{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"Dettagli sulle ACL degli switch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

ACL (Access Control List) sui dispositivi di rete possono essere implementati sia a livello hardware che software, ovvero basati su hardware e software. Se per gli ACL basati su software \u00e8 tutto abbastanza chiaro\u2014si tratta di regole memorizzate e elaborate nella memoria volatile (cio\u00e8 nel Control Plane), con tutte le limitazioni consequenziali, nella nostra articolo esamineremo come sono implementati e funzionano gli ACL basati su hardware. Useremo come esempio gli switch della serie ExtremeSwitching di Extreme Networks.<\/p>\n

\"Dettagli
\n <\/a><\/noindex>
\nPoich\u00e9 siamo interessati agli ACL basati su hardware, per noi \u00e8 fondamentale comprendere l'implementazione interna del Data Plane, ovvero dei chip utilizzati (ASIC). Gli switch di tutte le linee di Extreme Networks sono costruiti su ASIC di Broadcom, e perci\u00f2 la maggior parte delle informazioni sottostanti sar\u00e0 valida anche per altri switch presenti sul mercato e implementati su ASIC similari.<\/p>\n

Come si pu\u00f2 vedere nell'immagine sopra, il \u201cContentAware Engine\u201d \u00e8 responsabile del funzionamento diretto degli ACL all'interno del chip, sia per \u201cingress\u201d che per \u201cegress\u201d. Architettonicamente sono identici, ma \u201cegress\u201d \u00e8 meno scalabile e funzionale. Fisicamente, entrambi i \u201cContentAware Engine\u201d consistono in memoria TCAM pi\u00f9 logica associata, mentre ogni regola ACL, sia essa utente o di sistema, \u00e8 una semplice maschera di bit (bit-mask) memorizzata in questa memoria. Per questo motivo, il chip elabora i pacchetti in modo per pacchetto senza degradare le prestazioni.<\/p>\n

Fisicamente, la stessa TCAM Ingress\/Egress \u00e8 suddivisa logicamente in pi\u00f9 segmenti (a seconda della quantit\u00e0 di memoria e della piattaforma), noti come \u201cACL slices\u201d. Ad esempio, si verifica lo stesso fenomeno con un singolo HDD fisico nel tuo laptop quando crei pi\u00f9 dischi logici \u2013 C:>, D:>. Ogni ACL-slice \u00e8 composto da celle di memoria, disposte in \u201crighe\u201d in cui vengono memorizzate le \u201crules\u201d (regole\/maschere di bit).<\/p>\n

\"Dettagli
\nLa suddivisione della TCAM in ACL-slices \u00e8 guidata da una logica precisa. In ciascun ACL-slice possono essere scritte solo \u201crules\u201d compatibili tra loro. Se una delle \u201crules\u201d non \u00e8 compatibile con quella precedente, verr\u00e0 registrata nel successivo ACL-slice, indipendentemente dal numero di righe libere rimaste nel precedente. <\/p>\n

Da dove deriva quindi questa compatibilit\u00e0 o incompatibilit\u00e0 delle regole ACL? Il fatto \u00e8 che una \u201criga\u201d di TCAM, in cui viene scritta una \u201crule\u201d, ha una lunghezza di 232 bit ed \u00e8 suddivisa in diversi campi \u2013 Fixed, Field1, Field2, Field3. 232 bit o 29 byte di memoria TCAM sono sufficienti per scrivere una maschera di bit di un determinato indirizzo MAC o IP, ma significativamente meno rispetto all'intestazione completa di un pacchetto Ethernet. In ciascun ACL-slice, l'ASIC effettua una ricerca indipendente in base alla maschera di bit stabilita in F1-F3. In generale, questa ricerca pu\u00f2 essere effettuata sui primi 128 byte dell'intestazione Ethernet. Proprio per il fatto che la ricerca pu\u00f2 essere effettuata su 128 byte, mentre possono essere scritti solo 29 byte, \u00e8 necessario definire un offset corretto rispetto all'inizio del pacchetto. L'offset per ciascun ACL-slice viene impostato al momento della scrittura della prima regola, e se durante la scrittura della successiva regola si riscontra la necessit\u00e0 di un offset differente, quella regola \u00e8 considerata incompatibile con la prima e verr\u00e0 registrata nel prossimo ACL-slice.<\/p>\n

Nella tabella sottostante \u00e8 riportato l'ordine di compatibilit\u00e0 delle condizioni scritte negli ACL. Ogni riga separata contiene maschere di bit compatibili tra loro e non compatibili con le altre righe.<\/p>\n

\"Dettagli
\nOgni pacchetto elaborato dall'ASIC avvia una ricerca parallela in ciascun ACL-slice. Il controllo viene effettuato fino al primo match in un ACL-slice, ma \u00e8 consentito che ci siano pi\u00f9 match per lo stesso pacchetto in diversi ACL-slice. Ogni \u201crule\u201d ha un'azione corrispondente da eseguire in caso di corrispondenza della condizione (bit-mask). Se si verifica una corrispondenza in pi\u00f9 ACL-slice, nel blocco \u201cAction Conflict Resolution\u201d viene presa una decisione su quale azione eseguire sulla base della priorit\u00e0 dell'ACL-slice. Se in un ACL sono scritti sia un \u201caction\u201d (permit\/deny) che un \u201caction-modifier\u201d (count\/QoS\/log\/...), nel caso di pi\u00f9 corrispondenze verr\u00e0 eseguita solo l'azione pi\u00f9 prioritaria, mentre tutti gli \u201caction-modifier\u201d saranno eseguiti. Nell'esempio seguente \u00e8 mostrato che entrambi i contatori saranno incrementati e verr\u00e0 eseguita l'azione pi\u00f9 prioritaria \u201cdeny\u201d.<\/p>\n

\"Dettagli
\n\u201cACL Solutions Guide\u201d<\/a><\/noindex> con ulteriori dettagli sulle funzionalit\u00e0 degli ACL disponibili sul sito extremenetworks.com<\/a><\/noindex>. Qualsiasi domanda o dubbio pu\u00f2 sempre essere rivolto al personale del nostro ufficio \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Dettagli sugli switch ACL | ProHoster","description":"Le ACL (Access Control List) sui dispositivi di rete possono essere implementati sia a livello hardware che a livello software, comunemente noti come ACL basati su hardware e software.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}