Convalida degli ACL di sicurezza sugli switch Catalyst 9000

### Ping originated from neighbor device with source 10.1.1.1 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success 


### Ping originated from neighbor device with source 10.1.1.3 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails 
.....
Success rate is 0 percent (0/5)                                      <-- 0% ping success 


### Confirm RACL drop ###
9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches
    20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i RACL Drop
Ingress IPv4 RACL Drop              (0xed000007):         100 frames  <-- Hardware level command displays drops against RACL 
<...snip...>

Scenario 4. VACL

I VACL vengono assegnati a una VLAN di layer 2. 

• Limiti di sicurezza: all'interno di una VLAN o attraverso una VLAN
• Allegato: mappa VLAN/VLAN
• Direzione: sia in entrata che in uscita contemporaneamente
• Tipi di ACL supportati: ACL MAC e ACL IP (standard o estesi)

Configura VACL

ip access-list extended TEST
 10 permit ip host 10.1.1.1 any
 20 permit ip any host 10.1.1.1

ip access-list extended ELSE
 10 permit ip any any

vlan access-map VACL 10
 match ip address TEST
 action forward
vlan access-map VACL 20
 match ip address ELSE
 action drop

vlan filter VACL vlan-list 10


9500H#sh vlan access-map VACL
Vlan access-map "VACL" 10
  Match clauses:
    ip address: TEST
  Action:
    forward
Vlan access-map "VACL" 20
  Match clauses:
    ip address: ELSE
  Action:
    drop

9500H#sh vlan filter access-map VACL
VLAN Map VACL is filtering VLANs:
10

Verifica VACL

Recuperate il valore IF_ID associato all'interfaccia.

9500H#show platform software fed active ifm interfaces vlan
Interface                         IF_ID               State
----------------------------------------------------------------------
Vlan10                            0x00420010          READY

Verificare l'ID del gruppo di classi (ID CG) associato a IF_ID.

9500H#show platform software fed active acl interface 0x420010  <-- IF_ID for the Vlan 
########################################################
########                              ##################
#######   Printing Interface Infos     #################
########                              ##################
########################################################

INTERFACE: Vlan10                                               <-- Can be L2 only, with no vlan interface 
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fc8cc7c7f48
    Interface handle: 0xf1000024
    Interface Type: Vlan
    if-id: 0x0000000000420010
    Input IPv4: Policy Handle: 0xd10000a3                       <-- VACL has both Ingress and Egress actions 
        Policy Name: VACL                                       <-- Name of the VACL used 
             CG ID: 530                                         <-- Class Group ID for entry 
       CGM Feature: [35] acl-grp                                <-- Feature is ACL group, versus ACl
        Bind Order: 0

    Output IPv4: Policy Handle: 0xc80000a4                      <-- VACL has both Ingress and Egress actions
         Policy Name: VACL
              CG ID: 530
         CGM Feature: [35] acl-grp
    Bind Order: 0

Informazioni ACL associate all'ID del gruppo CG.

Esistono due ACL utilizzati nello stesso criterio VACL denominato, raggruppati in questo gruppo di ACL

9500H#show platform software fed active acl info acl-grp-cgid 530  <-- use the group-id command versus gc ID
########################################################
#########                             ##################
########    Printing CG Entries        #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/530): VACL type: IPv4                              <-- feature acl/group ID 530: name VACL : type IPv4
Total Ref count 2
---------------------------------
2 VACL                                                             <-- Ingress and egress ACL direction on a VACl 
---------------------------------
  region reg_id: 12
    subregion subr_id: 0
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x0a010101, mask = 0xffffffff           <-- permit from host 10.1.1.1 (see PACL example for hex conversion)
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- to any other host
      GCE#:20 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- permit from any host 
        ipv4_dst: value = 0x0a010101, mask = 0xffffffff           <-- to host 10.1.1.1
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x05000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- This is the ACL named 'ELSE' which is permit any any
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- with VACL, the logic used was "permit to match" action "drop"

Informazioni sulla policy CG ID, nonché sulle interfacce che usano CG ID.

9500H#show platform software fed active acl policy 530     <-- use the acl-grp ID 
########################################################
#########                             ##################
########     Printing Policy Infos     #################
#########                             ##################
########################################################

INTERFACE: Vlan10
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fa15802a5d8
    Interface handle: 0xf1000024
    Interface Type: Vlan                                   <-- Interface type is the Vlan, not a specific interface 
    if-id: 0x0000000000420010                              <-- the Vlan IF_ID matches Vlan 10
------------
Direction: Input                                           <-- VACL in the input direction
Protocol Type:IPv4
    Policy Intface Handle: 0x44000001
    Policy Handle: 0x29000090

########################################################
#########                             ##################
########       Policy information      #################
#########                             ##################
########################################################
Policy handle       : 0x29000090
Policy name         : VACL                                 <-- the VACL policy is named 'VACL'
ID                  : 530
Protocol            : [3] IPV4
Feature             : [23] AAL_FEATURE_VACL                <-- ASIC feature is VACL 
Number of ACLs      : 2                                    <-- 2 ACL used in the VACL: "TEST & ELSE"

########################################################
## Complete policy ACL information
########################################################
Acl number : 1
=====================================
Acl handle : 0xa6000090
Acl flags : 0x00000001
Number of ACEs : 4
  Ace handle [1] : 0x87000107
  Ace handle [2] : 0x30000108
  Ace handle [3] : 0x73000109
  Ace handle [4] : 0xb700010a

Acl number : 2
=====================================
Acl handle : 0x0f000091
Acl flags : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x5800010b

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0x44000001
Policy handle         : 0x29000090
ID                    : 530                                <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [1] Ingress                        <-- Ingress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------
Direction:  Output
Protocol Type:IPv4
    Policy Intface Handle: 0xac000002
    Policy Handle: 0x31000091

########################################################
#########                             ##################
########        Policy information     #################
#########                             ##################
########################################################
Policy handle        : 0x31000091
Policy name          : VACL
ID                   : 530
Protocol             : [3] IPV4
Feature              : [23] AAL_FEATURE_VACL
Number of ACLs       : 2

########################################################
## Complete policy ACL information
########################################################
Acl number    : 1
=====================================
Acl handle      : 0xe0000092
Acl flags       : 0x00000001
Number of ACEs  : 4
  Ace handle [1] : 0xf500010c
  Ace handle [2] : 0xd800010d
  Ace handle [3] : 0x4c00010e
  Ace handle [4] : 0x0600010f

Acl number    : 2
=====================================
Acl handle      : 0x14000093
Acl flags       : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x8e000110

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0xac000002
Policy handle         : 0x31000091
ID                    : 530                               <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [2] Egress                        <-- Egress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------

Confermare il funzionamento di VACL.

• La risoluzione dei problemi è lo stesso scenario delle sezioni PACL e RACl. Fare riferimento a queste sezioni per i dettagli sul test ping.
• Ping da 10.1.1.3 a 10.1.1.2 negato dai criteri ACL applicati. 
• Controllare il comando platform drop.

9500H#show platform software fed active acl counters hardware | inc VACL Drop
Ingress IPv4 VACL Drop              (0x23000006):         1011 frames      <-- Hardware level command displays drops against VACL 
<...snip...>

Scenario 5. ACL gruppo/client (DACL)

Gli ACL di gruppo/client vengono applicati dinamicamente a un gruppo di utenti o a un client in base alla loro identità. Questi elementi vengono talvolta denominati anche DACL.

• Limite di sicurezza: client (livello interfaccia client)
• Allegato: interfaccia per client
• Direzione: solo in ingresso
• Tipi di ACL supportati: ACL MAC e ACL IP (standard o estesi)

Configurazione di GACL

Cat9400#show run interface gigabitEthernet 2/0/1 
Building configuration...

Current configuration : 419 bytes
!
interface GigabitEthernet2/0/1
 switchport access vlan 10
 switchport mode access
 switchport voice vlan 5
 ip access-group ACL-ALLOW in                     <-- This is the pre-authenticated ACL (deny ip any any). Validation is done for the post-auth ACL
 authentication periodic
 authentication timer reauthenticate server
 access-session control-direction in
 access-session port-control auto
 no snmp trap link-status
 mab
 dot1x pae authenticator
 spanning-tree portfast
 service-policy type control subscriber ISE_Gi2/0/1
end

Cat9400#show access-session interface gigabitEthernet 2/0/1 details 
            Interface:  GigabitEthernet2/0/1
               IIF-ID:  0x1765EB2C                <-- The IF_ID used in this example is dynamic 
          MAC Address:  000a.aaaa.aaaa            <-- The client MAC
         IPv6 Address:  Unknown
         IPv4 Address:  10.10.10.10
            User-Name:  00-0A-AA-AA-AA-AA
               Status:  Authorized                <-- Authorized client
               Domain:  VOICE
       Oper host mode:  multi-auth
     Oper control dir:  in
      Session timeout:  300s (server), Remaining: 182s
       Timeout action:  Reauthenticate
    Common Session ID:  27B17A0A000003F499620261
      Acct Session ID:  0x000003e7
               Handle:  0x590003ea
       Current Policy:  ISE_Gi2/0/1


Server Policies:
              ACS ACL:  xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e  <-- The ACL pushed from ISE server 


Method status list:
       Method           State
        dot1x           Stopped
          mab           Authc Success                                      <-- Authenticated via MAB (Mac authentication bypass)

Cat9400#show ip access-lists xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e
Extended IP access list xACSACLx-IP-MAB-FULL-ACCESS-GOOD-59fb6e5e
    1 permit ip any any                                                   <-- ISE pushed a permit ip any any 

Verifica GACL

ID gruppo CG associato a iif-id.

Cat9400#show platform software fed active acl interface 0x1765EB2C                 <-- The IF_ID from the access-session output
########################################################
########                              ##################
#######    Printing Interface Infos    #################
########                              ##################
########################################################

INTERFACE: Client MAC 000a.aaaa.aaaa                                              <-- Client MAC matches the access-session output
MAC 000a.aaaa.aaaa
########################################################
    intfinfo: 0x7f104820cae8
    Interface handle: 0x5a000110
    Interface Type: Group                                                          <-- This is a group identity type policy 
    IIF ID: 0x1765eb2c                                             
    Input IPv4: Policy Handle: 0x9d00011e
        Policy Name: ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: <-- DACL name matches 
             CG ID: 127760                                                         <-- The ACL group ID                     
       CGM Feature: [35] acl-grp 
        Bind Order: 0

Informazioni ACL associate all'ID GC del gruppo.

Cat9400#show platform software fed active acl info acl-grp-cgid 127760                            <-- the CG ID for this DACL 
########################################################
#########                             ##################
########      Printing CG Entries      #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/127760): ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: type: IPv4  <-- Group ID & ACL name are correct 
Total Ref count 1
---------------------------------
1 CGACL                                                                                            <-- 1  GACL (group ACL) is applied 
---------------------------------
  region reg_id: 1
    subregion subr_id: 0
      GCE#:1 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000                                           <-- Permits IP any any as seen in software 
        ipv4_dst: value = 0x00000000, mask = 0x00000000
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000
        ipv4_dst: value = 0x00000000, mask = 0x00000000

Scenario 6. Registrazione ACL

Il software del dispositivo può fornire messaggi syslog relativi a pacchetti autorizzati o rifiutati da un elenco di accesso IP standard. Se un pacchetto corrisponde all'ACL, viene inviato alla console un messaggio informativo sul pacchetto. Il livello dei messaggi registrati sulla console è controllato dai comandi della console di registrazione che controllano i messaggi Syslog.

• I messaggi di log ACL non sono supportati per gli ACL utilizzati con Unicast Reverse Path Forwarding (uRPF). È supportato solo per RACL.

• Il log ACL nella direzione di uscita non è supportato per i pacchetti generati dal control plane del dispositivo.

• Il routing viene eseguito nell'hardware e nel software di accesso, quindi se un numero elevato di pacchetti corrisponde a un'autorizzazione o a una negazione di ACE contenente una parola chiave di accesso, il software non è in grado di corrispondere alla velocità di elaborazione dell'hardware e non tutti i pacchetti possono essere registrati.
• Il primo pacchetto che attiva l'ACL genera immediatamente un messaggio di registro e i pacchetti successivi vengono raccolti in intervalli di 5 minuti prima di essere visualizzati o registrati. Il messaggio log include il numero dell'elenco degli accessi, se il pacchetto è stato autorizzato o rifiutato, l'indirizzo IP di origine del pacchetto e il numero di pacchetti provenienti da quell'origine consentiti o rifiutati nei 5 minuti precedenti.
• Per i dettagli completi sul comportamento e le restrizioni del log ACL, consultare la guida alla configurazione della sicurezza di Cisco IOS XE, come indicato nella sezione Informazioni correlate.

Esempio di log PACL:

Nell'esempio viene mostrato un caso negativo, in cui il tipo di ACL e la parola chiave log non funzionano insieme.

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log             <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface twentyFiveGigE 1/0/1
9500H(config-if)#ip access-group TEST in           <-- apply logged ACL 
Switch Port ACLs are not supported for LOG!        <-- message indicates this is an unsupported combination 

Esempio di log RACL (Deny):

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log            <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface vlan 10
9500H(config-if)#ip access-group TEST in          <-- ACL applied to SVI

### Orginate ICMP from 10.1.1.3 to 10.1.1.2 (denied by ACE) ###
C9300#ping 10.1.1.2 source vlan 10 repeat 110
Type escape sequence to abort.
Sending 10, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3
..........
Success rate is 0 percent (0/110)

9500H#show access-list TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log
    20 deny ip host 10.1.1.3 any log (110 matches)  <-- Matches increment in show access-list command 

9500H#show platform software fed active acl counters hardware | inc RACL
Ingress IPv4 RACL Drop          (0xed000007):            0 frames
Ingress IPv4 RACL Drop and Log  (0x93000009):          110 frames   <-- Aggregate command shows hits on the RACL Drop and Log 

%SEC-6-IPACCESSLOGDP: list TEST denied icmp 10.1.1.3 -> 10.1.1.2 (8/0), 10 packets  <-- Syslog message is produced 

Esempio di registro RACL (Permit):
Quando si utilizza un'istruzione log per un'istruzione allow, i risultati del contatore del software mostrano il doppio del numero di pacchetti inviati.

C9300#ping 10.1.1.2 source vlan 10 repeat 5          <-- 5 ICMP Requests are sent 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log (10 matches)  <-- Hit counter shows 10 
    20 deny ip host 10.1.1.3 any log (115 matches)

Risoluzione dei problemi

Statistiche ACL

Quando si risolve un problema con un ACL, è essenziale capire come e dove le statistiche ACL vengono misurate dal dispositivo.  

• Le statistiche ACL vengono raccolte a un livello aggregato e non a livello ACE.
• L'hardware non è in grado di consentire per stato ACE o ACL.
• Vengono raccolte statistiche quali Nega, Registra e Pacchetti inoltrati dalla CPU.
• Le statistiche relative ai pacchetti MAC, IPv4 e IPv6 vengono raccolte separatamente.
• show platform software fed switch active acl counters hardware  può essere utilizzato per visualizzare le statistiche aggregate.

Cancellazione delle statistiche ACL

Quando si risolve un problema relativo ad un ACL, può essere utile cancellare i vari contatori dell'ACL per ottenere nuovi conteggi della baseline.

• Questi comandi consentono di cancellare le statistiche dei contatori degli ACL software e hardware.
• Quando si risolvono i problemi di corrispondenze con gli ACL, si consiglia di cancellare gli ACL rilevanti dalle corrispondenze della baseline recenti o rilevanti.

clear platform software fed active acl counters hardware (clears the hardware matched counters)
clear ip access-list counters <acl_name> (clears the software matched counters - IPv4)
clear ipv6 access-list counters <acl_name> (clears the software matched counters - IPv6)

Cosa succede quando ACL TCAM è esaurito?

• Gli ACL vengono sempre applicati nell'hardware TCAM. Se il software TCAM è già usato dagli ACL configurati in precedenza, i nuovi ACL non ricevono le risorse ACL necessarie per la programmazione.

• Se si aggiunge un ACL dopo aver esaurito il TCAM, tutti i pacchetti vengono scartati per l'interfaccia a cui sono collegati.

• L'azione di mantenere un ACL nel software è chiamata Unload (scaricamento).
• Quando le risorse diventano disponibili, lo switch cerca automaticamente di programmare gli ACL nell'hardware. Se il processo ha esito positivo, gli ACL vengono trasferiti all'hardware e i pacchetti iniziano a essere inoltrati.
• L'azione di programmazione di un ACL software-held in TCAM è chiamata Ricaricamento.

• È possibile scaricare e ricaricare i pacchetti PACL, VACL, RACL e GACL indipendentemente l'uno dall'altro.

Esaurimento ACL TCAM

• L'interfaccia a cui viene applicato l'ACL appena aggiunto inizia a eliminare i pacchetti finché non diventano disponibili le risorse hardware.
• I client GACL vengono messi nello stato UnAuth.

Esaurimento VCU

• Una volta superato il limite L4OPs o usciti dalle VCU, il software esegue l'espansione ACL e crea nuove voci ACE per eseguire un'azione equivalente senza usare le VCU.
• In tal caso, il TCAM può esaurirsi a causa di queste voci aggiunte.

Errori syslog ACL

Se una particolare risorsa ACL di sicurezza si esaurisce, il sistema genera messaggi SYSLOG (interfaccia, VLAN, etichetta e così via, i valori possono essere diversi).

Scenari di risorse e azioni di ripristino insufficienti

Verifica della scala ACL

In questa sezione vengono illustrati i comandi per determinare la scala ACL e l'utilizzo del TCAM.

Riepilogo elenco accessi FMAN:

Identificare gli ACL configurati e il numero totale di ACE per ACL.

9500H#show platform software access-list f0 summary
Access-list                          Index        Num Ref        Num ACEs
--------------------------------------------------------------------------
TEST                                 1            1              2        <-- ACL TEST contains 2 ACE entries 
ELSE                                 2            1              1
DENY                                 3            0              1

Uso ACL:

9500H#show platform software fed active acl usage
########################################################
########                              ##################
#######      Printing Usage Infos      #################
########                              ##################
########################################################
##### ACE Software VMR max:196608 used:283 <-- Value/Mask/Result entry usage 
########################################################
==================================================================================================
Feature Type           ACL Type        Dir              Name                    Entries Used
VACL                   IPV4            Ingress          VACL                    4
<-- Type of ACL Feature, type of ACL, Direction ACL applied, name of ACL, and number of TCAM entries consumed 
==================================================================================================
Feature Type           ACL Type        Dir             Name                     Entries Used
RACL                   IPV4            Ingress         TEST                     5

Utilizzo TCAM (17,x):

Il comando TCAM usage ha differenze significative tra i treni 16.x e 17.x.

9500H#show platform hardware fed active fwd-asic resource tcam utilization
Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]
 Table                   Subtype     Dir      Max     Used    %Used       V4       V6    MPLS   Other
 ------------------------------------------------------------------------------------------------------
 Security ACL Ipv4       TCAM        I        7168       16    0.22%      16        0       0        0
 Security ACL Non Ipv4   TCAM        I        5120       76    1.48%        0       36       0       40
 Security ACL Ipv4       TCAM       O        7168       18    0.25%       18        0       0        0
 Security ACL Non Ipv4   TCAM        O        8192       27    0.33%        0       22       0        5
<...snip...>

<-- Percentage used and other counters about ACL consumption 
<-- Dir = ACL direction (Input/Output ACl)

Utilizzo TCAM (16,x):

Il comando TCAM usage ha differenze significative tra i treni 16.x e 17.x.

C9300#show platform hardware fed switch active fwd-asic resource tcam utilization
CAM Utilization for ASIC [0]
 Table                                               Max Values      Used Values
--------------------------------------------------------------------------------
 Security Access Control Entries                       5120          126 <-- Total used of the Maximum 
<...snip...>

Modello SDM personalizzato (riallocazione TCAM)

Usando Cisco IOS XE Bengaluru 17.4.1, è possibile configurare un modello SDM personalizzato per le funzionalità ACL con il sdm prefer custom aclcomando.

9500H#show sdm prefer
Showing SDM Template Info

This is the Core template.                                                                   <-- Core SDM template in use 
  Security Ingress IPv4 Access Control Entries*:         7168  (current) - 7168  (proposed)  <-- IPv4 ACL maximum TCAM available
  Security Ingress Non-IPv4 Access Control Entries*:     5120  (current) - 5120  (proposed)
  Security Egress IPv4 Access Control Entries*:          7168  (current) - 7168  (proposed)
  Security Egress Non-IPv4 Access Control Entries*:      8192  (current) - 8192  (proposed)
  <...snip...>

9500H#show sdm prefer custom user-input
Custom Template Feature Values are not modified                                              <-- No customization to SDM 

• 9500H(config)#sdm preferisci acl personalizzato
  9500H(config-sdm-acl)#acl-ingress 26 priority 1 <— applica il nuovo valore 26K. (priorità discussa nella guida alla configurazione)
  9500H(config-sdm-acl)#acl-exit 20 priorità 2
  9500H (config-sdm-acl) #exit
   show sdm prefer custom Usare per vedere i valori proposti e applicare "view the changes" (sdm prefer custom commitvisualizza le modifiche) tramite questa CLI.
• Verificare le modifiche al profilo SDM.
• 9500H#show sdm preferisci personalizzato
  

Visualizzazione delle informazioni sul modello SDM:

Modello personalizzato con i relativi dettagli.
Voci di controllo di accesso per la sicurezza in ingresso*: 12288 (corrente) - 26624 (proposta) <— Utilizzo corrente e proposto (26.000 proposti)
Voci di controllo di accesso per la sicurezza in uscita*: 15360 (corrente) - 20480 (proposta)


9500H#show sdm preferisce l'input utente personalizzato

INPUT UTENTE FUNZIONALITÀ ACL
Valori input utente
========================

SCALA DI PRIORITÀ DEL NOME DELLA FEATURE
—
Voci di controllo degli accessi di sicurezza in ingresso: 1 26*1024 <— modificato dall'input dell'utente a 26 x 1024 (26K)
Voci di controllo dell'accesso di sicurezza in uscita: 2 20*1024 <— modificato dall'input dell'utente a 20 x 1024 (20K)

• Applica le modifiche al profilo SDM.
• 9500H(config)#sdm preferisci commit personalizzato
  Le modifiche apportate alle preferenze SDM in esecuzione vengono memorizzate e diventano effettive al successivo caricamento. <— Una volta ricaricato, ACL TCAM viene allocato al valore personalizzato.


Ulteriori informazioni:

Ordine di elaborazione ACL:

Gli ACL vengono elaborati in questo ordine, dall'origine alla destinazione.

ACL programmati in uno stack:

• Gli ACL non basati sulle porte (ad esempio, VACL, RACL) vengono applicati al traffico di uno switch e vengono programmati su tutti gli switch dello stack.

• Gli ACL basati sulle porte vengono applicati solo al traffico su una porta e vengono programmati solo sullo switch che possiede l'interfaccia.

• Gli ACL vengono programmati dallo switch Active e successivamente applicati agli switch Member.

• Le stesse regole si applicano ad altre opzioni di ridondanza, ad esempio ISSU/SVL.


Espansione ACL:

• L'espansione degli ACL si verifica quando il dispositivo esaurisce gli L4OP, le etichette o le VCU. Il dispositivo deve creare più ACE equivalenti per eseguire la stessa logica e per eseguire rapidamente lo scarico di TCAM.
• ### Gli ACL4OP sono in scala e questo ACL è stato creato ##
  9500H(config)#ip access-list extended TEST
  9500H(config-ext-nacl)#allow tcp 10.0.0.0.255.255.255 any gt 150 <— corrisponde alle porte 151 e superiori
  
  
  ### Deve essere espanso in più ACE che non utilizzano un L4OP ###
  9500H(config-ext-nacl)#allow tcp 10.0.0.0 0.255.255.255 any eq 151
  9500H(config-ext-nacl)#allow tcp 10.0.0.0 0.255.255.255 any eq 152
  9500H(config-ext-nacl)#allow tcp 10.0.0.0 0.255.255.255 any eq 153
  9500H(config-ext-nacl)#allow tcp 10.0.0.0 0.255.255.255 any eq 154
  ... e così via...

Consumo TCAM e condivisione di etichette:

• A ciascun criterio ACL fa riferimento internamente un'etichetta.

• Quando si applicano i criteri ACL (ACL di sicurezza come GACL, PACL, VACL, RACL) a più interfacce o VLAN, viene usata la stessa etichetta.

• Gli ACL in entrata/in uscita usano spazi di etichetta diversi.

• IPv4, IPv6 e ACL MAC utilizzano altri spazi di etichette.

• Lo stesso PACL viene applicato all'entrata dell'interfaccia A e all'uscita dell'interfaccia A. Ci sono due istanze del PACL nel TCAM, ognuna con un'etichetta univoca per Ingress ed Egress.

• Se lo stesso PACL con un L4OP viene applicato a più interfacce in entrata esistenti su ciascun core, esistono due istanze dello stesso PACL programmate in TCAM, una per ciascun core.

Descrizione VMR:

Un ACE viene programmato internamente in TCAM come 'VMR' - noto anche come Valore, Maschera, Risultato. Ogni voce ACE può utilizzare VMR e VCU.

Scalabilità ACL:

Le risorse ACL di sicurezza sono dedicate agli ACL di sicurezza. Non vengono condivise con altre funzionalità.

Informazioni correlate

• Guida alla configurazione della sicurezza, Cisco IOS XE Amsterdam 17.3.x (switch Catalyst 9200)
• Guida alla configurazione della sicurezza, Cisco IOS XE Amsterdam 17.3.x (switch Catalyst 9300)
• Guida alla configurazione della sicurezza, Cisco IOS XE Amsterdam 17.3.x (switch Catalyst 9400)
• Guida alla configurazione della sicurezza, Cisco IOS XE Amsterdam 17.3.x (switch Catalyst 9500)
• Guida alla configurazione della sicurezza, Cisco IOS XE Amsterdam 17.3.x (switch Catalyst 9600)
• Guida alla configurazione della gestione del sistema, Cisco IOS XE Bengaluru 17.4.x (switch Catalyst 9500)
• Supporto tecnico Cisco e download

Comandi Debug e Trace