dans notre article. Comme exemple, nous utiliserons les commutateurs de la s\u00e9rie ExtremeSwitching de la soci\u00e9t\u00e9 Extreme Networks.<\/p>\n

\"D\u00e9tails
\n <\/a><\/noindex>
\nPuisque nous nous int\u00e9ressons sp\u00e9cifiquement aux ACL bas\u00e9es sur le mat\u00e9riel, la mise en \u0153uvre interne du Plan de Donn\u00e9es, ou des chipsets utilis\u00e9s (ASIC), est primordiale pour nous. Les commutateurs de toutes les gammes de la soci\u00e9t\u00e9 Extreme Networks reposent sur des ASIC de Broadcom, et donc la plupart des informations suivantes seront \u00e9galement valables pour d'autres commutateurs pr\u00e9sents sur le march\u00e9 et r\u00e9alis\u00e9s sur des ASIC similaires.<\/p>\n

Comme on peut le voir sur l'illustration ci-dessus, les travaux des ACL dans le chipset sont g\u00e9r\u00e9s par le \"ContentAware Engine\", s\u00e9par\u00e9ment pour \"ingress\" et \"egress\". Architectur\u00e9ment, ils sont identiques, seulement l'\"egress\" est moins \u00e9volutif, et moins fonctionnel. Physiquement, les deux \"ContentAware Engine\" consistent en de la m\u00e9moire TCAM plus la logique associ\u00e9e, et chaque r\u00e8gle d'utilisateur ou syst\u00e8me ACL est un simple masque de bits (bit-mask) enregistr\u00e9 dans cette m\u00e9moire. C'est pourquoi le traitement du trafic par le chipset s'effectue paquet par paquet et sans d\u00e9gradation des performances.<\/p>\n

Physiquement, le m\u00eame TCAM d'Ingress\/Egress est logiquement divis\u00e9 en plusieurs segments (en fonction de la quantit\u00e9 de m\u00e9moire et de la plateforme), appel\u00e9s \"tranches ACL\". Par exemple, c'est comme ce qui se passe avec un m\u00eame disque dur physique sur votre ordinateur portable, lorsque vous cr\u00e9ez plusieurs disques logiques dessus \u2013 C:>, D:>. Chaque tranche ACL se compose \u00e0 son tour de cellules de m\u00e9moire sous forme de \"lignes\" o\u00f9 les \"r\u00e8gles\" (bit-masques) sont enregistr\u00e9es.<\/p>\n

\"D\u00e9tails
\nLa division de la TCAM en tranches ACL repose sur une certaine logique. Dans chaque tranche ACL distincte, seules des \"r\u00e8gles\" compatibles peuvent \u00eatre enregistr\u00e9es. Si une des \"r\u00e8gles\" n'est pas compatible avec la pr\u00e9c\u00e9dente, elle sera enregistr\u00e9e dans la tranche ACL suivante, peu importe combien de lignes libres pour les \"r\u00e8gles\" restent dans la pr\u00e9c\u00e9dente. <\/p>\n

D'o\u00f9 provient donc cette compatibilit\u00e9 ou incompatibilit\u00e9 des r\u00e8gles ACL ? En fait, une \u00ab ligne \u00bb TCAM, o\u00f9 sont enregistr\u00e9es les \u00ab r\u00e8gles \u00bb, fait 232 bits de long et se divise en plusieurs champs : Fixed, Field1, Field2, Field3. 232 bits ou 29 octets de m\u00e9moire TCAM suffisent largement pour enregistrer un bit-mask d'une adresse MAC ou IP, mais c'est beaucoup moins que l'en-t\u00eate complet d'un paquet Ethernet. Dans chaque tranche ACL distincte, l'ASIC effectue une recherche ind\u00e9pendante selon les bit-masks d\u00e9finis dans F1-F3. En g\u00e9n\u00e9ral, cette recherche peut \u00eatre effectu\u00e9e sur les 128 premiers octets de l'en-t\u00eate Ethernet. C'est pr\u00e9cis\u00e9ment parce que la recherche peut s'effectuer sur 128 octets, tandis que seulement 29 octets peuvent \u00eatre enregistr\u00e9s, qu'un d\u00e9calage (offset) doit \u00eatre d\u00e9fini par rapport au d\u00e9but du paquet pour un lookup correct. Le d\u00e9calage pour chaque tranche ACL est d\u00e9fini lors de l'enregistrement de la premi\u00e8re r\u00e8gle, et si, lors de l'enregistrement de la r\u00e8gle suivante, il est n\u00e9cessaire d'utiliser un autre d\u00e9calage, cette r\u00e8gle est consid\u00e9r\u00e9e comme incompatible avec la premi\u00e8re et est enregistr\u00e9e dans la tranche ACL suivante.<\/p>\n

Le tableau ci-dessous pr\u00e9sente l'ordre de compatibilit\u00e9 des conditions sp\u00e9cifi\u00e9es dans la ACL. Chaque ligne individuelle contient des bit-masks compatibles entre eux, et incompatibles avec d'autres lignes.<\/p>\n

\"D\u00e9tails
\nChaque paquet distinct trait\u00e9 par l'ASIC lance une recherche parall\u00e8le dans chaque tranche ACL. La v\u00e9rification est effectu\u00e9e jusqu'\u00e0 la premi\u00e8re correspondance dans la tranche ACL, mais plusieurs correspondances pour un m\u00eame paquet dans diff\u00e9rentes tranches ACL sont autoris\u00e9es. Chaque \u00ab r\u00e8gle \u00bb distincte a une action correspondante \u00e0 ex\u00e9cuter en cas de correspondance de condition (bit-mask). Si une correspondance se produit dans plusieurs tranches ACL, dans le bloc \u00ab R\u00e9solution de conflit d\u2019action \u00bb, une d\u00e9cision est prise sur quelle action ex\u00e9cuter en fonction de la priorit\u00e9 de la tranche ACL. Si une ACL sp\u00e9cifie \u00e0 la fois une \u00ab action \u00bb (permettre\/refuser) et un \u00ab modificateur d\u2019action \u00bb (compter\/QoS\/journaliser\/\u2026), alors dans le cas de plusieurs correspondances, seule l'\u00ab action \u00bb la plus prioritaire sera ex\u00e9cut\u00e9e, toutes les actions-modificateurs seront quand m\u00eame r\u00e9alis\u00e9es. L'exemple ci-dessous montre que les deux compteurs seront augment\u00e9s et que l'\u00ab action \u00bb la plus prioritaire sera \u00ab refuser \u00bb.<\/p>\n

\"D\u00e9tails
\nGuide des Solutions ACL<\/a><\/noindex> avec des informations plus d\u00e9taill\u00e9es sur le fonctionnement de l'ACL accessibles sur le site extremenetworks.com<\/a><\/noindex>. Toute question \u00e9ventuelle ou restante peut toujours \u00eatre pos\u00e9e aux employ\u00e9s de notre bureau \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 D\u00e9tails sur les ACL des commutateurs | ProHoster","description":"Les ACL (Listes de Contr\u00f4le d'Acc\u00e8s) sur les dispositifs r\u00e9seau peuvent \u00eatre mises en \u0153uvre soit mat\u00e9riellement, soit logiciellement, ou plus commun\u00e9ment dit en tant qu'ACL mat\u00e9rielles et logicielles.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}