დეტალურად შეცვალეთ ACL-ები

ACL-ები (წვდომის კონტროლის სია) ქსელურ მოწყობილობებზე შეიძლება განხორციელდეს როგორც აპარატურაში, ასევე პროგრამულ უზრუნველყოფაში, ან უფრო ხშირად, აპარატურულ და პროგრამულ უზრუნველყოფაზე დაფუძნებულ ACL-ებში. და თუ ყველაფერი გასაგები უნდა იყოს პროგრამულ უზრუნველყოფაზე დაფუძნებულ ACL-ებთან - ეს არის წესები, რომლებიც ინახება და მუშავდება RAM-ში (ანუ საკონტროლო სიბრტყეში), ყველა შემდგომი შეზღუდვით, მაშინ ჩვენ გავიგებთ, თუ როგორ არის დანერგილი კომპიუტერზე დაფუძნებული ACL-ები და ვიმუშავებთ ჩვენს სტატია. მაგალითად, ჩვენ გამოვიყენებთ გადამრთველებს ExtremeSwitching სერიიდან Extreme Networks.

ვინაიდან ჩვენ დაინტერესებული ვართ აპარატურაზე დაფუძნებული ACL-ებით, მონაცემთა სიბრტყის შიდა დანერგვა ან გამოყენებული ფაქტობრივი ჩიპსეტები (ASIC) ჩვენთვის უმნიშვნელოვანესია. ყველა Extreme Networks გადამრთველი ხაზი აგებულია Broadcom ASIC-ზე და, შესაბამისად, ქვემოთ მოყვანილი ინფორმაციის უმეტესობა ასევე მართებულია ბაზარზე არსებული სხვა გადამრთველებისთვის, რომლებიც დანერგილია იმავე ASIC-ებზე.

როგორც ზემოთ მოყვანილი ნახატიდან ჩანს, „ContentAware Engine“ უშუალოდ არის პასუხისმგებელი ჩიპსეტში ACL-ების მუშაობაზე, ცალკე „შესვლა“ და „გამოსვლა“. არქიტექტურულად, ისინი ერთნაირია, მხოლოდ „გამოსვლა“ არის ნაკლებად მასშტაბური და ნაკლებად ფუნქციონალური. ფიზიკურად, ორივე „ContentAware Engines“ არის TCAM მეხსიერება, პლუს თანმხლები ლოგიკა, და თითოეული მომხმარებლის ან სისტემის ACL წესი არის მარტივი ბიტი-ნიღაბი დაწერილი ამ მეხსიერებაში. სწორედ ამიტომ ჩიპსეტი ამუშავებს ტრაფიკს პაკეტ-პაკეტით და შესრულების დეგრადაციის გარეშე.

ფიზიკურად, იგივე Ingress/Egress TCAM, თავის მხრივ, ლოგიკურად იყოფა რამდენიმე სეგმენტად (დამოკიდებულია თავად მეხსიერების ოდენობაზე და პლატფორმაზე), ე.წ. "ACL slices". მაგალითად, იგივე ხდება ფიზიკურად იგივე HDD-ზე თქვენს ლეპტოპზე, როდესაც მასზე ქმნით რამდენიმე ლოგიკურ დისკს - C:>, D:>. თითოეული ACL ნაჭერი, თავის მხრივ, შედგება მეხსიერების უჯრედებისგან „სტრიქონების“ სახით, სადაც იწერება „წესები“ (წესები/ბიტი ნიღბები).

TCAM-ის ACL- ნაჭრებად დაყოფას გარკვეული ლოგიკა აქვს მის უკან. ACL-ის თითოეულ ცალკეულ ნაჭერში შეიძლება ჩაიწეროს მხოლოდ ერთმანეთთან თავსებადი „წესები“. თუ რომელიმე „წესიდან“ არ არის თავსებადი წინასთან, მაშინ ის ჩაიწერება შემდეგ ACL ნაჭერზე, მიუხედავად იმისა, თუ რამდენი უფასო ხაზია დარჩენილი „წესებისთვის“ წინაში.

მაშინ საიდან მოდის ACL წესების ეს თავსებადობა ან შეუთავსებლობა? ფაქტია, რომ ერთი TCAM „ხაზი“, სადაც იწერება „წესები“, აქვს 232 ბიტის სიგრძე და იყოფა რამდენიმე ველად - Fixed, Field1, Field2, Field3. 232 ბიტიანი ან 29 ბაიტი TCAM მეხსიერება საკმარისია კონკრეტული MAC ან IP მისამართის ბიტის ნიღბის ჩასაწერად, მაგრამ ბევრად ნაკლები ვიდრე სრული Ethernet პაკეტის სათაური. ACL-ის თითოეულ ცალკეულ ნაჭერში ASIC ახორციელებს დამოუკიდებელ ძიებას F1-F3-ში მითითებული ბიტის ნიღბის მიხედვით. ზოგადად, ეს ძიება შეიძლება შესრულდეს Ethernet სათაურის პირველი 128 ბაიტის გამოყენებით. სინამდვილეში, ზუსტად იმის გამო, რომ ძიება შეიძლება შესრულდეს 128 ბაიტზე, მაგრამ მხოლოდ 29 ბაიტი შეიძლება ჩაიწეროს, სწორი საძიებლად ოფსეტი უნდა იყოს მითითებული პაკეტის დასაწყისთან შედარებით. ოფსეტი ყოველი ACL ნაჭერისთვის დგინდება, როდესაც მასზე პირველი წესი იწერება და თუ შემდგომი წესის დაწერისას აღმოჩენილია სხვა ოფსეტის საჭიროება, მაშინ ასეთი წესი ჩაითვლება პირველთან შეუთავსებლად და ჩაიწერება შემდეგი ACL ნაჭერი.

ქვემოთ მოყვანილი ცხრილი გვიჩვენებს ACL-ში მითითებული პირობების თავსებადობის თანმიმდევრობას. თითოეული ცალკეული ხაზი შეიცავს გენერირებულ ბიტ-ნიღბებს, რომლებიც თავსებადია ერთმანეთთან და შეუთავსებელია სხვა ხაზებთან.

ASIC-ის მიერ დამუშავებული თითოეული ცალკეული პაკეტი აწარმოებს პარალელურად ძიებას თითოეულ ACL ნაჭერში. შემოწმება შესრულებულია ACL-სლაისში პირველ მატჩამდე, მაგრამ ნებადართულია მრავალი მატჩი ერთი და იმავე პაკეტისთვის სხვადასხვა ACL- ნაჭერში. თითოეულ ინდივიდუალურ „წესს“ აქვს შესაბამისი მოქმედება, რომელიც უნდა შესრულდეს, თუ პირობა (ბიტი-ნიღაბი) შეესაბამება. თუ დამთხვევა ხდება ACL-ის რამდენიმე ნაჭერში ერთდროულად, მაშინ ბლოკში „Action Conflict Resolution“, ACL-ს პრიორიტეტის მიხედვით, მიიღება გადაწყვეტილება, რომელი მოქმედება შესრულდეს. თუ ACL შეიცავს როგორც „მოქმედებას“ (ნებართვა/უარი) და „მოქმედება-მოდიფიკატორი“ (count/QoS/log/…), მაშინ მრავალჯერადი მატჩების შემთხვევაში შესრულდება მხოლოდ უმაღლესი პრიორიტეტის „მოქმედება“, ხოლო „მოქმედება“. -მოდიფიკატორი“ ყველაფერი დასრულდება. ქვემოთ მოყვანილი მაგალითი გვიჩვენებს, რომ ორივე მრიცხველი გაიზრდება და უფრო მაღალი პრიორიტეტის „უარი“ შესრულდება.

"ACL Solutions Guide" ვებსაიტზე საჯარო დომენში ACL-ის ფუნქციონირების შესახებ უფრო დეტალური ინფორმაციით extremenetworks.com. ნებისმიერი შეკითხვა, რომელიც წარმოიქმნება ან რჩება, ყოველთვის შეგიძლიათ დაუსვათ ჩვენი ოფისის თანამშრომლებს - [ელ.ფოსტით დაცულია].

წყარო: www.habr.com