{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"ACL van switches in detail","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

ACL (Access Control List) op netwerkinrichtingen kan zowel hardware- als softwarematig worden ge\u00efmplementeerd, of, zoals het vaak wordt genoemd, hardware- en software-gebaseerde ACL. En als het gaat om software-gebaseerde ACL's is het duidelijk - dit zijn de regels die worden opgeslagen en verwerkt in het RAM (d.w.z. op de Control Plane), met alle daaruit voortvloeiende beperkingen. Hoe hardware-gebaseerde ACL's zijn ge\u00efmplementeerd en functioneren, zullen we in ons artikel bespreken. We zullen de switches van de ExtremeSwitching-serie van Extreme Networks als voorbeeld gebruiken.<\/p>\n

\"ACL
\n <\/a><\/noindex>
\nAangezien we ons specifiek richten op hardware-gebaseerde ACL's, is de interne implementatie van de Data Plane, of de gebruikte ASIC-chipsets, van primair belang voor ons. De switches van alle series van Extreme Networks zijn gebouwd op ASIC's van Broadcom, en daarom is de meeste hieronder gegeven informatie ook van toepassing op andere switches op de markt die op soortgelijke ASIC's zijn ge\u00efmplementeerd.<\/p>\n

Zoals te zien is in de afbeelding hierboven, zijn de \"ContentAware Engines\" verantwoordelijk voor het functioneren van de ACL in de chipset, zowel voor \"ingress\" als \"egress\". Architectonisch zijn ze identiek, maar \"egress\" is minder schaalbaar en minder functioneel. Fysiek zijn beide \"ContentAware Engines\" TCAM-geheugen plus bijbehorende logica, en elke gebruikers- of systeemregel van de ACL is een eenvoudige bitmasker (bit-mask) die in dit geheugen is opgeslagen. Daarom wordt het verkeer door de chipset pakketgewijs verwerkt zonder prestatieverlies.<\/p>\n

Fysiek wordt dezelfde Ingress\/Egress TCAM logisch verdeeld in verschillende segmenten (afhankelijk van de hoeveelheid geheugen en het platform), de zogenaamde \"ACL slices\". Bijvoorbeeld, hetzelfde gebeurt met een fysiek dezelfde HDD op uw laptop wanneer u meerdere logische schijven aanmaakt - C:>, D:>. Elke ACL-slice bestaat op zijn beurt uit geheugencellen in de vorm van \"rijen\" waar de \"regels\" (regels\/bitmaskers) worden opgeslagen.<\/p>\n

\"ACL
\nDe opsplitsing van TCAM in ACL-slices heeft een bepaalde logica. In elke afzonderlijke ACL-slice kunnen alleen compatibele \"regels\" worden opgeslagen. Als een van de \"regels\" niet compatibel is met de vorige, wordt deze opgeslagen in de volgende ACL-slice, ongeacht hoeveel vrije rijen er in de voorgaande nog beschikbaar zijn. <\/p>\n

Hoe ontstaat deze compatibiliteit of incompatibiliteit van ACL-regels? Het komt doordat \u00e9\u00e9n \"rij\" van TCAM, waar de \"regels\" worden opgeslagen, een lengte van 232 bit heeft en is verdeeld over verschillende velden \u2013 Fixed, Field1, Field2, Field3. 232 bit of 29 byte TCAM-geheugen is ruim voldoende om een bitmasker van een bepaalde MAC- of IP-adres op te slaan, maar is veel minder dan de volledige header van een Ethernet-pakket. In elke afzonderlijke ACL-slice voert de ASIC een onafhankelijke lookup uit op de in F1-F3 ingestelde bitmasker. In het algemeen kan deze lookup plaatsvinden op de eerste 128 bytes van de Ethernet-header. Dit komt doordat de zoekopdracht kan plaatsvinden op 128 bytes, terwijl er maar 29 bytes kunnen worden opgeslagen, voor een correcte lookup moet er een offset worden ingesteld ten opzichte van het begin van het pakket. De offset voor elke ACL-slice wordt ingesteld tijdens het opslaan van de eerste regel, en als bij het opslaan van een volgende regel blijkt dat er een andere offset nodig is, wordt die regel als incompatibel met de eerste beschouwd en in de volgende ACL-slice opgeslagen.<\/p>\n

In de onderstaande tabel staat de volgorde van compatibiliteit van de voorwaarden die in de ACL worden beschreven. Elke afzonderlijke rij bevat voorwaarden die compatibel zijn met elkaar en niet compatibel zijn met andere rijen van de gevormde bitmasker.<\/p>\n

\"ACL
\nElke afzonderlijke pakket dat door de ASIC wordt verwerkt, start een parallelle lookup in elke ACL-slice. De controle vindt plaats tot de eerste overeenkomst in de ACL-slice, maar er zijn meerdere overeenkomsten voor hetzelfde pakket in verschillende ACL-slices toegestaan. Elke afzonderlijke \"regel\" heeft een bijbehorende actie die moet worden uitgevoerd in het geval van een overeenstemming (bitmasker). Als er in meerdere ACL-slices overeenstemming is, wordt in het blok \"Actieconflictoplossing\" op basis van de prioriteit van de ACL-slice beslist welke actie moet worden uitgevoerd. Als in de ACL zowel \"actie\" (toestaan\/weigeren) als \"actie-modifier\" (tellen\/QoS\/log\/...) is gedefinieerd, zal bij meerdere overeenkomsten alleen de hogere prioriteit \"actie\" worden uitgevoerd, de \"actie-modifier\" zullen echter allemaal worden uitgevoerd. In het onderstaande voorbeeld wordt aangetoond dat beide tellers worden verhoogd en de hogere prioriteit \"weigeren\" wordt uitgevoerd.<\/p>\n

\"ACL
\n\"ACL-oplossingen Gids\"<\/a><\/noindex> met meer gedetailleerde informatie over de werking van ACL vrij beschikbaar op de site extremenetworks.com<\/a><\/noindex>. Verdere vragen die ontstaan of blijven, kunnen altijd worden gesteld aan de medewerkers van ons kantoor \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47ACL-switches in detail | ProHoster","description":"Een ACL (Access Control List) op netwerkelementen kan zowel hardwarematig als softwarematig worden ge\u00efmplementeerd, of zoals gebruikelijk gezegd hardware- en software-gebaseerde ACL.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}