ប្តូរ ACLs យ៉ាងលម្អិត

ACLs (Access Control List) នៅលើឧបករណ៍បណ្តាញអាចត្រូវបានអនុវត្តទាំងផ្នែករឹង និងសូហ្វវែរ ឬជាទូទៅ ACLs ដែលផ្អែកលើផ្នែករឹង និងផ្នែកទន់។ ហើយប្រសិនបើអ្វីៗទាំងអស់គួរតែច្បាស់លាស់ជាមួយ ACLs ដែលមានមូលដ្ឋានលើកម្មវិធី - ទាំងនេះគឺជាច្បាប់ដែលត្រូវបានរក្សាទុក និងដំណើរការនៅក្នុង RAM (ឧទាហរណ៍នៅលើ Control Plane) ជាមួយនឹងការរឹតបន្តឹងជាបន្តបន្ទាប់ នោះយើងនឹងយល់ពីរបៀបដែល ACLs ផ្អែកលើផ្នែករឹងត្រូវបានអនុវត្ត និងដំណើរការរបស់យើង។ អត្ថបទ។ ជាឧទាហរណ៍ យើងនឹងប្រើការប្តូរពីស៊េរី ExtremeSwitching ពី Extreme Networks។

ដោយសារយើងចាប់អារម្មណ៍លើ ACLs ដែលមានមូលដ្ឋានលើផ្នែករឹង ការអនុវត្តផ្ទៃក្នុងនៃ Data Plane ឬ chipsets (ASICs) ពិតប្រាកដដែលបានប្រើ គឺមានសារៈសំខាន់បំផុតសម្រាប់យើង។ ខ្សែប្តូរបណ្តាញ Extreme Networks ទាំងអស់ត្រូវបានបង្កើតឡើងនៅលើ Broadcom ASICs ហើយដូច្នេះព័ត៌មានភាគច្រើនខាងក្រោមក៏នឹងជាការពិតសម្រាប់កុងតាក់ផ្សេងទៀតនៅលើទីផ្សារដែលត្រូវបានអនុវត្តនៅលើ ASICs ដូចគ្នា។

ដូចដែលអាចមើលឃើញពីរូបភាពខាងលើ "ContentAware Engine" ទទួលខុសត្រូវដោយផ្ទាល់ចំពោះប្រតិបត្តិការរបស់ ACLs នៅក្នុង chipset ដោយឡែកសម្រាប់ "ingress" និង "egress" ។ តាមស្ថាបត្យកម្ម ពួកវាគឺដូចគ្នា មានតែ "egress" ប៉ុណ្ណោះដែលមានទំហំតូច និងមានមុខងារតិច។ ជាក់ស្តែង ទាំង "ContentAware Engines" គឺជាអង្គចងចាំ TCAM បូកនឹងតក្កវិជ្ជាដែលភ្ជាប់មកជាមួយ ហើយអ្នកប្រើប្រាស់ ឬប្រព័ន្ធនីមួយៗ ច្បាប់ ACL គឺជារបាំងប៊ីតសាមញ្ញដែលសរសេរទៅអង្គចងចាំនេះ។ នោះហើយជាមូលហេតុដែល chipset ដំណើរការ traffic packet ដោយ packet និងដោយគ្មានការរុះរើដំណើរការ។

ខាងរូបវន្ត Ingress/Egress TCAM ដូចគ្នា ត្រូវបានបែងចែកតាមបែបឡូជីខលទៅជាផ្នែកជាច្រើន (អាស្រ័យលើបរិមាណនៃអង្គចងចាំខ្លួនវា និងវេទិកា) ដែលហៅថា "ចំណិត ACL" ។ ឧទាហរណ៍ រឿងដដែលនេះកើតឡើងជាមួយ HDD ដូចគ្នានៅលើកុំព្យូទ័រយួរដៃរបស់អ្នក នៅពេលអ្នកបង្កើតដ្រាយឡូជីខលជាច្រើននៅលើវា - C:>, D:> ។ ACL-slice នីមួយៗមានកោសិកាអង្គចងចាំក្នុងទម្រង់ជា "ខ្សែអក្សរ" ដែល "ច្បាប់" (ច្បាប់/របាំងប៊ីត) ត្រូវបានសរសេរ។

ការបែងចែក TCAM ទៅជា ACL-slices មានតក្កវិជ្ជាជាក់លាក់នៅពីក្រោយវា។ នៅក្នុងផ្នែកនីមួយៗនៃ ACL-slice មានតែ "ច្បាប់" ដែលត្រូវគ្នានឹងគ្នាប៉ុណ្ណោះដែលអាចសរសេរបាន។ ប្រសិនបើ "ច្បាប់" ណាមួយមិនត្រូវគ្នានឹងច្បាប់មុន នោះវានឹងត្រូវបានសរសេរទៅកាន់ ACL-slice បន្ទាប់ ដោយមិនគិតពីចំនួនបន្ទាត់ឥតគិតថ្លៃសម្រាប់ "ច្បាប់" ត្រូវបានទុកនៅក្នុងលេខមុន។

តើភាពឆបគ្នា ឬភាពមិនស៊ីគ្នានៃច្បាប់ ACL មកពីណា? ការពិតគឺថា "បន្ទាត់" មួយរបស់ TCAM ដែល "ច្បាប់" ត្រូវបានសរសេរ មានប្រវែង 232 ប៊ីត ហើយត្រូវបានបែងចែកទៅជាវាលជាច្រើន - Fixed, Field1, Field2, Field3 ។ អង្គចងចាំ 232 ប៊ីត ឬ 29 បៃ TCAM គឺគ្រប់គ្រាន់ដើម្បីកត់ត្រា bit-mask នៃអាសយដ្ឋាន MAC ឬ IP ជាក់លាក់មួយ ប៉ុន្តែតិចជាងក្បាលកញ្ចប់ Ethernet ពេញលេញ។ នៅក្នុង ACL-slice នីមួយៗ ASIC ធ្វើការរកមើលដោយឯករាជ្យយោងទៅតាម bit-mask ដែលបានកំណត់ក្នុង F1-F3 ។ ជាទូទៅ ការរកមើលនេះអាចត្រូវបានអនុវត្តដោយប្រើ 128 បៃដំបូងនៃបឋមកថាអ៊ីសឺរណិត។ តាមពិតទៅ ការស្វែងរកអាចត្រូវបានអនុវត្តលើសពី 128 បៃ ប៉ុន្តែអាចសរសេរបានត្រឹមតែ 29 បៃប៉ុណ្ណោះ សម្រាប់ការរកមើលត្រឹមត្រូវ អុហ្វសិតត្រូវតែកំណត់ទាក់ទងទៅនឹងការចាប់ផ្តើមនៃកញ្ចប់ព័ត៌មាន។ អុហ្វសិតសម្រាប់ ACL-slice នីមួយៗត្រូវបានកំណត់នៅពេលដែលច្បាប់ទីមួយត្រូវបានសរសេរទៅវា ហើយប្រសិនបើនៅពេលសរសេរច្បាប់បន្តបន្ទាប់ តម្រូវការសម្រាប់អុហ្វសិតផ្សេងទៀតត្រូវបានរកឃើញ នោះច្បាប់បែបនេះត្រូវបានចាត់ទុកថាមិនស៊ីគ្នាជាមួយនឹងទីមួយ ហើយត្រូវបានសរសេរទៅ ACL-slice បន្ទាប់។

តារាងខាងក្រោមបង្ហាញពីលំដាប់នៃភាពត្រូវគ្នានៃលក្ខខណ្ឌដែលបានបញ្ជាក់នៅក្នុង ACL ។ បន្ទាត់នីមួយៗមានរបាំងប៊ីតដែលបានបង្កើតដែលត្រូវគ្នា និងមិនត្រូវគ្នាជាមួយបន្ទាត់ផ្សេងទៀត។

កញ្ចប់ព័ត៌មាននីមួយៗដែលដំណើរការដោយ ASIC ដំណើរការការរកមើលស្របគ្នានៅក្នុង ACL-slice នីមួយៗ។ ការត្រួតពិនិត្យត្រូវបានអនុវត្តរហូតដល់ការប្រកួតដំបូងនៅក្នុង ACL-slice ប៉ុន្តែការផ្គូផ្គងជាច្រើនត្រូវបានអនុញ្ញាតសម្រាប់កញ្ចប់ព័ត៌មានដូចគ្នានៅក្នុង ACL-slices ផ្សេងៗគ្នា។ "ច្បាប់" នីមួយៗមានសកម្មភាពដែលត្រូវគ្នាដែលត្រូវតែអនុវត្តប្រសិនបើលក្ខខណ្ឌ (របាំងប៊ីត) ត្រូវបានផ្គូផ្គង។ ប្រសិនបើការផ្គូផ្គងកើតឡើងនៅក្នុង ACL-slice ជាច្រើនក្នុងពេលតែមួយ នោះនៅក្នុងប្លុក "ដំណោះស្រាយជម្លោះសកម្មភាព" ដោយផ្អែកលើអាទិភាពនៃ ACL-slice ការសម្រេចចិត្តមួយត្រូវបានធ្វើឡើង។ ប្រសិនបើ ACL មានទាំង "សកម្មភាព" (អនុញ្ញាត/បដិសេធ) និង "អ្នកកែប្រែសកម្មភាព" (រាប់/QoS/log/...) នោះក្នុងករណីមានការផ្គូផ្គងច្រើន មានតែ "សកម្មភាព" អាទិភាពខ្ពស់នឹងត្រូវបានប្រតិបត្តិ ខណៈពេលដែល "សកម្មភាព -modifier” នឹងត្រូវបានបញ្ចប់ទាំងអស់។ ឧទាហរណ៍ខាងក្រោមបង្ហាញថាបញ្ជរទាំងពីរនឹងត្រូវបានបង្កើន ហើយ "បដិសេធ" អាទិភាពខ្ពស់ជាងនឹងត្រូវបានប្រតិបត្តិ។

"ការណែនាំអំពីដំណោះស្រាយ ACL" ជាមួយនឹងព័ត៌មានលម្អិតបន្ថែមអំពីប្រតិបត្តិការរបស់ ACL នៅក្នុងដែនសាធារណៈនៅលើគេហទំព័រ extremenetworks.com. រាល់ចម្ងល់ដែលកើតឡើង ឬនៅតែមានអាចសួរទៅកាន់បុគ្គលិកការិយាល័យរបស់យើងជានិច្ច - cis@extremenetworks.com.

ប្រភព: www.habr.com