ACL हरू विस्तृत रूपमा स्विच गर्नुहोस्

नेटवर्क उपकरणहरूमा ACLs (पहुँच नियन्त्रण सूची) दुवै हार्डवेयर र सफ्टवेयर, वा अधिक सामान्य रूपमा बोल्ने, हार्डवेयर र सफ्टवेयर-आधारित ACLs मा लागू गर्न सकिन्छ। र यदि सफ्टवेयर-आधारित ACLs सँग सबै कुरा स्पष्ट हुनुपर्दछ - यी नियमहरू हुन् जुन RAM मा भण्डारण र प्रशोधन गरिन्छ (जस्तै नियन्त्रण प्लेनमा), सबै आगामी प्रतिबन्धहरूको साथ, तब हामी बुझ्नेछौं कि हार्डवेयर-आधारित ACL हरू कसरी कार्यान्वयन गरिन्छ र हाम्रो काम गर्दछ। लेख। उदाहरणको रूपमा, हामी ExtremeSwitching श्रृंखला बाट Extreme Networks बाट स्विचहरू प्रयोग गर्नेछौं।

हामी हार्डवेयर-आधारित ACLs मा रुचि राख्छौं, डेटा प्लेन को आन्तरिक कार्यान्वयन, वा वास्तविक चिपसेट (ASICs) को प्रयोग, हाम्रो लागि सर्वोच्च महत्व छ। सबै चरम नेटवर्कहरू स्विच लाइनहरू Broadcom ASICs मा बनाइएका छन्, र त्यसैले तलका धेरैजसो जानकारीहरू समान ASICs मा लागू गरिएका बजारका अन्य स्विचहरूका लागि पनि सही हुनेछन्।

माथिको चित्रबाट देख्न सकिन्छ, "सामग्री अवेयर इन्जिन" चिपसेटमा ACL को सञ्चालनको लागि सीधै जिम्मेवार छ, अलग रूपमा "इनग्रेस" र "एग्रेस" को लागी। वास्तुगत रूपमा, तिनीहरू समान छन्, केवल "निकाश" कम स्केलेबल र कम कार्यात्मक छ। भौतिक रूपमा, दुबै "सामग्री अवेयर इन्जिनहरू" TCAM मेमोरी प्लस संगत तर्क हुन्, र प्रत्येक प्रयोगकर्ता वा प्रणाली ACL नियम यस मेमोरीमा लेखिएको साधारण बिट-मास्क हो। यही कारणले गर्दा चिपसेटले ट्राफिक प्याकेटलाई प्याकेटद्वारा र कार्यसम्पादनमा ह्रास बिना प्रक्रिया गर्दछ।

भौतिक रूपमा, उही Ingress/Egress TCAM, बारीमा, तार्किक रूपमा धेरै खण्डहरूमा विभाजित हुन्छ (मेमोरीको मात्रा र प्लेटफर्ममा निर्भर गर्दै), तथाकथित "ACL स्लाइसहरू"। उदाहरणका लागि, तपाईंको ल्यापटपमा भौतिक रूपमा एउटै HDD सँग समान कुरा हुन्छ जब तपाईंले यसमा धेरै तार्किक ड्राइभहरू सिर्जना गर्नुहुन्छ - C:>, D:>। प्रत्येक ACL-स्लाइस, बारीमा, मेमोरी कक्षहरू "स्ट्रिङ्स" को रूपमा समावेश गर्दछ जहाँ "नियमहरू" (नियम/बिट मास्क) लेखिएको हुन्छ।

ACL-स्लाइसहरूमा TCAM को विभाजन यसको पछाडि एक निश्चित तर्क छ। प्रत्येक व्यक्तिगत ACL-स्लाइसहरूमा, एकअर्कासँग मिल्दो "नियमहरू" मात्र लेख्न सकिन्छ। यदि कुनै पनि "नियमहरू" अघिल्लोसँग मिल्दो छैन भने, यसलाई अर्को ACL-स्लाइसमा लेखिनेछ, अघिल्लो एकमा "नियमहरू" को लागि कतिवटा नि:शुल्क लाइनहरू बाँकी छन्।

त्यसो भए ACL नियमहरूको यो अनुकूलता वा असंगतता कहाँबाट आउँछ? तथ्य यो हो कि एउटा TCAM "लाइन", जहाँ "नियम" लेखिएको छ, 232 बिटको लम्बाइ छ र धेरै क्षेत्रहरूमा विभाजित छ - निश्चित, क्षेत्र1, क्षेत्र2, क्षेत्र3। 232 बिट वा 29 बाइट TCAM मेमोरी विशिष्ट MAC वा IP ठेगानाको बिट-मास्क रेकर्ड गर्न पर्याप्त छ, तर पूर्ण इथरनेट प्याकेट हेडर भन्दा धेरै कम। प्रत्येक व्यक्तिगत ACL-स्लाइसमा, ASIC ले F1-F3 मा सेट गरिएको बिट-मास्क अनुसार स्वतन्त्र लुकअप गर्छ। सामान्यतया, यो लुकअप इथरनेट हेडरको पहिलो 128 बाइटहरू प्रयोग गरेर प्रदर्शन गर्न सकिन्छ। वास्तवमा, ठ्याक्कै किनभने खोज १२८ बाइट्समा प्रदर्शन गर्न सकिन्छ, तर केवल २९ बाइटहरू लेख्न सकिन्छ, सही लुकअपको लागि प्याकेटको सुरुको सापेक्ष अफसेट सेट गर्नुपर्छ। प्रत्येक ACL-स्लाइसको लागि अफसेट सेट गरिन्छ जब पहिलो नियम यसमा लेखिएको हुन्छ, र यदि, अर्को नियम लेख्दा, अर्को अफसेटको आवश्यकता पत्ता लगाइयो भने, यस्तो नियम पहिलोसँग असंगत मानिन्छ र लेखिएको छ। अर्को ACL-स्लाइस।

तलको तालिकाले ACL मा निर्दिष्ट सर्तहरूको अनुकूलताको क्रम देखाउँछ। प्रत्येक व्यक्तिगत रेखाले उत्पन्न बिट-मास्कहरू समावेश गर्दछ जुन एक अर्कासँग मिल्दो र अन्य रेखाहरूसँग असंगत छन्।

ASIC द्वारा प्रशोधन गरिएको प्रत्येक व्यक्तिगत प्याकेटले प्रत्येक ACL-स्लाइसमा समानान्तर लुकअप चलाउँछ। ACL-स्लाइसमा पहिलो म्याच नभएसम्म जाँच गरिन्छ, तर विभिन्न ACL-स्लाइसहरूमा एउटै प्याकेटका लागि धेरै म्याचहरूलाई अनुमति दिइन्छ। प्रत्येक व्यक्तिगत "नियम" सँग सम्बन्धित कार्य हुन्छ जुन शर्त (बिट-मास्क) मेल खाएमा गर्नै पर्छ। यदि एकैचोटि धेरै ACL-स्लाइसहरूमा मिल्दोजुल्दो हुन्छ भने, ACL-स्लाइसको प्राथमिकतामा आधारित "कार्य द्वन्द्व समाधान" ब्लकमा, कुन कार्य गर्ने निर्णय गरिन्छ। यदि ACL मा "कार्य" (अनुमति/अस्वीकार) र "कार्य परिमार्जनकर्ता" (गणना/क्यूओएस/लग/…) दुवै समावेश छन् भने, त्यसपछि धेरै मिल्दोहरूको मामलामा मात्र उच्च प्राथमिकताको "कार्य" कार्यान्वयन हुनेछ, जबकि "कार्य -परिशोधक" सबै पूरा हुनेछ। तलको उदाहरणले देखाउँछ कि दुबै काउन्टरहरू बढाइनेछ र उच्च प्राथमिकता "अस्वीकार" लाई कार्यान्वयन गरिनेछ।

"ACL समाधान गाइड" वेबसाइटमा सार्वजनिक डोमेनमा ACL को सञ्चालनको बारेमा थप विस्तृत जानकारीको साथ Extremenetworks.com। उठ्ने वा बाँकी रहेका कुनै पनि प्रश्नहरू सधैं हाम्रो कार्यालयका कर्मचारीहरूलाई सोध्न सकिन्छ - [ईमेल सुरक्षित].

स्रोत: www.habr.com