{"id":55847,"date":"2020-01-30T00:00:00","date_gmt":"2020-01-29T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/acl-kommutatorov-v-detalyah"},"modified":"2020-02-18T14:04:00","modified_gmt":"2020-02-18T11:04:00","slug":"acl-kommutatorov-v-detalyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","title":{"rendered":"Szczeg\u00f3\u0142y ACL prze\u0142\u0105cznik\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

ACL (Access Control List) na urz\u0105dzeniach sieciowych mog\u0105 by\u0107 wdra\u017cane zar\u00f3wno sprz\u0119towo, jak i programowo, znane jako ACL oparte na sprz\u0119cie i oparte na oprogramowaniu. I je\u015bli chodzi o ACL oparte na oprogramowaniu, to s\u0105 to zasady przechowywane i przetwarzane w pami\u0119ci RAM (tzn. na Control Plane), z wszelkimi wynikaj\u0105cymi st\u0105d ograniczeniami, to jak dzia\u0142aj\u0105 i s\u0105 wdra\u017cane hardware-based ACL, om\u00f3wimy w naszym artykule. Jako przyk\u0142ad u\u017cyjemy prze\u0142\u0105cznik\u00f3w serii ExtremeSwitching firmy Extreme Networks.<\/p>\n

\"Szczeg\u00f3\u0142y
\n <\/a><\/noindex>
\nPoniewa\u017c interesuj\u0105 nas hardware-based ACL, kluczowe znaczenie ma wewn\u0119trzna realizacja Data Plane, czy w\u0142a\u015bciwie wykorzystywanych chip\u00f3w (ASIC). Prze\u0142\u0105czniki wszystkich linii firmy Extreme Networks s\u0105 zbudowane na ASIC od Broadcom, dlatego wi\u0119kszo\u015b\u0107 poni\u017cszych informacji b\u0119dzie r\u00f3wnie\u017c prawdziwa dla innych prze\u0142\u0105cznik\u00f3w dost\u0119pnych na rynku, wdro\u017conych na takich samych ASIC.<\/p>\n

Jak wida\u0107 na powy\u017cszym rysunku, za dzia\u0142anie ACL w chipsecie odpowiadaj\u0105 \"ContentAware Engine\", osobno dla \"ingress\" i \"egress\". Architektonicznie s\u0105 one identyczne, z tym, \u017ce \"egress\" jest mniej skalowalny i mniej funkcjonalny. Fizycznie obie jednostki \"ContentAware Engine\" to pami\u0119\u0107 TCAM plus towarzysz\u0105ca logika, a ka\u017cda regu\u0142a ACL u\u017cytkownika lub systemowa to prosta maska bitowa (bit-mask) zapisana w tej pami\u0119ci. Dlatego przetwarzanie ruchu przez chipset odbywa si\u0119 pakietowo i bez degradacji wydajno\u015bci.<\/p>\n

Fizycznie ta sama pami\u0119\u0107 Ingress\/Egress TCAM jest logcznie podzielona na kilka segment\u00f3w (zale\u017cy od ilo\u015bci samej pami\u0119ci i platformy), tzw. \"ACL slices\". Na przyk\u0142ad, to samo dzieje si\u0119 z fizycznie jednym i tym samym HDD w twoim laptopie, gdy tworzysz na nim kilka logicznych dysk\u00f3w \u2013 C:>, D:>. Ka\u017cdy ACL-slice w swoj\u0105 kolej sk\u0142ada si\u0119 z kom\u00f3rek pami\u0119ci, w formie \"wierszy\", w kt\u00f3rych zapisywane s\u0105 \"rules\" (regu\u0142y\/maski bitowe).<\/p>\n

\"Szczeg\u00f3\u0142y
\nPodzia\u0142 TCAM na ACL-slices ma swoj\u0105 logik\u0119. W ka\u017cdym z osobnych ACL-slice mog\u0105 by\u0107 zapisane tylko wsp\u00f3\u0142kompatybilne \"rules\". Je\u015bli jaki\u015b \"rule\" nie jest zgodny z poprzednim, to zostanie zapisany w nast\u0119pnym w kolejno\u015bci ACL-slice, niezale\u017cnie od tego, ile wolnych wierszy dla \"rules\" pozosta\u0142o w poprzednim. <\/p>\n

Sk\u0105d wi\u0119c bierze si\u0119 ta zgodno\u015b\u0107 lub niezgodno\u015b\u0107 regu\u0142 ACL? Chodzi o to, \u017ce jeden \u201ewiersz\u201d TCAM, w kt\u00f3rym zapisywane s\u0105 \u201eregu\u0142y\u201d, ma d\u0142ugo\u015b\u0107 232 bit\u00f3w i jest podzielony na kilka p\u00f3l \u2013 Fixed, Field1, Field2, Field3. 232 bity lub 29 bajt\u00f3w pami\u0119ci TCAM s\u0105 wystarczaj\u0105ce, aby zapisa\u0107 mask\u0119 bitow\u0105 okre\u015blonego adresu MAC lub IP, ale znacznie mniej ni\u017c pe\u0142ny nag\u0142\u00f3wek pakietu Ethernet. W ka\u017cdym pojedynczym ACL-slice ASIC wykonuje niezale\u017cne wyszukiwanie wed\u0142ug ustawionych w F1-F3 masek bitowych. Og\u00f3lnie rzecz bior\u0105c, to wyszukiwanie mo\u017ce by\u0107 przeprowadzane na pierwszych 128 bajtach nag\u0142\u00f3wka Ethernet. W\u0142a\u015bciwie to z powodu faktu, \u017ce wyszukiwanie mo\u017ce by\u0107 przeprowadzane na 128 bajtach, a zapisane mo\u017ce by\u0107 tylko 29 bajt\u00f3w, dla poprawnego wyszukiwania powinno by\u0107 ustawione przesuni\u0119cie (offset) wzgl\u0119dem pocz\u0105tku pakietu. Offset dla ka\u017cdego ACL-slice jest ustawiany podczas zapisywania pierwszej regu\u0142y, i je\u015bli przy zapisywaniu kolejnej regu\u0142y stwierdzono potrzeb\u0119 innego offsetu, w\u00f3wczas taka regu\u0142a uznawana jest za niezgodn\u0105 z pierwsz\u0105 i zapisywana w nast\u0119pnym ACL-slice.<\/p>\n

W poni\u017cszej tabeli przedstawiony jest porz\u0105dek zgodno\u015bci warunk\u00f3w zapisywanych w ACL. Ka\u017cdy pojedynczy wiersz zawiera warunki, kt\u00f3re s\u0105 zgodne mi\u0119dzy sob\u0105, oraz warunki, kt\u00f3re s\u0105 niezgodne z innymi wierszami, tworz\u0105ce mask\u0119 bitow\u0105.<\/p>\n

\"Szczeg\u00f3\u0142y
\nKa\u017cdy pojedynczy pakiet przetwarzany przez ASIC uruchamia r\u00f3wnoleg\u0142e wyszukiwanie w ka\u017cdym ACL-slice. Sprawdzanie odbywa si\u0119 do pierwszego dopasowania w ACL-slice, ale jednocze\u015bnie dopuszczane jest wielokrotne dopasowanie dla tego samego pakietu w r\u00f3\u017cnych ACL-slice. Ka\u017cda pojedyncza \u201eregu\u0142a\u201d ma odpowiadaj\u0105c\u0105 akcj\u0119, kt\u00f3r\u0105 nale\u017cy wykona\u0107 w przypadku dopasowania warunku (maski bitowej). Je\u015bli dopasowanie wyst\u0105pi\u0142o jednocze\u015bnie w kilku ACL-slice, to w bloku \u201eRozwi\u0105zywanie konflikt\u00f3w akcji\u201d na podstawie priorytetu ACL-slice podejmowana jest decyzja, kt\u00f3ra z dzia\u0142a\u0144 wykona\u0107. Je\u015bli w ACL zapisano zar\u00f3wno \u201eaction\u201d (zezw\u00f3l\/odm\u00f3w), jak i \u201eaction-modifier\u201d (licznik\/QoS\/log\/\u2026), to przy wielokrotnych dopasowaniach zostanie wykonana tylko bardziej priorytetowa \u201eaction\u201d, podczas gdy wszystkie \u201eaction-modifier\u201d b\u0119d\u0105 realizowane. Na poni\u017cszym przyk\u0142adzie pokazano, \u017ce oba liczniki zostan\u0105 zwi\u0119kszone, a bardziej priorytetowa \u201edeny\u201d zostanie wykonana.<\/p>\n

\"Szczeg\u00f3\u0142y
\n\u201ePrzewodnik rozwi\u0105za\u0144 ACL\u201d<\/a><\/noindex> z bardziej szczeg\u00f3\u0142owymi informacjami na temat dzia\u0142ania ACL og\u00f3lnie dost\u0119pnymi na stronie extremenetworks.com<\/a><\/noindex>. Jakiekolwiek pytania, kt\u00f3re si\u0119 pojawi\u0142y lub pozosta\u0142y, zawsze mo\u017cna zada\u0107 pracownikom naszego biura \u2013 cis@extremenetworks.com<\/a><\/noindex>.
\n
\u0179r\u00f3d\u0142o: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL. \u0418 \u0435\u0441\u043b\u0438 \u0441 software-based ACL \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u0441\u0451 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u2014 \u044d\u0442\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0445\u0440\u0430\u043d\u044f\u0442\u0441\u044f \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442\u0441\u044f \u0432 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043d\u043e\u0439 \u043f\u0430\u043c\u044f\u0442\u0438 (\u0442.\u0435. \u043d\u0430 Control Plane), \u0441\u043e \u0432\u0441\u0435\u043c\u0438 \u0432\u044b\u0442\u0435\u043a\u0430\u044e\u0449\u0438\u043c\u0438 \u043e\u0442\u0441\u044e\u0434\u0430 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f\u043c\u0438, \u0442\u043e \u043a\u0430\u043a \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55847","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Szczeg\u00f3\u0142y ACL prze\u0142\u0105cznik\u00f3w | ProHoster","description":"ACL (Access Control List) na urz\u0105dzeniach sieciowych mog\u0105 by\u0107 realizowane zar\u00f3wno w formie sprz\u0119towej, jak i programowej, czyli m\u00f3wi\u0105c pro\u015bciej: ACL oparte na sprz\u0119cie i oprogramowaniu.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47ACL \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u0434\u0435\u0442\u0430\u043b\u044f\u0445 | ProHoster","og:description":"ACL (Access Control List) \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u0440\u0435\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043a\u0430\u043a \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e, \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e, \u0438\u043b\u0438 \u043f\u0440\u0438\u0432\u044b\u0447\u043d\u0435\u0439 \u0433\u043e\u0432\u043e\u0440\u044f hardware \u0438 software-based ACL.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/acl-kommutatorov-v-detalyah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-29T21:00:00+00:00","article:modified_time":"2020-02-18T11:04:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55847","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:35:41","updated":"2022-09-29 07:17:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/55847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=55847"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/55847\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=55847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=55847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=55847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}