Valideren van security ACL’s op Catalyst 9000 Switches

### Ping originated from neighbor device with source 10.1.1.1 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success 


### Ping originated from neighbor device with source 10.1.1.3 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails 
.....
Success rate is 0 percent (0/5)                                      <-- 0% ping success 


### Confirm RACL drop ###
9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches
    20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i RACL Drop
Ingress IPv4 RACL Drop              (0xed000007):         100 frames  <-- Hardware level command displays drops against RACL 
<...snip...>

Scenario 4. VACL

VACL’s worden toegewezen aan een Layer 2 VLAN. 

• Beveiligingsgrens: binnen of via een VLAN
• Bijlage: VLAN/VLAN-kaart
• Richting: Zowel ingres als uitgang tegelijk
• Ondersteunde ACL-typen: MAC ACL en IP ACL’s (standaard of uitgebreid)

VACL configureren

ip access-list extended TEST
 10 permit ip host 10.1.1.1 any
 20 permit ip any host 10.1.1.1

ip access-list extended ELSE
 10 permit ip any any

vlan access-map VACL 10
 match ip address TEST
 action forward
vlan access-map VACL 20
 match ip address ELSE
 action drop

vlan filter VACL vlan-list 10


9500H#sh vlan access-map VACL
Vlan access-map "VACL" 10
  Match clauses:
    ip address: TEST
  Action:
    forward
Vlan access-map "VACL" 20
  Match clauses:
    ip address: ELSE
  Action:
    drop

9500H#sh vlan filter access-map VACL
VLAN Map VACL is filtering VLANs:
10

Controleer VACL

Win de IF_ID terug die aan de interface is gekoppeld.

9500H#show platform software fed active ifm interfaces vlan
Interface                         IF_ID               State
----------------------------------------------------------------------
Vlan10                            0x00420010          READY

Controleer de Class group ID (CG ID) die aan de IF_ID is gekoppeld.

9500H#show platform software fed active acl interface 0x420010  <-- IF_ID for the Vlan 
########################################################
########                              ##################
#######   Printing Interface Infos     #################
########                              ##################
########################################################

INTERFACE: Vlan10                                               <-- Can be L2 only, with no vlan interface 
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fc8cc7c7f48
    Interface handle: 0xf1000024
    Interface Type: Vlan
    if-id: 0x0000000000420010
    Input IPv4: Policy Handle: 0xd10000a3                       <-- VACL has both Ingress and Egress actions 
        Policy Name: VACL                                       <-- Name of the VACL used 
             CG ID: 530                                         <-- Class Group ID for entry 
       CGM Feature: [35] acl-grp                                <-- Feature is ACL group, versus ACl
        Bind Order: 0

    Output IPv4: Policy Handle: 0xc80000a4                      <-- VACL has both Ingress and Egress actions
         Policy Name: VACL
              CG ID: 530
         CGM Feature: [35] acl-grp
    Bind Order: 0

ACL-informatie gekoppeld aan de CG-groep-ID.

Er zijn twee ACL’s die in hetzelfde VACL-beleid worden gebruikt, gegroepeerd in deze groep

9500H#show platform software fed active acl info acl-grp-cgid 530  <-- use the group-id command versus gc ID
########################################################
#########                             ##################
########    Printing CG Entries        #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/530): VACL type: IPv4                              <-- feature acl/group ID 530: name VACL : type IPv4
Total Ref count 2
---------------------------------
2 VACL                                                             <-- Ingress and egress ACL direction on a VACl 
---------------------------------
  region reg_id: 12
    subregion subr_id: 0
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x0a010101, mask = 0xffffffff           <-- permit from host 10.1.1.1 (see PACL example for hex conversion)
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- to any other host
      GCE#:20 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- permit from any host 
        ipv4_dst: value = 0x0a010101, mask = 0xffffffff           <-- to host 10.1.1.1
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x05000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- This is the ACL named 'ELSE' which is permit any any
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- with VACL, the logic used was "permit to match" action "drop"

Beleidsinformatie over de CG ID, evenals welke interfaces de CG ID gebruiken.

9500H#show platform software fed active acl policy 530     <-- use the acl-grp ID 
########################################################
#########                             ##################
########     Printing Policy Infos     #################
#########                             ##################
########################################################

INTERFACE: Vlan10
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fa15802a5d8
    Interface handle: 0xf1000024
    Interface Type: Vlan                                   <-- Interface type is the Vlan, not a specific interface 
    if-id: 0x0000000000420010                              <-- the Vlan IF_ID matches Vlan 10
------------
Direction: Input                                           <-- VACL in the input direction
Protocol Type:IPv4
    Policy Intface Handle: 0x44000001
    Policy Handle: 0x29000090

########################################################
#########                             ##################
########       Policy information      #################
#########                             ##################
########################################################
Policy handle       : 0x29000090
Policy name         : VACL                                 <-- the VACL policy is named 'VACL'
ID                  : 530
Protocol            : [3] IPV4
Feature             : [23] AAL_FEATURE_VACL                <-- ASIC feature is VACL 
Number of ACLs      : 2                                    <-- 2 ACL used in the VACL: "TEST & ELSE"

########################################################
## Complete policy ACL information
########################################################
Acl number : 1
=====================================
Acl handle : 0xa6000090
Acl flags : 0x00000001
Number of ACEs : 4
  Ace handle [1] : 0x87000107
  Ace handle [2] : 0x30000108
  Ace handle [3] : 0x73000109
  Ace handle [4] : 0xb700010a

Acl number : 2
=====================================
Acl handle : 0x0f000091
Acl flags : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x5800010b

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0x44000001
Policy handle         : 0x29000090
ID                    : 530                                <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [1] Ingress                        <-- Ingress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------
Direction:  Output
Protocol Type:IPv4
    Policy Intface Handle: 0xac000002
    Policy Handle: 0x31000091

########################################################
#########                             ##################
########        Policy information     #################
#########                             ##################
########################################################
Policy handle        : 0x31000091
Policy name          : VACL
ID                   : 530
Protocol             : [3] IPV4
Feature              : [23] AAL_FEATURE_VACL
Number of ACLs       : 2

########################################################
## Complete policy ACL information
########################################################
Acl number    : 1
=====================================
Acl handle      : 0xe0000092
Acl flags       : 0x00000001
Number of ACEs  : 4
  Ace handle [1] : 0xf500010c
  Ace handle [2] : 0xd800010d
  Ace handle [3] : 0x4c00010e
  Ace handle [4] : 0x0600010f

Acl number    : 2
=====================================
Acl handle      : 0x14000093
Acl flags       : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x8e000110

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0xac000002
Policy handle         : 0x31000091
ID                    : 530                               <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [2] Egress                        <-- Egress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------

Bevestig dat VACL werkt.

• Probleemoplossing is hetzelfde scenario als PACL en RACl. Verwijs naar deze secties voor details op de ping test.
• Ping van 10.1.1.3 tot 10.1.1.2 ontkend door het toegepaste ACL-beleid. 
• Controleer de platformdrop-opdracht.

9500H#show platform software fed active acl counters hardware | inc VACL Drop
Ingress IPv4 VACL Drop              (0x23000006):         1011 frames      <-- Hardware level command displays drops against VACL 
<...snip...>

Scenario 5. Groep/client-ACL (DACL)

Groep/client-ACL’s worden dynamisch toegepast op een gebruikersgroep of client op basis van hun identiteit. Deze worden ook wel DACL genoemd.

• Beveiligingsgrens: client (clientinterfaceniveau)
• Bijlage: per client-interface
• Richting: alleen ingress
• Ondersteunde ACL-typen: MAC ACL en IP ACL’s (standaard of uitgebreid)

GACL configureren

Cat9400#show run interface gigabitEthernet 2/0/1 
Building configuration...

Current configuration : 419 bytes
!
interface GigabitEthernet2/0/1
 switchport access vlan 10
 switchport mode access
 switchport voice vlan 5
 ip access-group ACL-ALLOW in                     <-- This is the pre-authenticated ACL (deny ip any any). Validation is done for the post-auth ACL
 authentication periodic
 authentication timer reauthenticate server
 access-session control-direction in
 access-session port-control auto
 no snmp trap link-status
 mab
 dot1x pae authenticator
 spanning-tree portfast
 service-policy type control subscriber ISE_Gi2/0/1
end

Cat9400#show access-session interface gigabitEthernet 2/0/1 details 
            Interface:  GigabitEthernet2/0/1
               IIF-ID:  0x1765EB2C                <-- The IF_ID used in this example is dynamic 
          MAC Address:  000a.aaaa.aaaa            <-- The client MAC
         IPv6 Address:  Unknown
         IPv4 Address:  10.10.10.10
            User-Name:  00-0A-AA-AA-AA-AA
               Status:  Authorized                <-- Authorized client
               Domain:  VOICE
       Oper host mode:  multi-auth
     Oper control dir:  in
      Session timeout:  300s (server), Remaining: 182s
       Timeout action:  Reauthenticate
    Common Session ID:  27B17A0A000003F499620261
      Acct Session ID:  0x000003e7
               Handle:  0x590003ea
       Current Policy:  ISE_Gi2/0/1


Server Policies:
              ACS ACL:  xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e  <-- The ACL pushed from ISE server 


Method status list:
       Method           State
        dot1x           Stopped
          mab           Authc Success                                      <-- Authenticated via MAB (Mac authentication bypass)

Cat9400#show ip access-lists xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e
Extended IP access list xACSACLx-IP-MAB-FULL-ACCESS-GOOD-59fb6e5e
    1 permit ip any any                                                   <-- ISE pushed a permit ip any any 

Controleer GACL

Groep CG ID gebonden aan de if-id.

Cat9400#show platform software fed active acl interface 0x1765EB2C                 <-- The IF_ID from the access-session output
########################################################
########                              ##################
#######    Printing Interface Infos    #################
########                              ##################
########################################################

INTERFACE: Client MAC 000a.aaaa.aaaa                                              <-- Client MAC matches the access-session output
MAC 000a.aaaa.aaaa
########################################################
    intfinfo: 0x7f104820cae8
    Interface handle: 0x5a000110
    Interface Type: Group                                                          <-- This is a group identity type policy 
    IIF ID: 0x1765eb2c                                             
    Input IPv4: Policy Handle: 0x9d00011e
        Policy Name: ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: <-- DACL name matches 
             CG ID: 127760                                                         <-- The ACL group ID                     
       CGM Feature: [35] acl-grp 
        Bind Order: 0

ACL-informatie gekoppeld aan de groep GC-id

Cat9400#show platform software fed active acl info acl-grp-cgid 127760                            <-- the CG ID for this DACL 
########################################################
#########                             ##################
########      Printing CG Entries      #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/127760): ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: type: IPv4  <-- Group ID & ACL name are correct 
Total Ref count 1
---------------------------------
1 CGACL                                                                                            <-- 1  GACL (group ACL) is applied 
---------------------------------
  region reg_id: 1
    subregion subr_id: 0
      GCE#:1 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000                                           <-- Permits IP any any as seen in software 
        ipv4_dst: value = 0x00000000, mask = 0x00000000
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000
        ipv4_dst: value = 0x00000000, mask = 0x00000000

Scenario 6. ACL-vastlegging

De apparaatsoftware kan syslogberichten over pakketten verstrekken die door een standaard IP toegangslijst worden toegelaten of worden ontkend. Om het even welk pakket dat ACL aanpast veroorzaakt een informatief logboekbericht over het pakket dat naar de console wordt verzonden. Het niveau van de berichten die op de console zijn gelogd, wordt bepaald door de consolecommandands die de Syslog-berichten controleren.

• ACL-logberichten worden niet ondersteund voor ACL’s die worden gebruikt met Unicast Reverse Path Forwarding (uRPF). Het wordt alleen ondersteund voor RACL.

• ACL-aanmelding in de uitgangsrichting wordt niet ondersteund voor pakketten die worden gegenereerd vanaf het besturingsplane van het apparaat.

• Routing wordt gedaan in hardware en het inloggen software, zodat als een groot aantal pakketten overeenkomen met een vergunning of ontkennen ACE die een logkeyword bevat, de software niet kan overeenkomen met de hardware verwerkingssnelheid, en niet alle pakketten kunnen worden geregistreerd.
• Het eerste pakket dat de ACL activeert, veroorzaakt meteen een logbericht, en de volgende pakketten worden verzameld over intervallen van 5 minuten voordat ze verschijnen of worden vastgelegd. Het logbericht bevat het nummer van de toegangslijst, of het pakket is toegestaan of geweigerd, het IP-bronadres van het pakket en het aantal pakketten uit die bron dat in het vorige 5-minuten interval is toegestaan of geweigerd.
• Zie de juiste Security Configuration Guide, Cisco IOS XE zoals aangegeven in het gedeelte Verwante informatie voor volledige informatie over het gedrag en de beperkingen van ACL-logbestanden.

Voorbeeld van een logboek:

Dit voorbeeld toont een negatieve case, waarbij het ACL-type en het logwoord niet samenwerken.

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log             <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface twentyFiveGigE 1/0/1
9500H(config-if)#ip access-group TEST in           <-- apply logged ACL 
Switch Port ACLs are not supported for LOG!        <-- message indicates this is an unsupported combination 

Log Voorbeeld van RACL (Deny):

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log            <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface vlan 10
9500H(config-if)#ip access-group TEST in          <-- ACL applied to SVI

### Orginate ICMP from 10.1.1.3 to 10.1.1.2 (denied by ACE) ###
C9300#ping 10.1.1.2 source vlan 10 repeat 110
Type escape sequence to abort.
Sending 10, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3
..........
Success rate is 0 percent (0/110)

9500H#show access-list TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log
    20 deny ip host 10.1.1.3 any log (110 matches)  <-- Matches increment in show access-list command 

9500H#show platform software fed active acl counters hardware | inc RACL
Ingress IPv4 RACL Drop          (0xed000007):            0 frames
Ingress IPv4 RACL Drop and Log  (0x93000009):          110 frames   <-- Aggregate command shows hits on the RACL Drop and Log 

%SEC-6-IPACCESSLOGDP: list TEST denied icmp 10.1.1.3 -> 10.1.1.2 (8/0), 10 packets  <-- Syslog message is produced 

Voorbeeld van een RACL (Permit):
Wanneer een logverklaring voor een vergunningsverklaring wordt gebruikt, tonen de softwaretellerhits dubbel het aantal verzonden pakketten.

C9300#ping 10.1.1.2 source vlan 10 repeat 5          <-- 5 ICMP Requests are sent 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log (10 matches)  <-- Hit counter shows 10 
    20 deny ip host 10.1.1.3 any log (115 matches)

Problemen oplossen

ACL-statistieken

Wanneer u een probleem met ACL oplost, is het essentieel om te begrijpen hoe en waar ACL-statistieken door het apparaat worden gemeten.  

• ACL-statistieken worden verzameld op een geaggregeerd niveau en niet per ACE-niveau.
• Hardware heeft niet de mogelijkheid om per ACE of per ACL stats toe te staan.
• Statistieken zoals doorgestuurde pakketten van Deny, Log en CPU worden verzameld.
• Statistieken voor MAC-, IPv4- en IPv6-pakketten worden afzonderlijk verzameld.
• show platform software fed switch active acl counters hardware  kan worden gebruikt om samengestelde statistieken weer te geven.

ACL-statistieken wissen

Wanneer het oplossen van problemen een ACL kwestie, kan het nuttig zijn om de diverse ACL tellers te ontruimen om verse basislijntellingen te krijgen.

• Met deze opdrachten kunt u de software en hardware ACL-tellerstatistieken wissen.
• Wanneer u problemen met ACL-overeenkomsten/treffers oplost, wordt aanbevolen de relevante ACL te wissen van basislijnovereenkomsten die recent of relevant zijn.

clear platform software fed active acl counters hardware (clears the hardware matched counters)
clear ip access-list counters <acl_name> (clears the software matched counters - IPv4)
clear ipv6 access-list counters <acl_name> (clears the software matched counters - IPv6)

Wat gebeurt er wanneer ACL TCAM is uitgeput?

• ACL’s worden altijd toegepast in hardware-TCAM. Als TCAM al wordt gebruikt door eerder geconfigureerde ACL’s, krijgen de nieuwe ACL’s niet de vereiste ACL-bronnen die nodig zijn om te programmeren.

• Als een ACL wordt toegevoegd nadat TCAM is uitgeput, worden alle pakketten gelaten vallen voor de interface het in bijlage is.

• De handeling van het houden van ACL in software wordt genoemd het Onladen.
• Wanneer er bronnen beschikbaar komen, probeert de switch automatisch de ACL’s in de hardware te programmeren. Als dit lukt, worden de ACL’s naar de hardware gedrukt en beginnen de pakketten vooruit te gaan.
• De actie van het programmeren van een software-held ACL in TCAM wordt herladen genoemd.

• PACL, VACL, RACL en GACL kunnen onafhankelijk van elkaar worden gelost/opnieuw geladen.

ACL-TCAM-uitputting

• De interface waarop de nieuw toegevoegde ACL wordt toegepast, begint pakketten te laten vallen totdat hardwareresources beschikbaar zijn.
• GACL-clients worden in de staat van de VN-autorisatie geplaatst.

VCU-uitputting

• Eenmaal boven de L4OPs limiet of uit VCU's, voert de software ACL-uitbreiding uit en creëert nieuwe ACE-vermeldingen om gelijkwaardige actie uit te voeren zonder VCU's te gebruiken.
• Zodra dit gebeurt kan TCAM uitgeput raken van deze toegevoegde items.

Fouten in ACL-synchronisatie

Als een bepaalde beveiligingsACL-bron is uitgeput, worden SYSLOG-berichten gegenereerd door het systeem (interface, VLAN, label enzovoort, waarden kunnen verschillen).

Scenario's en herstelacties buiten het resourcesysteem

Controleer ACL-schaal

In deze sectie worden opdrachten behandeld om de ACL-schaal en het TCAM-gebruik te bepalen.

Samenvatting van FMAN-toegangslijst:

Identificeer geconfigureerd ACL’s en totaal aantal ACE-cellen per ACL.

9500H#show platform software access-list f0 summary
Access-list                          Index        Num Ref        Num ACEs
--------------------------------------------------------------------------
TEST                                 1            1              2        <-- ACL TEST contains 2 ACE entries 
ELSE                                 2            1              1
DENY                                 3            0              1

ACL-gebruik:

9500H#show platform software fed active acl usage
########################################################
########                              ##################
#######      Printing Usage Infos      #################
########                              ##################
########################################################
##### ACE Software VMR max:196608 used:283 <-- Value/Mask/Result entry usage 
########################################################
==================================================================================================
Feature Type           ACL Type        Dir              Name                    Entries Used
VACL                   IPV4            Ingress          VACL                    4
<-- Type of ACL Feature, type of ACL, Direction ACL applied, name of ACL, and number of TCAM entries consumed 
==================================================================================================
Feature Type           ACL Type        Dir             Name                     Entries Used
RACL                   IPV4            Ingress         TEST                     5

TCAM-gebruik (17.x):

TCAM gebruikscommando heeft significante verschillen tussen 16.x en 17.x treinen.

9500H#show platform hardware fed active fwd-asic resource tcam utilization
Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]
 Table                   Subtype     Dir      Max     Used    %Used       V4       V6    MPLS   Other
 ------------------------------------------------------------------------------------------------------
 Security ACL Ipv4       TCAM        I        7168       16    0.22%      16        0       0        0
 Security ACL Non Ipv4   TCAM        I        5120       76    1.48%        0       36       0       40
 Security ACL Ipv4       TCAM       O        7168       18    0.25%       18        0       0        0
 Security ACL Non Ipv4   TCAM        O        8192       27    0.33%        0       22       0        5
<...snip...>

<-- Percentage used and other counters about ACL consumption 
<-- Dir = ACL direction (Input/Output ACl)

TCAM-gebruik (16.x):

TCAM gebruikscommando heeft significante verschillen tussen 16.x en 17.x treinen.

C9300#show platform hardware fed switch active fwd-asic resource tcam utilization
CAM Utilization for ASIC [0]
 Table                                               Max Values      Used Values
--------------------------------------------------------------------------------
 Security Access Control Entries                       5120          126 <-- Total used of the Maximum 
<...snip...>

Aangepaste SDM-sjabloon (TCAM-hertoewijzing)

Met Cisco IOS XE Bengaluru 17.4.1 kunt u een aangepaste SDM-sjabloon voor ACL-functies configureren met behulp van de sdm prefer custom aclopdracht.

9500H#show sdm prefer
Showing SDM Template Info

This is the Core template.                                                                   <-- Core SDM template in use 
  Security Ingress IPv4 Access Control Entries*:         7168  (current) - 7168  (proposed)  <-- IPv4 ACL maximum TCAM available
  Security Ingress Non-IPv4 Access Control Entries*:     5120  (current) - 5120  (proposed)
  Security Egress IPv4 Access Control Entries*:          7168  (current) - 7168  (proposed)
  Security Egress Non-IPv4 Access Control Entries*:      8192  (current) - 8192  (proposed)
  <...snip...>

9500H#show sdm prefer custom user-input
Custom Template Feature Values are not modified                                              <-- No customization to SDM 

• 9500H (configuratie)#sdm prefereert aangepaste acl
  9500H (config-sdm-acl)#acl-ingress 26 prioriteit 1 <— pas nieuwe 26K waarde toe. (prioriteit besproken in de configuratiehandleiding)
  9500H (config-sdm-acl)#acl-egress 20 prioriteit 2
  9500H (config-sdm-acl)#exit
   show sdm prefer custom Gebruik dit om de voorgestelde waarden te zien en sdm prefer custom commit om 'bekijk de veranderingen' toe te passen via deze CLI.
• Controleer de wijzigingen in het SDM-profiel.
• 9500H#toon sdm liever aangepast
  

SDM-sjablooninformatie weergeven:

Dit is de aangepaste sjabloon met zijn details.
Ingress Security Access Control Entries*: 12288 (huidig) - 26624 (voorgesteld) <— Huidig en voorgesteld gebruik (26K voorgesteld)
Vermeldingen voor toegangscontrole bij uitgang*: 15360 (huidig) - 20480 (voorgesteld)


De 9500H#show sdm geeft de voorkeur aan aangepaste gebruikersinvoer

GEBRUIKERSINVOER VAN ACL-FUNCTIE
Invoerwaarden gebruiker
==========================

PRIORITEITSSCHAAL VOOR FUNCTIENAAM
--------------------------------------------------------------------------
Ingress Security toegangscontrole ingangen: 1 26*1024 <— Gewijzigd door gebruikersinvoer naar 26 x 1024 (26K)
Vermeldingen voor toegangscontrole voor uitgaande beveiliging: 2 20*1024 <— Gewijzigd door gebruikersinvoer tot 20 x 1024 (20K)

• Wijzigingen toepassen op het SDM-profiel.
• 9500H (configuratie)#sdm prefereert aangepaste commit
  Veranderingen in de lopende SDM-voorkeuren worden opgeslagen en worden van kracht bij het volgende opnieuw laden. <— Na herladen wordt ACL-TCAM toegewezen aan aangepaste waarde.


Lees ook:

ACL-verwerkingsvolgorde:

ACL’s worden in deze volgorde verwerkt van Bron naar Bestemming.

ACL’s die in een stack zijn geprogrammeerd:

• ACL’s die niet op poorten zijn gebaseerd (bijvoorbeeld VACL, RACL) worden op elk verkeer op elke switch toegepast en zijn geprogrammeerd op alle switches in de stack.

• Op poorten gebaseerde ACL’s worden alleen toegepast op het verkeer op een poort en zijn alleen geprogrammeerd op de switch die eigenaar is van de interface.

• ACL’s worden geprogrammeerd door de actieve switch en vervolgens toegepast op de switches van de leden.

• Dezelfde regels gelden voor andere redundantieopties, zoals ISSU/SVL.


ACL-uitbreiding:

• ACL-uitbreiding gebeurt wanneer het apparaat geen L4OP’s, tabellen of VCU’s meer heeft. Het apparaat moet meerdere equivalente ACE's creëren om dezelfde logica te bereiken en om TCAM snel uit te putten.
• ### L4OPs zijn bij schaal en dit ACL wordt gemaakt ##
  9500H (configuratie)#ip toegangslijst - uitgebreide TEST
  9500H (config-ext-nacl)#license tcp 10.0.0.0 0.255.255.255 elke GT 150 <— komt overeen met poorten 151 en hoger
  
  
  ### Dit moet worden uitgebreid tot meerdere ACE’s die geen L4OP ### gebruiken
  9500H (config-ext-nacl)#license-tcp 10.0.0.0 0.255.255.255 elke eq 151
  9500H (config-ext-nacl)#license-tcp 10.0.0 0.255.255.255 elke eq 152
  9500H (config-ext-nacl)#license-tcp 10.0.0 0.255.255.255 elke eq 153
  9500H (config-ext-nacl)#license-tcp 10.0.0.0 0.255.255.255 elke eq 154
  ... en zo verder ....

TCAM-verbruik en labeldeling:

• Elk ACL-beleid wordt intern door een label van verwijzingen voorzien.

• Wanneer het ACL-beleid (Security ACL zoals GACL, PACL, VACL, RACL) wordt toegepast op meerdere interfaces of VLAN, gebruikt het hetzelfde label.

• Ingress/uitgaande ACL gebruikt verschillende labelruimtes.

• IPv4, IPv6 en MAC ACL gebruiken andere labelruimtes.

• Dezelfde PAL wordt toegepast op de toegang van interface-A en de uitgang van interface-A. Er zijn twee exemplaren van de PACL in de TCAM, elk met een uniek label voor Ingress en Egress.

• Als dezelfde PACL met een L4OP wordt toegepast op meerdere ingangsinterfaces die op elke kern bestaan, zijn er twee instanties van dezelfde PACL geprogrammeerd in TCAM, één per elke kern.

Beschrijving van de VMR:

Een ACE is intern geprogrammeerd in TCAM als een 'VMR' - ook bekend als Value, Mask, Result. Elke ACE-ingang kan VMR's consumeren en VCU's consumeren.

ACL-schaalbaarheid:

Beveiligings-ACL-bronnen zijn gewijd aan security ACL’s. Ze worden niet gedeeld met andere functies.

Gerelateerde informatie

• Security Configuration Guide, Cisco IOS XE Amsterdam 17.3.x (Catalyst 9200 Switches)
• Security Configuration Guide, Cisco IOS XE Amsterdam 17.3.x (Catalyst 9300 Switches)
• Security Configuration Guide, Cisco IOS XE Amsterdam 17.3.x (Catalyst 9400 Switches)
• Security Configuration Guide, Cisco IOS XE Amsterdam 17.3.x (Catalyst 9500 Switches)
• Security Configuration Guide, Cisco IOS XE Amsterdam 17.3.x (Catalyst 9600 Switches)
• Configuratiehandleiding voor systeembeheer, Cisco IOS XE Bengaluru 17.4.x (Catalyst 9500 Switches)
• Cisco Technical Support en downloads

Opdrachten voor debuggen en overtrekken