{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"Dettagli sugli ACL degli switch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le ACL (Access Control List) sui dispositivi di rete possono essere implementati sia a livello hardware che software, o pi\u00f9 comunemente parlando, come ACL basate su hardware e software. Se per quanto riguarda le ACL basate su software \u00e8 tutto chiaro \u2014 si tratta di regole archiviate e elaborate nella memoria RAM (cio\u00e8 sul Control Plane), con tutte le limitazioni del caso, in questo articolo analizzeremo come sono implementate e funzionano le ACL basate su hardware. Useremo come esempio gli switch della serie ExtremeSwitching dell'azienda Extreme Networks.<\/p>\n

\"Dettagli
\n <\/a><\/noindex>
\nPoich\u00e9 ci interessa specificamente le ACL basate su hardware, la cosa pi\u00f9 importante per noi \u00e8 la reale implementazione del Data Plane, cio\u00e8 i chip utilizzati (ASIC). Gli switch di tutte le linee dell'azienda Extreme Networks sono costruiti su ASIC di Broadcom, per cui gran parte delle informazioni che seguono sar\u00e0 valida anche per altri switch presenti sul mercato e realizzati con gli stessi ASIC.<\/p>\n

Come si pu\u00f2 vedere dall'immagine sopra, la responsabilit\u00e0 della gestione delle ACL nel chip \u00e8 affidata ai \u201cContentAware Engine\u201d, separatamente per \u201cingress\u201d ed \u201cegress\u201d. Architettonicamente sono identici, solo che \u201cegress\u201d \u00e8 meno scalabile e meno funzionale. Fisicamente, entrambi i \u201cContentAware Engine\u201d sono una memoria TCAM pi\u00f9 la logica associata, e ogni regola ACL, sia essa per l'utente che di sistema, \u00e8 una semplice maschera di bit (bit-mask) registrata in questa memoria. Questo \u00e8 il motivo per cui il chip gestisce il traffico pacchetto per pacchetto senza degradare le prestazioni.<\/p>\n

Fisicamente, la stessa TCAM Ingress\/Egress \u00e8 logicamente suddivisa in pi\u00f9 segmenti (a seconda della quantit\u00e0 di memoria stessa e della piattaforma), noti come \u201cACL slices\u201d. Ad esempio, lo stesso avviene con un unico disco rigido fisico nel tuo laptop quando crei pi\u00f9 dischi logici \u2013 C:>, D:>. Ogni slice ACL consiste a sua volta in celle di memoria, sotto forma di \u201crighe\u201d dove vengono registrate le \u201crules\u201d (regole\/maschere di bit).<\/p>\n

\"Dettagli
\nLa suddivisione della TCAM in ACL-slices \u00e8 guidata da una logica specifica. In ciascun singolo slice ACL possono essere registrate solo \u201crules\u201d compatibili fra loro. Se una delle \u201crules\u201d non \u00e8 compatibile con la precedente, sar\u00e0 registrata nel successivo slice ACL, indipendentemente da quante righe libere sotto le \u201crules\u201d siano rimaste nella precedente. <\/p>\n

Da dove deriva quindi questa compatibilit\u00e0 o incompatibilit\u00e0 delle ACL rules? Il fatto \u00e8 che una 'riga' di TCAM, in cui vengono registrate le 'rules', ha una lunghezza di 232 bit ed \u00e8 suddivisa in diversi campi: Fixed, Field1, Field2, Field3. 232 bit o 29 byte di memoria TCAM sono pi\u00f9 che sufficienti per registrare una bit-mask di un determinato indirizzo MAC o IP, ma sono decisamente inferiori rispetto all'intero header di un pacchetto Ethernet. In ogni singolo ACL-slice, l'ASIC esegue un lookup indipendente basato sulle bit-mask impostate in F1-F3. Complessivamente, questo lookup pu\u00f2 avvenire sui primi 128 byte dell'header Ethernet. In realt\u00e0, proprio perch\u00e9 la ricerca pu\u00f2 avvenire su 128 byte e ci\u00f2 che pu\u00f2 essere registrato \u00e8 solo 29 byte, per un corretto lookup deve essere impostato un offset rispetto all'inizio del pacchetto. L'offset per ogni ACL-slice viene impostato al momento della registrazione della prima regola, e se durante la registrazione di una regola successiva si rileva la necessit\u00e0 di un altro offset, tale regola \u00e8 considerata incompatibile con la prima e viene registrata nel successivo ACL-slice.<\/p>\n

Nella tabella sottostante \u00e8 illustrato l'ordine di compatibilit\u00e0 delle condizioni scritte nell'ACL. Ogni singola riga contiene bit-mask compatibili tra loro e non compatibili con altre righe.<\/p>\n

\"Dettagli
\nOgni singolo pacchetto elaborato dall'ASIC avvia un lookup parallelo in ogni ACL-slice. Il controllo avviene fino al primo corrispondenza nell'ACL-slice, ma \u00e8 consentita anche una corrispondenza multipla per lo stesso pacchetto in diversi ACL-slice. Ogni singola 'rule' ha un'azione corrispondente che deve essere eseguita in caso di corrispondenza delle condizioni (bit-mask). Se la corrispondenza avviene in pi\u00f9 ACL-slice, nella sezione 'Action Conflict Resolution' viene presa una decisione su quale azione eseguire sulla base della priorit\u00e0 dell'ACL-slice. Se nell'ACL sono definite sia un'azione (permit\/deny) che un 'action-modifier' (count\/QoS\/log\/\u2026), in caso di corrispondenze multiple verr\u00e0 eseguita solo l'azione di maggiore priorit\u00e0, mentre tutti gli 'action-modifier' verranno eseguiti. Nell'esempio qui sotto si mostra che entrambi i conteggi verranno incrementati e verr\u00e0 eseguita l'azione di maggiore priorit\u00e0 'deny'.<\/p>\n

\"Dettagli
\nGuida alle Soluzioni ACL<\/a><\/noindex> con informazioni pi\u00f9 dettagliate sul funzionamento delle ACL, disponibili pubblicamente sul sito extremenetworks.com<\/a><\/noindex>. Qualsiasi domanda sorga o resti pu\u00f2 sempre essere indirizzata ai membri del nostro ufficio \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Dettagli sulle ACL degli switch | ProHoster","description":"Le ACL (Access Control List) sui dispositivi di rete possono essere implementate sia a livello hardware che software, ovvero come ACL basate su hardware e software.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}