החלף ACL בפירוט

ACLs (רשימת בקרת גישה) על התקני רשת יכולים להיות מיושמים הן בחומרה והן בתוכנה, או בשכיחות רבה יותר, ב-ACL מבוססי חומרה ותוכנה. ואם הכל צריך להיות ברור עם ACL מבוססי תוכנה - אלו כללים שמאוחסנים ומעובדים ב-RAM (כלומר במישור הבקרה), עם כל ההגבלות הנובעות מכך, אז נבין כיצד מיושמים רכיבי ACL מבוססי חומרה ונפעל שלנו מאמר. כדוגמה, נשתמש במתגים מסדרת ExtremeSwitching מבית Extreme Networks.

מכיוון שאנו מעוניינים ב-ACL מבוססי חומרה, היישום הפנימי של ה-Data Plane, או ערכות השבבים בפועל (ASIC) בהן נעשה שימוש, הוא בעל חשיבות עליונה עבורנו. כל קווי המתגים של Extreme Networks בנויים על Broadcom ASICs, ולכן רוב המידע שלהלן יהיה נכון גם עבור מתגים אחרים בשוק המיושמים באותם ASICs.

כפי שניתן לראות מהאיור שלמעלה, "ContentAware Engine" אחראי ישירות על פעולתם של ACLs בערכת השבבים, בנפרד ל"כניסה" ו"יציאה". מבחינה אדריכלית, הם זהים, רק "יציאה" פחות ניתנת להרחבה ופחות פונקציונלית. מבחינה פיזית, שני "מנועי ה-ContentAware" הם זיכרון TCAM בתוספת לוגיקה נלווית, וכל כלל ACL של משתמש או מערכת הוא מסכת סיביות פשוטה שנכתבת לזיכרון זה. לכן ערכת השבבים מעבדת מנה אחר מנה וללא ירידה בביצועים.

מבחינה פיזית, אותו Ingress/Egress TCAM, בתורו, מחולק באופן הגיוני למספר מקטעים (בהתאם לכמות הזיכרון עצמה והפלטפורמה), מה שנקרא "פרוסות ACL". לדוגמה, אותו דבר קורה עם אותו HDD פיזית במחשב הנייד שלך כאשר אתה יוצר בו מספר כוננים לוגיים - C:>, D:>. כל פרוסת ACL, בתורה, מורכבת מתאי זיכרון בצורה של "מחרוזות" שבהן נכתבים "חוקים" (חוקים/מסיכות סיביות).

לחלוקה של TCAM לפרוסות ACL יש היגיון מסוים מאחוריה. בכל אחד מפרוסות ה-ACL הבודדות, ניתן לכתוב רק "חוקים" התואמים זה את זה. אם אחד מה"כללים" אינו תואם לקודמו, אז הוא ייכתב לפרוסת ה-ACL הבאה, ללא קשר למספר השורות הפנויות ל"כללים" שנותרו בקודם.

מהיכן נובעת התאימות או אי ההתאמה הזו של כללי ACL? העובדה היא ש"קו" TCAM אחד, שבו נכתב "כללים", הוא בעל אורך של 232 סיביות ומחולק למספר שדות - Fixed, Field1, Field2, Field3. זיכרון TCAM של 232 סיביות או 29 בתים מספיק כדי להקליט את מסכת הסיביות של כתובת MAC או IP ספציפית, אבל הרבה פחות מכותרת מנות ה-Ethernet המלאה. בכל פרוסת ACL בודדת, ה-ASIC מבצע חיפוש עצמאי בהתאם למסכת הסיביות שהוגדרה ב-F1-F3. באופן כללי, ניתן לבצע חיפוש זה באמצעות 128 הבתים הראשונים של כותרת ה-Ethernet. למעשה, דווקא בגלל שניתן לבצע את החיפוש מעל 128 בתים, אבל ניתן לכתוב רק 29 בתים, לצורך חיפוש נכון יש להגדיר היסט ביחס לתחילת החבילה. ההיסט עבור כל פרוסת ACL נקבע כאשר הכלל הראשון נכתב אליו, ואם, בעת כתיבת כלל עוקב, מתגלה הצורך בקיזוז נוסף, אז כלל כזה נחשב בלתי תואם עם הכלל הראשון ונכתב ל- פרוסת ACL הבאה.

הטבלה שלהלן מציגה את סדר התאימות של התנאים המפורטים ב-ACL. כל שורה בודדת מכילה מסכות סיביות שנוצרו התואמות זו לזו ואינן תואמות לשורות אחרות.

כל מנה בודדת המעובדת על ידי ה-ASIC מפעילה חיפוש מקביל בכל פרוסת ACL. הבדיקה מתבצעת עד להתאמה הראשונה בפרוסת ה-ACL, אך מותרות התאמות מרובות עבור אותה חבילה בפרוסות ACL שונות. לכל "כלל" בודד יש פעולה מתאימה שיש לבצע אם התנאי (מסיכת סיביות) תואם. אם מתרחשת התאמה במספר פרוסות ACL בו-זמנית, אז בבלוק "פתרון סכסוכים בפעולה", בהתבסס על העדיפות של פרוסת ה-ACL, מתקבלת החלטה איזו פעולה לבצע. אם ה-ACL מכיל גם "פעולה" (הרשאה/דחה) וגם "שינוי פעולה" (ספירה/QoS/log/...), אז במקרה של מספר התאמות תתבצע רק ה"פעולה" בעדיפות גבוהה יותר, בעוד ש"פעולה" -modifier" יושלם. הדוגמה להלן מראה ששני המונים יוגדלו ו"הכחשה" בעדיפות גבוהה יותר תבוצע.

"מדריך פתרונות ACL" עם מידע מפורט יותר על פעולת ACL ברשות הרבים באתר extremenetworks.com. כל שאלה שתתעורר או תישאר תמיד יכולה להישאל לצוות המשרד שלנו - [מוגן בדוא"ל].

מקור: www.habr.com