التحقق من صحة قوائم التحكم في الوصول الأمنية على محولات Catalyst 9000 Switches

### Ping originated from neighbor device with source 10.1.1.1 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success 


### Ping originated from neighbor device with source 10.1.1.3 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails 
.....
Success rate is 0 percent (0/5)                                      <-- 0% ping success 


### Confirm RACL drop ###
9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches
    20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i RACL Drop
Ingress IPv4 RACL Drop              (0xed000007):         100 frames  <-- Hardware level command displays drops against RACL 
<...snip...>

السيناريو 4. VACL

عينت VLANs إلى طبقة 2 VLAN. 

• حدود الأمان: داخل شبكة VLAN أو عبرها
• المرفق: خريطة VLAN/VLAN
• الإتجاه: الدخول والخروج في آن واحد
• أنواع قوائم التحكم في الوصول (ACL) المدعومة: قوائم التحكم في الوصول إلى MAC وقوائم التحكم في الوصول إلى IP (قياسية أو موسعة)

تكوين VACL

ip access-list extended TEST
 10 permit ip host 10.1.1.1 any
 20 permit ip any host 10.1.1.1

ip access-list extended ELSE
 10 permit ip any any

vlan access-map VACL 10
 match ip address TEST
 action forward
vlan access-map VACL 20
 match ip address ELSE
 action drop

vlan filter VACL vlan-list 10


9500H#sh vlan access-map VACL
Vlan access-map "VACL" 10
  Match clauses:
    ip address: TEST
  Action:
    forward
Vlan access-map "VACL" 20
  Match clauses:
    ip address: ELSE
  Action:
    drop

9500H#sh vlan filter access-map VACL
VLAN Map VACL is filtering VLANs:
10

التحقق من VACL

إسترداد IF_ID المقترن بالواجهة.

9500H#show platform software fed active ifm interfaces vlan
Interface                         IF_ID               State
----------------------------------------------------------------------
Vlan10                            0x00420010          READY

تحقق من ربط معرف مجموعة الفئات (CG ID) ب IF_ID.

9500H#show platform software fed active acl interface 0x420010  <-- IF_ID for the Vlan 
########################################################
########                              ##################
#######   Printing Interface Infos     #################
########                              ##################
########################################################

INTERFACE: Vlan10                                               <-- Can be L2 only, with no vlan interface 
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fc8cc7c7f48
    Interface handle: 0xf1000024
    Interface Type: Vlan
    if-id: 0x0000000000420010
    Input IPv4: Policy Handle: 0xd10000a3                       <-- VACL has both Ingress and Egress actions 
        Policy Name: VACL                                       <-- Name of the VACL used 
             CG ID: 530                                         <-- Class Group ID for entry 
       CGM Feature: [35] acl-grp                                <-- Feature is ACL group, versus ACl
        Bind Order: 0

    Output IPv4: Policy Handle: 0xc80000a4                      <-- VACL has both Ingress and Egress actions
         Policy Name: VACL
              CG ID: 530
         CGM Feature: [35] acl-grp
    Bind Order: 0

معلومات قائمة التحكم في الوصول (ACL) المقترنة بمعرف مجموعة CG.

هناك قوائم التحكم في الوصول (ACL) مستخدمة في سياسة قائمة التحكم في الوصول إلى شبكة VACL المسماة نفسها، مجمعة في مجموعة قائمة التحكم في الوصول هذه

9500H#show platform software fed active acl info acl-grp-cgid 530  <-- use the group-id command versus gc ID
########################################################
#########                             ##################
########    Printing CG Entries        #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/530): VACL type: IPv4                              <-- feature acl/group ID 530: name VACL : type IPv4
Total Ref count 2
---------------------------------
2 VACL                                                             <-- Ingress and egress ACL direction on a VACl 
---------------------------------
  region reg_id: 12
    subregion subr_id: 0
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x0a010101, mask = 0xffffffff           <-- permit from host 10.1.1.1 (see PACL example for hex conversion)
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- to any other host
      GCE#:20 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- permit from any host 
        ipv4_dst: value = 0x0a010101, mask = 0xffffffff           <-- to host 10.1.1.1
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x05000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- This is the ACL named 'ELSE' which is permit any any
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- with VACL, the logic used was "permit to match" action "drop"

معلومات النهج الخاصة بمعرف CG، وكذلك الواجهات التي تستخدم معرف CG.

9500H#show platform software fed active acl policy 530     <-- use the acl-grp ID 
########################################################
#########                             ##################
########     Printing Policy Infos     #################
#########                             ##################
########################################################

INTERFACE: Vlan10
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fa15802a5d8
    Interface handle: 0xf1000024
    Interface Type: Vlan                                   <-- Interface type is the Vlan, not a specific interface 
    if-id: 0x0000000000420010                              <-- the Vlan IF_ID matches Vlan 10
------------
Direction: Input                                           <-- VACL in the input direction
Protocol Type:IPv4
    Policy Intface Handle: 0x44000001
    Policy Handle: 0x29000090

########################################################
#########                             ##################
########       Policy information      #################
#########                             ##################
########################################################
Policy handle       : 0x29000090
Policy name         : VACL                                 <-- the VACL policy is named 'VACL'
ID                  : 530
Protocol            : [3] IPV4
Feature             : [23] AAL_FEATURE_VACL                <-- ASIC feature is VACL 
Number of ACLs      : 2                                    <-- 2 ACL used in the VACL: "TEST & ELSE"

########################################################
## Complete policy ACL information
########################################################
Acl number : 1
=====================================
Acl handle : 0xa6000090
Acl flags : 0x00000001
Number of ACEs : 4
  Ace handle [1] : 0x87000107
  Ace handle [2] : 0x30000108
  Ace handle [3] : 0x73000109
  Ace handle [4] : 0xb700010a

Acl number : 2
=====================================
Acl handle : 0x0f000091
Acl flags : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x5800010b

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0x44000001
Policy handle         : 0x29000090
ID                    : 530                                <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [1] Ingress                        <-- Ingress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------
Direction:  Output
Protocol Type:IPv4
    Policy Intface Handle: 0xac000002
    Policy Handle: 0x31000091

########################################################
#########                             ##################
########        Policy information     #################
#########                             ##################
########################################################
Policy handle        : 0x31000091
Policy name          : VACL
ID                   : 530
Protocol             : [3] IPV4
Feature              : [23] AAL_FEATURE_VACL
Number of ACLs       : 2

########################################################
## Complete policy ACL information
########################################################
Acl number    : 1
=====================================
Acl handle      : 0xe0000092
Acl flags       : 0x00000001
Number of ACEs  : 4
  Ace handle [1] : 0xf500010c
  Ace handle [2] : 0xd800010d
  Ace handle [3] : 0x4c00010e
  Ace handle [4] : 0x0600010f

Acl number    : 2
=====================================
Acl handle      : 0x14000093
Acl flags       : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x8e000110

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0xac000002
Policy handle         : 0x31000091
ID                    : 530                               <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [2] Egress                        <-- Egress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------

تأكيد أن VACL يعمل.

• أستكشاف الأخطاء وإصلاحها هو نفس السيناريو الخاص بأقسام PACL و RACl. راجع هذه الأقسام للحصول على تفاصيل حول إختبار الاتصال.
• تم رفض إختبار الاتصال من 10.1.1.3 إلى 10.1.1.2 بواسطة سياسة قائمة التحكم في الوصول (ACL) المطبقة. 
• تحقق من أمر إسقاط النظام الأساسي.

9500H#show platform software fed active acl counters hardware | inc VACL Drop
Ingress IPv4 VACL Drop              (0x23000006):         1011 frames      <-- Hardware level command displays drops against VACL 
<...snip...>

السيناريو 5. قائمة التحكم في الوصول الخاصة بالمجموعة/العميل (DACL)

يتم تطبيق قوائم التحكم في الوصول (ACL) الخاصة بالمجموعة/العميل بشكل ديناميكي على مجموعة مستخدمين أو عميل استنادا إلى هويتهم. ويسمى هذا أحيانا أيضا DACL.

• حدود الأمان: العميل (مستوى واجهة العميل)
• المرفق: كل واجهة زبون
• الإتجاه: مدخل فقط
• أنواع قوائم التحكم في الوصول (ACL) المدعومة: قوائم التحكم في الوصول إلى MAC وقوائم التحكم في الوصول (ACL) إلى IP (قياسية أو موسعة)

تكوين GACL

Cat9400#show run interface gigabitEthernet 2/0/1 
Building configuration...

Current configuration : 419 bytes
!
interface GigabitEthernet2/0/1
 switchport access vlan 10
 switchport mode access
 switchport voice vlan 5
 ip access-group ACL-ALLOW in                     <-- This is the pre-authenticated ACL (deny ip any any). Validation is done for the post-auth ACL
 authentication periodic
 authentication timer reauthenticate server
 access-session control-direction in
 access-session port-control auto
 no snmp trap link-status
 mab
 dot1x pae authenticator
 spanning-tree portfast
 service-policy type control subscriber ISE_Gi2/0/1
end

Cat9400#show access-session interface gigabitEthernet 2/0/1 details 
            Interface:  GigabitEthernet2/0/1
               IIF-ID:  0x1765EB2C                <-- The IF_ID used in this example is dynamic 
          MAC Address:  000a.aaaa.aaaa            <-- The client MAC
         IPv6 Address:  Unknown
         IPv4 Address:  10.10.10.10
            User-Name:  00-0A-AA-AA-AA-AA
               Status:  Authorized                <-- Authorized client
               Domain:  VOICE
       Oper host mode:  multi-auth
     Oper control dir:  in
      Session timeout:  300s (server), Remaining: 182s
       Timeout action:  Reauthenticate
    Common Session ID:  27B17A0A000003F499620261
      Acct Session ID:  0x000003e7
               Handle:  0x590003ea
       Current Policy:  ISE_Gi2/0/1


Server Policies:
              ACS ACL:  xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e  <-- The ACL pushed from ISE server 


Method status list:
       Method           State
        dot1x           Stopped
          mab           Authc Success                                      <-- Authenticated via MAB (Mac authentication bypass)

Cat9400#show ip access-lists xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e
Extended IP access list xACSACLx-IP-MAB-FULL-ACCESS-GOOD-59fb6e5e
    1 permit ip any any                                                   <-- ISE pushed a permit ip any any 

التحقق من GACL

معرف CG للمجموعة المرتبط بمعرف iif.

Cat9400#show platform software fed active acl interface 0x1765EB2C                 <-- The IF_ID from the access-session output
########################################################
########                              ##################
#######    Printing Interface Infos    #################
########                              ##################
########################################################

INTERFACE: Client MAC 000a.aaaa.aaaa                                              <-- Client MAC matches the access-session output
MAC 000a.aaaa.aaaa
########################################################
    intfinfo: 0x7f104820cae8
    Interface handle: 0x5a000110
    Interface Type: Group                                                          <-- This is a group identity type policy 
    IIF ID: 0x1765eb2c                                             
    Input IPv4: Policy Handle: 0x9d00011e
        Policy Name: ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: <-- DACL name matches 
             CG ID: 127760                                                         <-- The ACL group ID                     
       CGM Feature: [35] acl-grp 
        Bind Order: 0

معلومات قائمة التحكم في الوصول (ACL) المقترنة بمعرف GC الخاص بالمجموعة.

Cat9400#show platform software fed active acl info acl-grp-cgid 127760                            <-- the CG ID for this DACL 
########################################################
#########                             ##################
########      Printing CG Entries      #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/127760): ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: type: IPv4  <-- Group ID & ACL name are correct 
Total Ref count 1
---------------------------------
1 CGACL                                                                                            <-- 1  GACL (group ACL) is applied 
---------------------------------
  region reg_id: 1
    subregion subr_id: 0
      GCE#:1 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000                                           <-- Permits IP any any as seen in software 
        ipv4_dst: value = 0x00000000, mask = 0x00000000
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000
        ipv4_dst: value = 0x00000000, mask = 0x00000000

السيناريو 6. تسجيل قائمة التحكم في الوصول (ACL)

يمكن أن يوفر برنامج الجهاز رسائل syslog حول الحزم المسموح بها أو المرفوضة بواسطة قائمة وصول IP القياسية. تتسبب أي حزمة تطابق قائمة التحكم في الوصول (ACL) في إرسال رسالة سجل معلومات حول الحزمة إلى وحدة التحكم. يتم التحكم في مستوى الرسائل التي يتم تسجيلها إلى وحدة التحكم عن طريق تسجيل وحدات التحكم التي تتحكم في رسائل syslog.

• رسائل سجل قائمة التحكم في الوصول غير مدعومة لقوائم التحكم في الوصول (ACL) المستخدمة لإعادة توجيه المسار العكسي للبث الأحادي (uRPF). وهو مدعوم فقط ل RACL.

• سجل قائمة التحكم في الوصول في إتجاه المخرج غير مدعوم للحزم التي يتم إنشاؤها من مستوى التحكم بالجهاز.

• يتم التوجيه في الأجهزة وتسجيل الدخول إلى البرنامج، لذلك إذا تطابق عدد كبير من الحزم مع ACE التصريح أو الرفض الذي يحتوي على كلمة أساسية log، فلن يكون البرنامج قادرا على مطابقة معدل معالجة الجهاز، ولا يمكن تسجيل جميع الحزم.
• تتسبب الحزمة الأولى التي تشغل قائمة التحكم في الوصول في ظهور رسالة سجل مباشرة، ويتم تجميع الحزم التالية على فواصل مدتها 5 دقائق قبل أن تظهر أو يتم تسجيلها. تتضمن رسالة السجل رقم قائمة الوصول، ما إذا كان قد تم السماح للحزمة أو رفضها، وعنوان IP للمصدر للحزمة، وعدد الحزم من ذلك المصدر المسموح بها أو المرفوضة في فترة الخمس دقائق السابقة.
• راجع دليل تكوين الأمان المناسب، Cisco IOS XE كما هو موضح في قسم المعلومات ذات الصلة للحصول على تفاصيل كاملة حول سلوك سجل قائمة التحكم في الوصول وقيوده.

سجل مثال PACL:

يوضح هذا المثال حالة سالبة، حيث لا يعمل نوع قائمة التحكم في الوصول والكلمة الأساسية log معا.

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log             <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface twentyFiveGigE 1/0/1
9500H(config-if)#ip access-group TEST in           <-- apply logged ACL 
Switch Port ACLs are not supported for LOG!        <-- message indicates this is an unsupported combination 

RACL لمثال السجل (رفض):

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log            <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface vlan 10
9500H(config-if)#ip access-group TEST in          <-- ACL applied to SVI

### Orginate ICMP from 10.1.1.3 to 10.1.1.2 (denied by ACE) ###
C9300#ping 10.1.1.2 source vlan 10 repeat 110
Type escape sequence to abort.
Sending 10, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3
..........
Success rate is 0 percent (0/110)

9500H#show access-list TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log
    20 deny ip host 10.1.1.3 any log (110 matches)  <-- Matches increment in show access-list command 

9500H#show platform software fed active acl counters hardware | inc RACL
Ingress IPv4 RACL Drop          (0xed000007):            0 frames
Ingress IPv4 RACL Drop and Log  (0x93000009):          110 frames   <-- Aggregate command shows hits on the RACL Drop and Log 

%SEC-6-IPACCESSLOGDP: list TEST denied icmp 10.1.1.3 -> 10.1.1.2 (8/0), 10 packets  <-- Syslog message is produced 

تسجيل مثال RACL (السماح):
عند إستخدام عبارة سجل لبيان السماح، تظهر مرات وصول عداد البرامج ضعف عدد الحزم المرسلة.

C9300#ping 10.1.1.2 source vlan 10 repeat 5          <-- 5 ICMP Requests are sent 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log (10 matches)  <-- Hit counter shows 10 
    20 deny ip host 10.1.1.3 any log (115 matches)

استكشاف الأخطاء وإصلاحها

إحصائيات قائمة التحكم في الوصول (ACL)

عند أستكشاف أخطاء قائمة التحكم في الوصول (ACL) وإصلاحها، فمن الضروري فهم كيفية قياس إحصائيات قائمة التحكم في الوصول (ACL) بواسطة الجهاز ومكان قياسها.  

• يتم تجميع إحصائيات قائمة التحكم في الوصول (ACL) على مستوى إجمالي وليس على مستوى ACE.
• لا تتوفر لدى الأجهزة إمكانية السماح لكل ACE أو لكل حالة من حالات قائمة التحكم في الوصول (ACL).
• يتم تجميع إحصائيات مثل الرفض والسجل والحزم المعاد توجيهها لوحدة المعالجة المركزية.
• يتم تجميع إحصائيات حزم MAC و IPv4 و IPv6 بشكل منفصل.
• show platform software fed switch active acl counters hardware  يمكن إستخدامه لعرض إحصائيات التجميع.

مسح إحصائيات قوائم التحكم في الوصول (ACL)

عند أستكشاف أخطاء قائمة التحكم في الوصول (ACL) وإصلاحها، قد يكون من المفيد مسح عدادات قائمة التحكم في الوصول (ACL) المختلفة للحصول على أعداد أساسية جديدة.

• تتيح لك هذه الأوامر مسح إحصائيات عداد قائمة التحكم في الوصول (ACL) للبرامج والأجهزة.
• عندما تقوم باستكشاف أخطاء أحداث مطابقة/إصابة قائمة التحكم في الوصول (ACL) وإصلاحها، يوصى بمسح قائمة التحكم في الوصول (ACL) ذات الصلة إلى تطابقات الخط الأساسي الحديثة أو ذات الصلة.

clear platform software fed active acl counters hardware (clears the hardware matched counters)
clear ip access-list counters <acl_name> (clears the software matched counters - IPv4)
clear ipv6 access-list counters <acl_name> (clears the software matched counters - IPv6)

ماذا يحدث عندما يكون ACL TCAM منهكا؟

• يتم تطبيق قوائم التحكم في الوصول (ACL) دائما في TCAM الخاص بالأجهزة. إذا كان TCAM مستخدما بالفعل من قبل قوائم التحكم في الوصول (ACL) التي تم تكوينها مسبقا، فإن قوائم التحكم في الوصول (ACL) الجديدة لا تحصل على موارد قائمة التحكم في الوصول (ACL) المطلوبة المطلوبة المطلوبة للبرمجة.

• إذا تمت إضافة قائمة التحكم في الوصول (ACL) بعد استنفاد TCAM، يتم إسقاط جميع الحزم للقارن الذي يتم إرفاقه.

• يسمى إجراء الاحتفاظ بقوائم التحكم في الوصول (ACL) في البرنامج إلغاء التحميل.
• عند توفر الموارد، يحاول المحول تلقائيا برمجة قوائم التحكم في الوصول (ACL) في الجهاز. في حال نجاح هذه الخطوة، يتم دفع قوائم التحكم في الوصول إلى الأجهزة وتبدأ الحزم في إعادة التوجيه.
• إن عملية برمجة قائمة التحكم بالوصول (ACL) التي يتم حملها بواسطة البرنامج إلى TCAM تسمى إعادة التحميل.

• يمكن إلغاء تحميل/إعادة تحميل PACL و VACL و RACL و GACL بشكل مستقل عن بعضها البعض.

معدل إستهلاك ACL TCAM

• تبدأ الواجهة التي يتم تطبيق قائمة التحكم في الوصول (ACL) التي تمت إضافتها حديثا في إسقاط الحزم حتى تصبح موارد الأجهزة متوفرة.
• يتم وضع عملاء قائمة التحكم في الوصول للبنية الأساسية (GACL) في ولاية UnAuth.

إستهلاك وحدة معالجة الرسومات (VCU)

• وبمجرد تجاوز حد L4OPs أو من وحدات VCU، يقوم البرنامج بتنفيذ توسعة قائمة التحكم بالوصول (ACL) وينشئ إدخالات ACE جديدة لتنفيذ إجراء مكافئ دون إستخدام وحدات VCU.
• بمجرد حدوث ذلك، يمكن أن تصبح TCAM مرهقة من هذه الإدخالات المضافة.

أخطاء ACL Syslog

إذا نفدت منك مورد قائمة تحكم في الوصول (ACL) أمان معين، فسيتم إنشاء رسائل syslog بواسطة النظام (الواجهة، وشبكة VLAN، والتسمية، وما إلى ذلك، ويمكن أن تختلف القيم).

سيناريوهات خارج الموارد وإجراءات الاسترداد

التحقق من قياس قائمة التحكم في الوصول (ACL)

يغطي هذا القسم الأوامر لتحديد قياس قائمة التحكم في الوصول واستخدام TCAM.

ملخص قائمة الوصول إلى FMAN:

تحديد قوائم التحكم في الوصول (ACL) التي تم تكوينها وإجمالي عدد ACE لكل قائمة تحكم في الوصول (ACL).

9500H#show platform software access-list f0 summary
Access-list                          Index        Num Ref        Num ACEs
--------------------------------------------------------------------------
TEST                                 1            1              2        <-- ACL TEST contains 2 ACE entries 
ELSE                                 2            1              1
DENY                                 3            0              1

إستخدام قائمة التحكم في الوصول (ACL:

9500H#show platform software fed active acl usage
########################################################
########                              ##################
#######      Printing Usage Infos      #################
########                              ##################
########################################################
##### ACE Software VMR max:196608 used:283 <-- Value/Mask/Result entry usage 
########################################################
==================================================================================================
Feature Type           ACL Type        Dir              Name                    Entries Used
VACL                   IPV4            Ingress          VACL                    4
<-- Type of ACL Feature, type of ACL, Direction ACL applied, name of ACL, and number of TCAM entries consumed 
==================================================================================================
Feature Type           ACL Type        Dir             Name                     Entries Used
RACL                   IPV4            Ingress         TEST                     5

إستخدام TCAM (17.x):

يحتوي أمر إستخدام TCAM على إختلافات كبيرة بين قطارات 16.x و 17.x.

9500H#show platform hardware fed active fwd-asic resource tcam utilization
Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]
 Table                   Subtype     Dir      Max     Used    %Used       V4       V6    MPLS   Other
 ------------------------------------------------------------------------------------------------------
 Security ACL Ipv4       TCAM        I        7168       16    0.22%      16        0       0        0
 Security ACL Non Ipv4   TCAM        I        5120       76    1.48%        0       36       0       40
 Security ACL Ipv4       TCAM       O        7168       18    0.25%       18        0       0        0
 Security ACL Non Ipv4   TCAM        O        8192       27    0.33%        0       22       0        5
<...snip...>

<-- Percentage used and other counters about ACL consumption 
<-- Dir = ACL direction (Input/Output ACl)

إستخدام TCAM (16.x):

يحتوي أمر إستخدام TCAM على إختلافات كبيرة بين قطارات 16.x و 17.x.

C9300#show platform hardware fed switch active fwd-asic resource tcam utilization
CAM Utilization for ASIC [0]
 Table                                               Max Values      Used Values
--------------------------------------------------------------------------------
 Security Access Control Entries                       5120          126 <-- Total used of the Maximum 
<...snip...>

قالب إدارة قاعدة بيانات المحول (SDM) المخصص (إعادة تخصيص TCAM)

باستخدام Cisco IOS XE Bengaluru 17.4.1، يمكنك تكوين قالب إدارة قاعدة بيانات المحول (SDM) مخصص لميزات قائمة التحكم في الوصول (ACL) باستخدام sdm prefer custom aclالأمر.

9500H#show sdm prefer
Showing SDM Template Info

This is the Core template.                                                                   <-- Core SDM template in use 
  Security Ingress IPv4 Access Control Entries*:         7168  (current) - 7168  (proposed)  <-- IPv4 ACL maximum TCAM available
  Security Ingress Non-IPv4 Access Control Entries*:     5120  (current) - 5120  (proposed)
  Security Egress IPv4 Access Control Entries*:          7168  (current) - 7168  (proposed)
  Security Egress Non-IPv4 Access Control Entries*:      8192  (current) - 8192  (proposed)
  <...snip...>

9500H#show sdm prefer custom user-input
Custom Template Feature Values are not modified                                              <-- No customization to SDM 

• 9500H(config)#sdm تفضل قائمة التحكم في الوصول (ACL) المخصصة
  9500H(config-sdm-acl)#acl-ingress 26 priority 1 <— تطبيق قيمة 26K جديدة. (الأولوية التي تمت مناقشتها في دليل التكوين)
  9500H(config-sdm-acl)#acl-egress 20 priority 2
  9500H(config-sdm-acl)#exit
   show sdm prefer custom أستخدم لعرض القيم المقترحة sdm prefer custom commit ومن أجل تطبيق "عرض التغييرات" عبر واجهة سطر الأوامر هذه.
• تحقق من التغييرات التي أجريت على ملف تعريف إدارة قاعدة بيانات المحول (SDM).
• 9500H#show sdm يفضل تخصيص
  

عرض معلومات قالب إدارة قاعدة بيانات المحول (SDM):

هذا هو القالب المخصص مع تفاصيله.
إدخالات التحكم في الوصول إلى الأمان عند المدخل*: 12288 (حاليا) - 26624 (مقترح) <— الاستخدام الحالي والمقترح (مقترح 26 كيلوبايت)
إدخالات التحكم في الوصول إلى أمان الخروج*: 15360 (حاليا) - 20480 (مقترح)


9500H#show sdm تفضل إدخال المستخدم المخصص

إدخال مستخدم ميزة قائمة التحكم في الوصول (ACL)
قيم إدخال المستخدم
========================

مقياس أولوية اسم الميزة
—
إدخالات التحكم في الوصول إلى الأمان عند المدخل: 1 26*1024 <— تم تعديلها حسب إدخال المستخدم إلى 26 × 1024 (26 ك)
إدخالات التحكم في الوصول إلى أمان الخروج: 20*1024 <— تم تعديلها حسب إدخال المستخدم إلى 20 × 1024 (20 كيلو)

• تطبيق التغييرات على ملف تعريف إدارة قاعدة بيانات المحول (SDM).
• 9500H(config)#sdm يفضل الالتزام المخصص
  يتم تخزين التغييرات التي يتم إجراؤها على تفضيلات إدارة قاعدة بيانات المحول (SDM) الجاري تشغيلها وتصبح سارية المفعول على عملية إعادة التحميل التالية. <— بمجرد إعادة التحميل، تم تخصيص ACL TCAM للقيمة المخصصة.


قراءة اضافية:

أمر معالجة قائمة التحكم في الوصول (ACL):

تتم معالجة قوائم التحكم في الوصول (ACL) بهذا الترتيب من المصدر إلى الوجهة.

قوائم التحكم في الوصول (ACL) المبرمجة في مكدس:

• يتم تطبيق قوائم التحكم في الوصول (ACL) غير المستندة إلى المنفذ (على سبيل المثال، VACL و RACL) على حركة المرور على أي محول وتتم برمجتها على جميع المحولات في المكدس.

• يتم تطبيق قوائم التحكم في الوصول (ACL) المستندة إلى المنفذ فقط على حركة المرور على المنفذ ويتم برمجتها فقط على المحول الذي يملك الواجهة.

• تتم برمجة قوائم التحكم في الوصول (ACL) بواسطة المحول النشط ثم يتم تطبيقها على محولات الأعضاء.

• تنطبق القواعد نفسها على خيارات التكرار الأخرى، مثل ISSU/SVL.


توسيع قائمة التحكم في الوصول (ACL):

• يحدث توسيع قائمة التحكم في الوصول (ACL) عندما ينفذ الجهاز من L4OPs أو Lables أو VCUs. يجب أن يقوم الجهاز بإنشاء وحدات ACE متعددة مكافئة من أجل تحقيق نفس المنطق، ومن أجل إستنزاف TCAM بسرعة.
• #### عمليات النشر (OPs) من L4قيد التطوير وتم إنشاء قائمة التحكم في الوصول (ACL) هذه ##
  9500H(config)#ip access-list extended TEST
  9500H(config-ext-nacl)#permit tcp 10.0.0.0.255.255.255 أي gt 150 <— يطابق المنافذ 151 وما فوقها
  
  
  ### يجب توسيع هذا المحول إلى وحدات تحكم في الوصول (ACE) متعددة الأطراف لا تستخدم نقطة وصول من السلسلة L4OP ###
  9500H(config-ext-nacl)#allow tcp 10.0.0.255.255.255 أي eq 151
  9500H(config-ext-nacl)#allow tcp 10.0.0.255.255.255 أي eq 152
  9500H(config-ext-nacl)#allow tcp 10.0.0.255.255.255 أي eq 153
  9500H(config-ext-nacl)#allowed tcp 10.0.0.0.255.255.255 أي eq 154
  ... و هكذا ...

إستهلاك TCAM ومشاركة الملصقات:

• تتم الإشارة إلى كل سياسة قائمة تحكم في الوصول (ACL) داخليا بواسطة تسمية.

• عندما يتم تطبيق سياسة قائمة التحكم في الوصول (قائمة التحكم في الوصول للأمان مثل GACL أو PACL أو VACL أو RACL) على واجهات متعددة أو شبكة VLAN، فإنها تستخدم نفس التسمية.

• تستخدم قائمة التحكم بالوصول (ACL) إلى المدخل/المخرج مسافات تسمية مختلفة.

• تستخدم قوائم التحكم بالوصول الخاصة ببروتوكول IPv4 و IPv6 و MAC مساحات تسميات أخرى.

• يتم تطبيق قائمة التحكم في الوصول الخاصة بالمنفذ (PACL) نفسها على مدخل الواجهة A ومخرج الواجهة A. هناك إثنان مثال من ال pacl في ال TCAM، كل واحد مع عنوان فريد لمدخل ومخرج.

• إذا تم تطبيق قائمة التحكم في الوصول الخاصة بالمنفذ (PACL) نفسها مع نقطة وصول من السلسلة L4OP على واجهات المدخل المتعددة الموجودة على كل مركز، فسيكون هناك مثالان لنفس قائمة التحكم في الوصول الخاصة بالمنفذ (PACL) تمت برمجتهما في TCAM، واحد لكل مركز.

الوصف:

تتم برمجة ACE داخليا في TCAM ك "VMR" - المعروفة أيضا باسم القيمة، القناع، النتيجة. يمكن لكل إدخال ACE إستهلاك VMRs ويمكنه إستهلاك وحدات VCUs.

قابلية توسع قائمة التحكم في الوصول (ACL):

يتم تخصيص موارد قائمة التحكم في الوصول (ACL) الأمنية لقوائم التحكم في الوصول (ACL) الأمنية. لا تتم مشاركتها مع ميزات أخرى.

معلومات ذات صلة

• دليل تكوين الأمان، Cisco IOS XE Amsterdam، الإصدار 17.3.x (محولات Catalyst 9200 Switches)
• دليل تكوين الأمان، Cisco IOS XE Amsterdam، الإصدار 17.3.x (محولات Catalyst 9300 Switches)
• دليل تكوين الأمان، Cisco IOS XE Amsterdam، الإصدار 17.3.x (محولات Catalyst 9400 Switches)
• دليل تكوين الأمان، Cisco IOS XE Amsterdam، الإصدار 17.3.x (محولات Catalyst 9500 Switches)
• دليل تكوين الأمان، Cisco IOS XE Amsterdam، الإصدار 17.3.x (محولات Catalyst 9600 Switches)
• دليل تكوين إدارة النظام، Cisco IOS XE Bengaluru 17.4.x (محولات Catalyst 9500 Switches)
• الدعم الفني والتنزيلات من Cisco

أوامر التتبع والتصحيح