Contenido

Introducción

Prerequisites

Componentes Utilizados

Antecedentes

Terminology

Ejemplos de Utilización de Recursos de ACL

Ejemplo 1: TCAM IPv4

Ejemplo 2: TCAM/L4OP/VCU IPv4

Ejemplo 3: TCAM/L4OP/VCU IPv6

Topología

Configurar y verificar

Escenario 1: PACL (ACL IP)

Escenario 2: PACL (MAC ACL)

Escenario 3: RACL

Escenario 4: VACL

Escenario 5: ACL de grupo/cliente (DACL)

Escenario 6: Registro ACL

Troubleshoot

Estadísticas de ACL

Verificación de las Estadísticas de ACL

¿Qué sucede cuando el TCAM de ACL se Agota?

Agotamiento de ACL TCAM

Agotamiento de VCU

Errores de registro del sistema ACL

Escenarios de recursos y acciones de recuperación

Escenario 1: Enlace de ACL

Escenario 2: Edición de ACL

Escenario 3: Reenlace de ACL

Escenario 4: Enlazar lista de control de acceso vacía (nula)

Verificar la escalabilidad de ACL

Plantilla SDM personalizada (reasignación TCAM)

Lectura adicional

Orden de procesamiento de ACL

ACL programadas en una pila

Expansión de ACL

Consumo de TCAM y uso compartido de etiquetas

Descripción de VMR

Escalabilidad de ACL

Información Relacionada

Introducción

Este documento describe cómo verificar y resolver problemas de ACL (listas de control de acceso) en switches Catalyst serie 9000.

Prerequisites

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de hardware:

- C9200

- C9300

- C9400

- C9500

- C9600

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Nota: Consulte la guía de configuración adecuada para los comandos que se utilizan para habilitar estas funciones en otras plataformas de Cisco.

Antecedentes

Las ACL filtran el tráfico a medida que pasan a través de un router o switch y permiten o niegan paquetes que cruzan interfaces especificadas. Una ACL es una colección secuencial de condiciones de permiso y rechazo que se aplican a los paquetes. Cuando se recibe un paquete en una interfaz, el switch compara los campos del paquete con cualquier ACL aplicada para verificar que el paquete tiene los permisos necesarios para ser reenviado, según los criterios especificados en las listas de acceso. Uno por uno, prueba los paquetes con las condiciones de una lista de acceso. La primera coincidencia decide si el switch acepta o rechaza los paquetes. Debido a que el switch deja de probar después de la primera coincidencia, el orden de las condiciones en la lista es crítico. Si no coinciden las condiciones, el switch rechaza el paquete. Si no hay restricciones, el switch reenvía el paquete; de lo contrario, el switch descarta el paquete. El switch puede utilizar ACL en todos los paquetes que reenvía.

Puede configurar las listas de acceso para proporcionar seguridad básica para su red. Si no configura las ACL, todos los paquetes que pasan a través del switch podrían estar permitidos en todas las partes de la red. Puede utilizar las ACL para controlar qué hosts pueden acceder a diferentes partes de una red o para decidir qué tipos de tráfico se reenvían o bloquean en las interfaces del router. Por ejemplo, puede permitir que el tráfico de correo electrónico se reenvíe pero no el tráfico Telnet.

Terminology

ACE

(Entrada de control de acceso) es una única regla/línea dentro de una ACL

ACL

(Lista de control de acceso) es un grupo de ACE aplicados a un puerto

DACL

(ACL descargable) es una ACL que se envía dinámicamente a través de la política de seguridad de ISE

PACL

(ACL de puerto) es una ACL aplicada a una interfaz de capa 2

RACL

(ACL enrutada) es una ACL aplicada a una interfaz de capa 3

VACL

(ACL de VLAN) es una ACL aplicada a una VLAN

GACL

(ACL de grupo) es una ACL asignada dinámicamente a un grupo de usuarios o cliente en función de su identidad

ACL IP

Se utiliza para clasificar los paquetes IPv4/IPv6. Estas reglas contienen varios campos y atributos de paquetes de capa 3 y capa 4, incluidos, entre otros, las direcciones IPv4 de origen y destino, los puertos de origen y destino TCP/UDP, los indicadores TCP y DSCP, etc.

MACL

(MAC Address ACL) se utiliza para clasificar los paquetes que no son de IP. Las reglas contienen varios campos y atributos de capa 2, incluidos la dirección MAC de origen/destino, el tipo de éter, etc.

L4OP

(Operador de capa 4) Lógica de coincidencia de puertos que no es EQ (igual a). GT (mayor que), LT (menor que), NE (no igual a), RANGE (de - a) son L4OP

VCU

(Unidad de comparación de valor) Las L4OP se traducen en unidades de comparación de valor (VCU) para realizar la clasificación en encabezados de capa 4

VMR

(Resultado de la máscara de valor) Una entrada ACE se programa internamente en TCAM como un "VMR".

CGD

(Base de datos de grupos de clases) es donde FMAN-FP almacena el contenido ACL

Clases

Cómo se identifican las entradas de control de acceso (ACE) en CGD

CG

(Grupo de clases) Cómo se identifican las ACL en CGD, es decir, un grupo de clases es un grupo de clases

CGE

(entrada de grupo de clases) Una entrada ACE almacenada en un grupo de clases

FMAN

(Administrador de reenvío) es la capa de programación entre Cisco IOS XE y hardware

FED

(Controlador del motor de reenvío) es el componente que programa el hardware del dispositivo

Ejemplos de Utilización de Recursos de ACL

A continuación se muestran tres ejemplos para demostrar cómo las ACL consumen TCAM, L4OP y VCU

Ejemplo 1: TCAM IPv4

access-list 101 permit ip any 10.1.1.0 0.0.0.255

access-list 101 permit ip any 10.1.2.0 0.0.0.255

access-list 101 permit ip any 10.1.3.0 0.0.0.255

access-list 101 permit ip any 10.1.4.0 0.0.0.255

access-list 101 permit ip any 10.1.5.0 0.0.0.255

Entradas TCAM

L4OP

VCU

Consumo

5

0

0

Ejemplo 2: TCAM/L4OP/VCU IPv4

ip access-list extended TEST

10 permit tcp 192.168.1.0 0.0.0.255 any neq 3456          <-- 1 L4OP, 1 VCU

20 permit tcp 10.0.0.0 0.255.255.255 any range 3000 3100  <-- 1 L4OP, 2 VCU

30 permit tcp 172.16.0.0 0.0.255.255 any range 4000 8000  <-- 1 L4OP, 2 VCU

40 permit tcp 192.168.2.0 0.0.0.255 gt 10000 any eq 20000 <-- 2 L4OP, 2 VCU

Entradas TCAM

L4OP

VCU

Consumo

4

5

7

Ejemplo 3: TCAM/L4OP/VCU IPv6

Las ACE IPv6 utilizan dos entradas TCAM frente a una para IPv4. En este ejemplo, 4 ACE consumen 8 TCAM en lugar de 4.

ipv6 access-list v6TEST

sequence 10 deny ipv6 any 2001:DB8:C18::/48 fragments

sequence 20 deny ipv6 2001:DB8::/32 any

sequence 30 permit tcp host 2001:DB8:C19:2:1::F host 2001:DB8:C18:2:1::1 eq bgp  <-- One L4OP & VCU

sequence 40 permit tcp host 2001:DB8:C19:2:1::F eq bgp host 2001:DB8:C18:2:1::1  <-- One L4OP & VCU

Entradas TCAM

L4OP

VCU

Consumo

8

2

2

Topología

El 9300 Vlan 10 SVI utiliza una de las dos direcciones IP que se muestran en esta imagen, en función de si se muestra un resultado hacia delante o hacia abajo en los ejemplos.

Configurar y verificar

Esta sección trata sobre cómo verificar y resolver problemas de programación ACL en software y hardware

Escenario 1: PACL (ACL IP)

Las ACL de puerto se asignan a una interfaz de Capa 2.

- Límite de seguridad: Puertos o VLAN

- Archivo adjunto: Interfaz de capa 2

- Dirección: Entrada o salida (de una en una)

- Tipos de ACL Soportados: ACL MAC e ACL IP (estándar o ampliada)

Configuración de PACL con ACL IP

9500H(config)#ip access-list extended TEST          <-- Create a named extended ACL

9500H(config-ext-nacl)#permit ip host 10.1.1.1 any

9500H(config-ext-nacl)#permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show access-lists TEST                        <-- Display the ACL configured

Extended IP access list TEST

10 permit ip host 10.1.1.1 any

20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H(config)#interface twentyFiveGigE 1/0/1        <-- Apply ACL to Layer 2 interface

9500H(config-if)#ip access-group TEST in

9500H#show running-config interface twentyFiveGigE 1/0/1

Building configuration...

Current configuration : 63 bytes

!

interface TwentyFiveGigE1/0/1

ip access-group TEST in                             <-- Display the ACL applied to the interface

end

Verificar PACL

Recuperar el IF_ID asociado a la interfaz

9500H#show platform software fed active ifm interfaces ethernet

Interface                         IF_ID               State

----------------------------------------------------------------

TwentyFiveGigE1/0/1               0x00000008          READY     <-- IF_ID value for Tw1/0/1

Verifique el ID del grupo de clases (ID de CG) enlazado al IF_ID

9500H#show platform software fed active acl interface 0x8       <-- IF_ID with leading zeros omitted

########################################################

########                              ##################

#######   Printing Interface Infos     #################

########                              ##################

########################################################

INTERFACE: TwentyFiveGigE1/0/1                                  <-- Confirms the interface matches the IF_ID

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f8cfc02de98

Interface handle: 0x7e000028

Interface Type: Port                                        <-- Type: Port indicates Layer 2 interface

if-id: 0x0000000000000008                                   <-- IF_ID 0x8 is correct

Input IPv4: Policy Handle: 0x5b000093

Policy Name: TEST                                       <-- The named ACL bound to this interface

CG ID: 9                                           <-- Class Group ID for this entry

CGM Feature: [0] acl                                     <-- Feature is ACL

Bind Order: 0

Información de ACL asociada al ID de CG

9500H#show platform software fed active acl info acl-cgid 9  <-- The CG ID associated to the ACL TEST

########################################################

#########                             ##################

########      Printing CG Entries      #################

#########                             ##################

########################################################

===================================

ACL CG (acl/9): TEST type: IPv4     <-- feature ACL/CG ID 9: ACl name TEST : ACL type IPv4

Total Ref count 1

---------------------------------

1 Interface                         <-- ACL is applied to one interface

---------------------------------

region reg_id: 10

subregion subr_id: 0

GCE#:1 #flds: 2 l4:N matchall:N deny:N             <-- #flds: 2 = two fields in entry | l4:N (no Layer 4 port match)

Result: 0x01010000

ipv4_src: value = 0x0a010101, mask = 0xffffffff  <-- src 0x0a010101 hex = 10.1.1.1 | mask 0xffffffff = exact host match

ipv4_dst: value = 0x00000000, mask = 0x00000000  <-- dst & mask = 0x00000000 = match any

GCE#:1 #flds: 4 l4:Y matchall:N deny:N            <-- #flds: 4 = four fields in entry | l4:Y (ACE uses UDP port L4 match)

Result: 0x01010000

ipv4_src: value = 0x0a010101, mask = 0xffffffff  <-- Exact match (host) 10.1.1.1

ipv4_dst: value = 0x0a010102, mask = 0xffffffff  <-- Exact match (host) 10.1.1.2

ip_prot: start = 17, end = 17                    <-- protocol 17 is UDP

l4_src: start = 1000, end = 1000                 <-- matches eq 1000 (equal UDP port 1000)

Información de política sobre la ID de CG, así como qué interfaces utilizan la ID de CG

9500H#show platform software fed active acl policy 9      <-- Use the CG ID value

########################################################

#########                             ##################

########     Printing Policy Infos     #################

#########                             ##################

########################################################

INTERFACE: TwentyFiveGigE1/0/1                            <-- Interface with ACL applied

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f8cfc02de98

Interface handle: 0x7e000028

Interface Type: Port

if-id: 0x0000000000000008                             <-- The Interface IF_ID 0x8

------------

Direction: Input                                          <-- ACl is applied in the ingress direction

Protocol Type:IPv4                                        <-- Type is IPv4

Policy Intface Handle: 0x880000c1

Policy Handle: 0x5b000093

########################################################

#########                             ##################

########      Policy information       #################

#########                             ##################

########################################################

Policy handle      : 0x5b000093

Policy name        : TEST                                 <-- ACL Name TEST

ID                 : 9                                    <-- CG ID for this ACL entry

Protocol           : [3] IPV4

Feature            : [1] AAL_FEATURE_PACL                 <-- ASIC feature is PACL

Number of ACLs     : 1

########################################################

## Complete policy ACL information

########################################################

Acl number    : 1

=====================================

Acl handle      : 0x320000d2

Acl flags       : 0x00000001

Number of ACEs  : 3                                       <-- 3 ACEs: two explicit and the implicit deny entry

Ace handle [1] : 0xb700010a

Ace handle [2] : 0x5800010b

Interface(s):

TwentyFiveGigE1/0/1                               <-- The interface ACL is applied

########################################################

#########                             ##################

########  Policy instance information  #################

#########                             ##################

########################################################

Policy intf handle    : 0x880000c1

Policy handle         : 0x5b000093

ID                    : 9

Protocol              : [3] IPV4

Feature               : [1] AAL_FEATURE_PACL

Direction             : [1] Ingress

Number of ACLs        : 1

Number of VMRs        : 3------------

Confirmar que PACL funciona

Nota: Cuando ingresa el comando show ip access-listsprivileged EXEC, el conteo de coincidencias mostrado no tiene en cuenta los paquetes que son de acceso controlado en hardware. Utilice el comando EXEC privilegiado show platform software fed switch {switch_num|active|standby} acl counters para obtener algunas estadísticas básicas de ACL de hardware para paquetes conmutados y enrutados.

### Ping originated from neighbor device with source 10.1.1.1 ###

C9300#ping 10.1.1.2 source g 1/0/1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success

### Ping originated from neighbor device with source 10.1.1.3 ###

C9300#ping 10.1.1.2 source g 1/0/1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails

.....

Success rate is 0 percent (0/5)                                      <-- 0% ping success

### Confirm PACL drop ###

9500H#show access-lists TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches

20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i PACL Drop

Ingress IPv4 PACL Drop            (0x77000005):         11 frames    <-- Hardware level command displays drops against PACL

Ingress IPv6 PACL Drop            (0x12000012):          0 frames

<...snip...>

Escenario 2: PACL (MAC ACL)

Las ACL de puerto se asignan a una interfaz de Capa 2.

- Límite de seguridad: Puertos o VLAN

- Archivo adjunto: Interfaz de capa 2

- Dirección: Entrada o salida (de una en una)

- Tipos de ACL Soportados: ACL MAC e ACL IP (estándar o ampliada)

Configurar PACL con MAC ACL

9500H#show run | sec mac access-list

mac access-list extended MAC-TEST           <-- MAC ACL named MAC-TEST

permit host 0001.aaaa.aaaa any             <-- permit host MAC to any dest MAC

9500H#show access-lists MAC-TEST

Extended MAC access list MAC-TEST

permit host 0001.aaaa.aaaa any

9500H#show running-config interface twentyFiveGigE 1/0/1

Building configuration...

interface TwentyFiveGigE1/0/1

switchport access vlan 10

switchport mode access

mac access-group MAC-TEST in                <-- Applied MACL to layer 2 interface

Verificar PACL

Recuperar el IF_ID asociado a la interfaz

9500H#show platform software fed active ifm interfaces ethernet

Interface                         IF_ID               State

----------------------------------------------------------------

TwentyFiveGigE1/0/1               0x00000008          READY     <-- IF_ID value for Tw1/0/1

Verifique el ID del grupo de clases (ID de CG) enlazado al IF_ID

9500H#show platform software fed active acl interface 0x8       <-- IF_ID with leading zeros omitted

########################################################

########                              ##################

#######   Printing Interface Infos     #################

########                              ##################

########################################################

INTERFACE: TwentyFiveGigE1/0/1                                 <-- Confirms the interface matches the IF_ID

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f489404e408

Interface handle: 0x7e000028

Interface Type: Port                                       <-- Type: Port indicates Layer 2 interface

if-id: 0x0000000000000008                                  <-- IF_ID 0x8 is correct

Input MAC: Policy Handle: 0xde000098

Policy Name: MAC-TEST                                  <-- The named ACL bound to this interface

CG ID: 20                                         <-- Class Group ID for this entry

CGM Feature: [0] acl                                    <-- Feature is ACL

Bind Order: 0

Información de ACL asociada al ID de CG

9500H#show platform software fed active acl info acl-cgid 20  <-- The CG ID associated to the ACl MAC-TEST

########################################################

#########                             ##################

########      Printing CG Entries      #################

#########                             ##################

########################################################

===================================

ACL CG (acl/20): MAC-TEST type: MAC                           <-- feature ACL/CG ID 20: ACL name MAC-TEST : type MAC ACL

Total Ref count 1

---------------------------------

1 Interface                                                   <-- Applied to one interface

---------------------------------

region reg_id: 3

subregion subr_id: 0

GCE#:1 #flds: 2 l4:N matchall:N deny:N

Result: 0x01010000

mac_dest: value = 0x00, mask = 0x00                  <-- Mac dest: hex 0x00 mask 0x00 is "any destination

mac_src: value = 0x1aaaaaaaa, mask = 0xffffffffffff

<-- Mac source: 0x1aaaaaaaa | hex with leading zeros omitted (0001.aaaa.aaaa) & mask 0xffffffffffff is host exact match

Información de política sobre la ID de CG, así como qué interfaces utilizan la ID de CG

9500H#show platform software fed active acl policy 20      <-- Use the CG ID value

########################################################

#########                             ##################

########     Printing Policy Infos     #################

#########                             ##################

########################################################

INTERFACE: TwentyFiveGigE1/0/1                            <-- Interface with ACL applied

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f8cfc02de98

Interface handle: 0x7e000028

Interface Type: Port

if-id: 0x0000000000000008                             <-- The Interface IF_ID 0x8

------------

Direction:  Input                                         <-- ACl is applied in the ingress direction

Protocol Type:MAC                                         <-- Type is MAC

Policy Intface Handle: 0x30000c6

Policy Handle: 0xde000098

########################################################

#########                             ##################

########         Policy information    #################

#########                             ##################

########################################################

Policy handle         : 0xde000098

Policy name           : MAC-TEST                          <-- ACL name is MAC-TEST

ID                    : 20                                <-- CG ID for this ACL entry

Protocol              : [1] MAC

Feature               : [1] AAL_FEATURE_PACL              <-- ASIC Feature is PACL

Number of ACLs        : 1

########################################################

## Complete policy ACL information

########################################################

Acl number : 1

=====================================

Acl handle : 0xd60000dc

Acl flags : 0x00000001

Number of ACEs : 2                                        <-- 2 ACEs: one permit, and one implicit deny

Ace handle [1] : 0x38000120

Ace handle [2] : 0x31000121

Interface(s):

TwentyFiveGigE1/0/1                               <-- Interface the ACL is applied

########################################################

#########                             ##################

########  Policy instance information  #################

#########                             ##################

########################################################

Policy intf handle    : 0x030000c6

Policy handle         : 0xde000098

ID                    : 20

Protocol              : [1] MAC

Feature               : [1] AAL_FEATURE_PACL

Direction             : [1] Ingress

Number of ACLs        : 1

Number of VMRs        : 3------------

Confirmar que PACL funciona

- La MACL sólo permite la dirección de origen 0001.aaaa.aaaa

- Dado que se trata de una ACL MAC, se descarta el paquete ARP que no es IP y, por lo tanto, se produce un error en el ping

### Ping originated from neighbor device with Source MAC 0000.0000.0002 ###

C9300#ping 10.1.1.2 source vlan 10

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

.....

Success rate is 0 percent (0/5)

C9300#show ip arp

Protocol  Address          Age (min)  Hardware Addr    Type    Interface

Internet  10.1.1.2                0   Incomplete       ARPA                <-- ARP is unable to complete on Source device

### Monitor capture configured on Tw 1/0/1 ingress ###

9500H#monitor capture 1 interface TwentyFiveGigE 1/0/1 in match any

9500H#show monitor cap

Status Information for Capture 1

Target Type:

Interface: TwentyFiveGigE1/0/1, Direction: IN

9500H#sh monitor capture 1 buffer brief | inc ARP

5   4.767385 00:00:00:00:00:02 b^F^R ff:ff:ff:ff:ff:ff ARP 60 Who has 10.1.1.2? Tell 10.1.1.1

8   8.767085 00:00:00:00:00:02 b^F^R ff:ff:ff:ff:ff:ff ARP 60 Who has 10.1.1.2? Tell 10.1.1.1

11  10.767452 00:00:00:00:00:02 b^F^R ff:ff:ff:ff:ff:ff ARP 60 Who has 10.1.1.2? Tell 10.1.1.1

13  12.768125 00:00:00:00:00:02 b^F^R ff:ff:ff:ff:ff:ff ARP 60 Who has 10.1.1.2? Tell 10.1.1.1

<-- 9300 (10.1.1.1) sends ARP request, but since there is no reply 4 more ARP requests are sent

9500H#show platform software fed active acl counters hardware | inc MAC PACL Drop

Ingress MAC PACL Drop                       (0x73000021): 937 frames         <-- Confirmed that ARP requests are dropped from Ingress MAC filter

Egress MAC PACL Drop                        (0x0200004c): 0 frames

<...snip...>

Escenario 3: RACL

La ACL del router se asigna a una interfaz de Capa 3 como una interfaz SVI o enrutada

- Límite de seguridad: Subredes diferentes

- Archivo adjunto: Interfaz de capa 3

- Dirección: Entrada o salida

- Tipos de ACL Soportados: ACL IP (estándar o ampliada)

Configuración de RACL

9500H(config)#ip access-list extended TEST          <-- Create a named extended ACL

9500H(config-ext-nacl)#permit ip host 10.1.1.1 any

9500H(config-ext-nacl)#permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show access-lists TEST                        <-- Display the ACL configured

Extended IP access list TEST

10 permit ip host 10.1.1.1 any

20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H(config)#interface Vlan 10                     <-- Apply ACL to Layer 3 SVI interface

9500H(config-if)#ip access-group TEST in

9500H#show running-config interface Vlan 10

Building configuration...

Current configuration : 84 bytes

!

interface Vlan10

ip access-group TEST in                            <-- Display the ACL applied to the interface

end

Verificar RACL

Recuperar el IF_ID asociado a la interfaz

9500H#show platform software fed active ifm mappings l3if-le  <-- Retrieve the IF_ID for a Layer 3 SVI type port

Mappings Table

L3IF_LE                   Interface                            IF_ID             Type

----------------------------------------------------------------------------------------------------

0x00007f8d04983958        Vlan10                               0x00000026        SVI_L3_LE        <-- IF_ID value for SVI 10

Verifique el ID del grupo de clases (ID de CG) enlazado al IF_ID

9500H#show platform software fed active acl interface 0x26  <-- IF_ID for SVI Vlan 10 with leading zeros omitted

########################################################

########                              ##################

#######     Printing Interface Infos   #################

########                              ##################

########################################################

INTERFACE: Vlan10                                           <-- Confirms the interface matches the IF_ID

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f8cfc02de98

Interface handle: 0x6e000047

Interface Type: L3                                      <-- Type: L3 indicates Layer 3 type interface

if-id: 0x0000000000000026                               <-- IF_ID 0x26 is correct

Input IPv4: Policy Handle: 0x2e000095

Policy Name: TEST                                   <-- The named ACL bound to this interface

CG ID: 9                                       <-- Class Group ID for this entry

CGM Feature: [0] acl                                 <-- Feature is ACL

Bind Order: 0

Información de ACL asociada al ID de CG

9500H#show platform software fed active acl info acl-cgid 9  <-- The CG ID associated to the ACL TEST

########################################################

#########                             ##################

########      Printing CG Entries      #################

#########                             ##################

########################################################

===================================

ACL CG (acl/9): TEST type: IPv4        <-- feature ACL/CG ID 9: ACl name TEST : ACl type IPv4

Total Ref count 2

---------------------------------

2 Interface                            <-- Interface count is 2. Applied to SVI 10 and as PACL to Tw1/0/1

---------------------------------

region reg_id: 10

subregion subr_id: 0

GCE#:1 #flds: 2 l4:N matchall:N deny:N            <-- #flds: 2 = two fields in entry | l4:N (no Layer 4 port match)

Result: 0x01010000

ipv4_src: value = 0x0a010101, mask = 0xffffffff <-- src 0x0a010101 hex = 10.1.1.1 | mask 0xffffffff = exact host match

ipv4_dst: value = 0x00000000, mask = 0x00000000 <-- dst & mask = 0x00000000 = match any

GCE#:1 #flds: 4 l4:Y matchall:N deny:N            <-- #flds: 4 = four fields in entry | l4:Y (ACE uses UDP port L4 match)

Result: 0x01010000

ipv4_src: value = 0x0a010101, mask = 0xffffffff <-- Exact match (host) 10.1.1.1

ipv4_dst: value = 0x0a010102, mask = 0xffffffff <-- Exact match (host) 10.1.1.2

ip_prot: start = 17, end = 17                   <-- protocol 17 is UDP

l4_src: start = 1000, end = 1000                <-- matches eq 1000 (equal UDP port 1000)

Información de política sobre la ID de CG, así como qué interfaces utilizan la ID de CG

9500H#show platform software fed active acl policy 9      <-- Use the CG ID Value

########################################################

#########                             ##################

########     Printing Policy Infos     #################

#########                             ##################

########################################################

INTERFACE: Vlan10                                         <-- Interface with ACL applied

MAC 0000.0000.0000

########################################################

intfinfo: 0x7f8cfc02de98

Interface handle: 0x6e000047

Interface Type: L3

if-id: 0x0000000000000026                             <-- Interface IF_ID 0x26

------------

Direction:  Input                                         <-- ACL applied in the ingress direction

Protocol Type:IPv4                                        <-- Type is IPv4

Policy Intface Handle: 0x1c0000c2

Policy Handle: 0x2e000095

########################################################

#########                             ##################

########        Policy information     #################

#########                             ##################

########################################################

Policy handle        : 0x2e000095

Policy name          : TEST                               <-- ACL name TEST

ID                   : 9                                  <-- CG ID for this ACL entry

Protocol             : [3] IPV4

Feature              : [27] AAL_FEATURE_RACL              <-- ASIC feature is RACL

Number of ACLs       : 1

########################################################

## Complete policy ACL information

########################################################

Acl number       : 1

=====================================

Acl handle         : 0x7c0000d4

Acl flags          : 0x00000001

Number of ACEs     : 5                                    <-- 5 Aces: 2 explicit, 1 implicit deny, 2 ??? CHECK this

Ace handle [1] : 0x0600010f

Ace handle [2] : 0x8e000110

Ace handle [3] : 0x3b000111

Ace handle [4] : 0xeb000112

Ace handle [5] : 0x79000113

Interface(s):

Vlan10                                            <-- The interface the ACL is applied

########################################################

#########                             ##################

########  Policy instance information  #################

#########                             ##################

########################################################

Policy intf handle     : 0x1c0000c2

Policy handle          : 0x2e000095

ID                     : 9

Protocol               : [3] IPV4

Feature                : [27] AAL_FEATURE_RACL

Direction              : [1] Ingress

Number of ACLs         : 1

Number of VMRs         : 4------------

Confirmar que la RACL funciona

Nota: Cuando ingresa el comando show ip access-listsprivileged EXEC, el conteo de coincidencias mostrado no tiene en cuenta los paquetes que son de acceso controlado en hardware. Utilice el comando EXEC privilegiado show platform software fed switch {switch_num|active|standby} acl counters para obtener algunas estadísticas básicas de ACL de hardware para paquetes conmutados y enrutados.

### Ping originated from neighbor device with source 10.1.1.1 ###

C9300#ping 10.1.1.2 source g 1/0/1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success

### Ping originated from neighbor device with source 10.1.1.3 ###

C9300#ping 10.1.1.2 source g 1/0/1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails

.....

Success rate is 0 percent (0/5)                                      <-- 0% ping success

### Confirm RACL drop ###

9500H#show access-lists TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches

20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i RACL Drop

Ingress IPv4 RACL Drop              (0xed000007):         100 frames  <-- Hardware level command displays drops against RACL

<...snip...>

Escenario 4: VACL

Las ACL de VLAN se asignan a una VLAN de Capa 2.

- Límite de seguridad: Dentro de o a través de una VLAN

- Archivo adjunto: Mapa Vlan/Vlan

- Dirección: Tanto la entrada como la salida a la vez

- Tipos de ACL Soportados: ACL MAC e IP (estándar o ampliado)

Configurar VACL

ip access-list extended TEST

10 permit ip host 10.1.1.1 any

20 permit ip any host 10.1.1.1

ip access-list extended ELSE

10 permit ip any any

vlan access-map VACL 10

match ip address TEST

action forward

vlan access-map VACL 20

match ip address ELSE

action drop

vlan filter VACL vlan-list 10

9500H#sh vlan access-map VACL

Vlan access-map "VACL" 10

Match clauses:

ip address: TEST

Action:

forward

Vlan access-map "VACL" 20

Match clauses:

ip address: ELSE

Action:

drop

9500H#sh vlan filter access-map VACL

VLAN Map VACL is filtering VLANs:

10

Verificar VACL

Recuperar el IF_ID asociado a la interfaz

9500H#show platform software fed active ifm interfaces vlan

Interface                         IF_ID               State

----------------------------------------------------------------------

Vlan10                            0x00420010          READY

Verifique el ID del grupo de clases (ID de CG) enlazado al IF_ID

9500H#show platform software fed active acl interface 0x420010  <-- IF_ID for the Vlan

########################################################

########                              ##################

#######   Printing Interface Infos     #################

########                              ##################

########################################################

INTERFACE: Vlan10                                               <-- Can be L2 only, with no vlan interface

MAC 0000.0000.0000

########################################################

intfinfo: 0x7fc8cc7c7f48

Interface handle: 0xf1000024

Interface Type: Vlan

if-id: 0x0000000000420010

Input IPv4: Policy Handle: 0xd10000a3                       <-- VACL has both Ingress and Egress actions

Policy Name: VACL                                       <-- Name of the VACL used

CG ID: 530                                         <-- Class Group ID for entry

CGM Feature: [35] acl-grp                                <-- Feature is ACL group, versus ACl

Bind Order: 0

Output IPv4: Policy Handle: 0xc80000a4                      <-- VACL has both Ingress and Egress actions

Policy Name: VACL

CG ID: 530

CGM Feature: [35] acl-grp

Bind Order: 0

Información de ACL asociada a la ID de grupo de CG

Hay dos ACL usadas en la misma política de VACL denominada, agrupadas en este grupo de acl

9500H#show platform software fed active acl info acl-grp-cgid 530  <-- use the group-id command versus gc ID

########################################################

#########                             ##################

########    Printing CG Entries        #################

#########                             ##################

########################################################

===================================

ACL CG (acl-grp/530): VACL type: IPv4                              <-- feature acl/group ID 530: name VACL : type IPv4

Total Ref count 2

---------------------------------

2 VACL                                                             <-- Ingress and egress ACL direction on a VACl

---------------------------------

region reg_id: 12

subregion subr_id: 0

GCE#:10 #flds: 2 l4:N matchall:N deny:N

Result: 0x06000000

ipv4_src: value = 0x0a010101, mask = 0xffffffff           <-- permit from host 10.1.1.1 (see PACL example for hex conversion)

ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- to any other host

GCE#:20 #flds: 2 l4:N matchall:N deny:N

Result: 0x06000000

ipv4_src: value = 0x00000000, mask = 0x00000000           <-- permit from any host

ipv4_dst: value = 0x0a010101, mask = 0xffffffff           <-- to host 10.1.1.1

GCE#:10 #flds: 2 l4:N matchall:N deny:N

Result: 0x05000000

ipv4_src: value = 0x00000000, mask = 0x00000000           <-- This is the ACL named 'ELSE' which is permit any any

ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- with VACL, the logic used was "permit to match" action "drop"

Información de política sobre la ID de CG, así como qué interfaces utilizan la ID de CG

9500H#show platform software fed active acl policy 530     <-- use the acl-grp ID

########################################################

#########                             ##################

########     Printing Policy Infos     #################

#########                             ##################

########################################################

INTERFACE: Vlan10

MAC 0000.0000.0000

########################################################

intfinfo: 0x7fa15802a5d8

Interface handle: 0xf1000024

Interface Type: Vlan                                   <-- Interface type is the Vlan, not a specific interface

if-id: 0x0000000000420010                              <-- the Vlan IF_ID matches Vlan 10

------------

Direction: Input                                           <-- VACL in the input direction

Protocol Type:IPv4

Policy Intface Handle: 0x44000001

Policy Handle: 0x29000090

########################################################

#########                             ##################

########       Policy information      #################

#########                             ##################

########################################################

Policy handle       : 0x29000090

Policy name         : VACL                                 <-- the VACL policy is named 'VACL'

ID                  : 530

Protocol            : [3] IPV4

Feature             : [23] AAL_FEATURE_VACL                <-- ASIC feature is VACL

Number of ACLs      : 2                                    <-- 2 ACL used in the VACL: "TEST & ELSE"

########################################################

## Complete policy ACL information

########################################################

Acl number : 1

=====================================

Acl handle : 0xa6000090

Acl flags : 0x00000001

Number of ACEs : 4

Ace handle [1] : 0x87000107

Ace handle [2] : 0x30000108

Ace handle [3] : 0x73000109

Ace handle [4] : 0xb700010a

Acl number : 2

=====================================

Acl handle : 0x0f000091

Acl flags : 0x00000001

Number of ACEs : 1

Ace handle [1] : 0x5800010b

Interface(s):

Vlan10

########################################################

#########                             ##################

########  Policy instance information  #################

#########                             ##################

########################################################

Policy intf handle    : 0x44000001

Policy handle         : 0x29000090

ID                    : 530                                <-- 530 is the acl group ID

Protocol              : [3] IPV4

Feature               : [23] AAL_FEATURE_VACL

Direction             : [1] Ingress                        <-- Ingress VACL direction

Number of ACLs        : 2

Number of VMRs        : 4------------

Direction:  Output

Protocol Type:IPv4

Policy Intface Handle: 0xac000002

Policy Handle: 0x31000091

########################################################

#########                             ##################

########        Policy information     #################

#########                             ##################

########################################################

Policy handle        : 0x31000091

Policy name          : VACL

ID                   : 530

Protocol             : [3] IPV4

Feature              : [23] AAL_FEATURE_VACL

Number of ACLs       : 2

########################################################

## Complete policy ACL information

########################################################

Acl number    : 1

=====================================

Acl handle      : 0xe0000092

Acl flags       : 0x00000001

Number of ACEs  : 4

Ace handle [1] : 0xf500010c

Ace handle [2] : 0xd800010d

Ace handle [3] : 0x4c00010e

Ace handle [4] : 0x0600010f

Acl number    : 2

=====================================

Acl handle      : 0x14000093

Acl flags       : 0x00000001

Number of ACEs : 1

Ace handle [1] : 0x8e000110

Interface(s):

Vlan10

########################################################

#########                             ##################

########  Policy instance information  #################

#########                             ##################

########################################################

Policy intf handle    : 0xac000002

Policy handle         : 0x31000091

ID                    : 530                               <-- 530 is the acl group ID

Protocol              : [3] IPV4

Feature               : [23] AAL_FEATURE_VACL

Direction             : [2] Egress                        <-- Egress VACL direction

Number of ACLs        : 2

Number of VMRs        : 4------------

Confirmar que VACL funciona

- La solución de problemas es el mismo escenario que las secciones PACL y RACl. Consulte estas secciones para obtener más información sobre la prueba de ping

- Ping de 10.1.1.3 a 10.1.1.2 denegado por la política ACL aplicada.

- comando check platform drop

9500H#show platform software fed active acl counters hardware | inc VACL Drop

Ingress IPv4 VACL Drop              (0x23000006):         1011 frames      <-- Hardware level command displays drops against VACL

<...snip...>

Escenario 5: ACL de grupo/cliente (DACL)

La ACL de grupo/cliente se aplica dinámicamente a un grupo de usuarios o cliente en función de su identidad. A veces, estos también se denominan DACL (ACL dinámica)

- Límite de seguridad: Cliente (nivel de interfaz del cliente)

- Archivo adjunto: Por interfaz de cliente

- Dirección: Sólo entrada

- Tipos de ACL Soportados: ACL MAC e IP (estándar o ampliado)

Configuración de GACL

Cat9400#show run interface gigabitEthernet 2/0/1

Building configuration...

Current configuration : 419 bytes

!

interface GigabitEthernet2/0/1

switchport access vlan 10

switchport mode access

switchport voice vlan 5

ip access-group ACL-ALLOW in                     <-- This is the pre-authenticated ACL (deny ip any any). Validation is done for the post-auth ACL

authentication periodic

authentication timer reauthenticate server

access-session control-direction in

access-session port-control auto

no snmp trap link-status

mab

dot1x pae authenticator

spanning-tree portfast

service-policy type control subscriber ISE_Gi2/0/1

end

Cat9400#show access-session interface gigabitEthernet 2/0/1 details

Interface:  GigabitEthernet2/0/1

IIF-ID:  0x1765EB2C                <-- The IF_ID used in this example is dynamic

MAC Address:  000a.aaaa.aaaa            <-- The client MAC

IPv6 Address:  Unknown

IPv4 Address:  10.10.10.10

User-Name:  00-0A-AA-AA-AA-AA

Status:  Authorized                <-- Authorized client

Domain:  VOICE

Oper host mode:  multi-auth

Oper control dir:  in

Session timeout:  300s (server), Remaining: 182s

Timeout action:  Reauthenticate

Common Session ID:  27B17A0A000003F499620261

Acct Session ID:  0x000003e7

Handle:  0x590003ea

Current Policy:  ISE_Gi2/0/1

Server Policies:

ACS ACL:  xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e  <-- The ACL pushed from ISE server

Method status list:

Method           State

dot1x           Stopped

mab           Authc Success                                      <-- Authenticated via MAB (Mac authentication bypass)

Cat9400#show ip access-lists xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e

Extended IP access list xACSACLx-IP-MAB-FULL-ACCESS-GOOD-59fb6e5e

1 permit ip any any                                                   <-- ISE pushed a permit ip any any

Verificar GACL

ID de CG de grupo enlazado al ID de iif

Cat9400#show platform software fed active acl interface 0x1765EB2C                 <-- The IF_ID from the access-session output

########################################################

########                              ##################

#######    Printing Interface Infos    #################

########                              ##################

########################################################

INTERFACE: Client MAC 000a.aaaa.aaaa                                              <-- Client MAC matches the access-session output

MAC 000a.aaaa.aaaa

########################################################

intfinfo: 0x7f104820cae8

Interface handle: 0x5a000110

Interface Type: Group                                                          <-- This is a group identity type policy

IIF ID: 0x1765eb2c

Input IPv4: Policy Handle: 0x9d00011e

Policy Name: ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: <-- DACL name matches

CG ID: 127760                                                         <-- The ACL group ID

CGM Feature: [35] acl-grp

Bind Order: 0

Información de ACL asociada con la ID de GC del grupo

Cat9400#show platform software fed active acl info acl-grp-cgid 127760                            <-- the CG ID for this DACL

########################################################

#########                             ##################

########      Printing CG Entries      #################

#########                             ##################

########################################################

===================================

ACL CG (acl-grp/127760): ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: type: IPv4  <-- Group ID & ACL name are correct

Total Ref count 1

---------------------------------

1 CGACL                                                                                            <-- 1  GACL (group ACL) is applied

---------------------------------

region reg_id: 1

subregion subr_id: 0

GCE#:1 #flds: 2 l4:N matchall:N deny:N

Result: 0x04000000

ipv4_src: value = 0x00000000, mask = 0x00000000                                           <-- Permits IP any any as seen in software

ipv4_dst: value = 0x00000000, mask = 0x00000000

GCE#:10 #flds: 2 l4:N matchall:N deny:N

Result: 0x04000000

ipv4_src: value = 0x00000000, mask = 0x00000000

ipv4_dst: value = 0x00000000, mask = 0x00000000

Escenario 6: Registro ACL

El software del dispositivo puede proporcionar mensajes syslog sobre los paquetes permitidos o denegados por una lista de acceso IP estándar. Cualquier paquete que coincida con la ACL hace que se envíe un mensaje de registro de información sobre el paquete a la consola. El nivel de mensajes registrados en la consola es controlado por elconsola de registrocomandos que controlan los mensajes syslog.

- Los mensajes de registro de ACL no son compatibles con las ACL utilizadas con el reenvío de ruta inversa de unidifusión (uRPF). Solo se admite para el tipo de router ACL (RACL).

- El registro ACL en la dirección de salida no se soporta para los paquetes que se generan desde el plano de control del dispositivo.

- El routing se realiza en hardware y en software de inicio de sesión, por lo que si un gran número de paquetes coincide con un permit or denegar ACE que contiene un registro, es posible que el software no pueda coincidir con la velocidad de procesamiento del hardware y que no se puedan registrar todos los paquetes.

- El primer paquete que activa la ACL causa un mensaje de registro inmediatamente y los paquetes subsiguientes se recopilan en intervalos de 5 minutos antes de que aparezcan o se registren. El mensaje de registro incluye el número de lista de acceso, si el paquete fue permitido o denegado, la dirección IP de origen del paquete y el número de paquetes de ese origen permitidos o denegados en el intervalo de 5 minutos anterior.

- Consulte la guía de configuración de seguridad adecuada, Cisco IOS XE, como se indica en la sección Información relacionada, para obtener detalles completos sobre el comportamiento y las restricciones del registro de ACL.

PAL de ejemplo de registro

Este ejemplo muestra un caso negativo, donde el tipo de ACL y la palabra clave log no funcionan juntos

9500H#show access-lists TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any log             <-- Log keyword applied to ACE entry

20 deny ip host 10.1.1.3 any log

9500H(config)#interface twentyFiveGigE 1/0/1

9500H(config-if)#ip access-group TEST in           <-- apply logged ACL

Switch Port ACLs are not supported for LOG!        <-- message indicates this is an unsupported combination

Ejemplo de registro RACL (Denegar)

9500H#show access-lists TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any log            <-- Log keyword applied to ACE entry

20 deny ip host 10.1.1.3 any log

9500H(config)#interface vlan 10

9500H(config-if)#ip access-group TEST in          <-- ACL applied to SVI

### Orginate ICMP from 10.1.1.3 to 10.1.1.2 (denied by ACE) ###

C9300#ping 10.1.1.2 source vlan 10 repeat 110

Type escape sequence to abort.

Sending 10, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.3

..........

Success rate is 0 percent (0/110)

9500H#show access-list TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any log

20 deny ip host 10.1.1.3 any log (110 matches)  <-- Matches increment in show access-list command

9500H#show platform software fed active acl counters hardware | inc RACL

Ingress IPv4 RACL Drop          (0xed000007):            0 frames

Ingress IPv4 RACL Drop and Log  (0x93000009):          110 frames   <-- Aggregate command shows hits on the RACL Drop and Log

%SEC-6-IPACCESSLOGDP: list TEST denied icmp 10.1.1.3 -> 10.1.1.2 (8/0), 10 packets  <-- Syslog message is produced

Ejemplo de registro RACL (Permiso)

Cuando se utiliza la sentencia de registro para una sentencia permit, los resultados del contador de software muestran el doble del número de paquetes enviados.

C9300#ping 10.1.1.2 source vlan 10 repeat 5          <-- 5 ICMP Requests are sent

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

9500H#show access-lists TEST

Extended IP access list TEST

10 permit ip host 10.1.1.1 any log (10 matches)  <-- Hit counter shows 10

20 deny ip host 10.1.1.3 any log (115 matches)

Troubleshoot

Estadísticas de ACL

Cuando resuelve un problema de ACL, es importante comprender cómo y dónde el dispositivo mide las estadísticas de ACL.

- Las estadísticas de ACL se recopilan en un nivel agregado y no en un nivel ACE

- El hardware no tiene la capacidad de permitir por ACE o por estadísticas de ACL

- Se recopilan estadísticas como Denegar, Registro y paquetes reenviados por la CPU

- Las estadísticas de los paquetes MAC, IPv4 e IPv6 se recopilan por separado

- "show platform software fed switch active acl counters hardware" se puede utilizar para mostrar estadísticas agregadas

Verificación de las Estadísticas de ACL

Al resolver un problema de ACL, puede ser útil borrar los diversos contadores de ACL para obtener nuevos recuentos de línea de base.

- Estos comandos le permiten borrar las estadísticas del contador ACL de software y hardware

- Cuando se resuelven los eventos de coincidencia/impacto de ACL, se recomienda borrar la ACL relevante a las coincidencias de línea de base que son recientes o relevantes

clear platform software fed active acl counters hardware (clears the hardware matched counters)

clear ip access-list counters

(clears the software matched counters - IPv4)

clear ipv6 access-list counters

(clears the software matched counters - IPv6)

¿Qué sucede cuando el TCAM de ACL se Agota?

- Las ACL siempre se aplican en el TCAM de hardware. Si las ACL configuradas previamente ya utilizan TCAM, las nuevas ACL no obtienen los recursos de ACL necesarios para programar

- Si se agrega una ACL después de que se agote el TCAM, se descartan todos los paquetes para la interfaz que se conecta.

- La acción de mantener una ACL en el software se denomina Descarga

- Cuando los recursos están disponibles, el switch intenta programar automáticamente las ACL en el hardware. Si es exitosa, las ACL se envían al hardware y los paquetes comienzan a reenviarse

- La acción de programar una ACL retenida por software en TCAM se denomina Recarga

- PACL, VACL, RACL y GACL se pueden descargar/recargar independientemente de los demás.

Agotamiento de ACL TCAM

- La interfaz a la que se aplica la ACL recién agregada comienza a descartar paquetes hasta que los recursos de hardware estén disponibles

- Los clientes GACL se ponen en estado NoAuth

Agotamiento de VCU

- Una vez superado el límite de L4OP O fuera de las VCU, el software realiza la expansión de ACL crea nuevas entradas ACE para realizar acciones equivalentes sin utilizar VCU

- Una vez que esto sucede, TCAM puede agotarse de estas entradas agregadas

Errores de registro del sistema ACL

Si se queda sin un mensaje SYSLOG de recurso de ACL de seguridad específico, el sistema lo genera (los valores de interfaz, VLAN, etiqueta, etc. pueden ser diferentes).

mensaje de registro ACL

Definición

Acción de recuperación

%ACL_ERRMSG-4-UNLOADED: Alimentación del switch 1: La entrada <ACL> en la interfaz <interface> no se pudo programar en el hardware y el tráfico se descartará.

ACL está descargada (retenida en el software)

Investigue la escala TCAM. Si supera la escala, rediseñe las ACL.

%ACL_ERRMSG-6-REMOVIDO: 1 fed: La configuración descargada para Input <ACL> en la interfaz <interface> se ha eliminado para etiqueta <label>asic<number>

La configuración ACL descargada se elimina de la interfaz

La ACL ya se ha eliminado, no hay ninguna acción que realizar

%ACL_ERRMSG-6-RECARGADO: 1 fed: la entrada <ACL> en la interfaz <interface> se ha cargado en el hardware para etiqueta <label> en ASIC<number>

La ACL está instalada ahora en el hardware

El problema con la ACL está ahora en el hardware resuelto, no hay acción que realizar

%ACL_ERRMSG-3-ERROR: 1 fed: la configuración de <ACL> IP ACL <NAME> no se pudo aplicar en <interface> en bindorder <number>

Otro tipo de error ACL (como fallo de instalación de ACL dot1x)

Confirmar configuración de ACL admitida y TCAM no está fuera de escala

%ACL_ERRMSG-6-GACL_INFO: Switch 1 R0/0: alimentado: El registro no es compatible con GACL

GACL tiene la opción de registro configurada

GACL no admite el registro. Eliminar las declaraciones de registro de GACL

%ACL_ERRMSG-6-PACL_INFO: Switch 1 R0/0: alimentado: El registro no es compatible con PACL

PACL tiene la opción de registro configurada

PACL no soporta el registro. Eliminar las sentencias de registro de PACL

%ACL_ERRMSG-3-ERROR: Switch 1 R0/0: alimentado: Input IPv4 Group ACL implicit_deny:<name>: no se pudo aplicar la configuración en el cliente MAC 0000.0000.0000

(dot1x) La ACL no se puede aplicar en el puerto de destino

Confirmar configuración de ACL admitida y TCAM no está fuera de escala

Escenarios de recursos y acciones de recuperación

Escenario 1: Enlace de ACL

Acción de recuperación

- ACL creada y aplicada a y a interfaz o vlan

- El enlace falla debido a una condición de recursos agotada, como el agotamiento de TCAM

- No se puede programar ningún ACE dentro de la ACL en TCAM. La ACL permanece en el estado NO CARGADA

- En el estado DESCARGADO todo el tráfico (incluidos los paquetes de control) cae en la interfaz hasta que se soluciona el problema.

Vuelva a diseñar la ACL para reducir la utilización de TCAM.

Escenario 2: Edición de ACL

Acción de recuperación

- Se crea una ACL y se aplica a una interfaz, y se agregan más entradas ACE a esta ACL mientras se aplican a las interfaces.

- Si TCAM no tiene recursos, la operación de edición falla

- No se puede programar ningún ACE dentro de la ACL en TCAM. La ACL permanece en el estado NO CARGADA

- En el estado DESCARGADO todo el tráfico (incluidos los paquetes de control) cae en la interfaz hasta que se soluciona el problema.

- Las entradas de ACL existentes también fallan en el estado UNLOADED hasta que se arregla.

Vuelva a diseñar la ACL para reducir la utilización de TCAM.

Escenario 3: Reenlace de ACL

Acción de recuperación

- El reenlace de ACL es la acción de adjuntar una ACL a una interfaz y luego asociar otra ACL a la misma interfaz sin separar la primera ACL.

- La primera ACL se crea y se adjunta correctamente

- Se crea una ACL más grande con un nombre y el mismo protocolo diferentes (IPv4/IPv6) y se conecta a la misma interfaz

- El dispositivo desconecta la primera ACL correctamente e intenta conectar la nueva ACL a esta interfaz

- Si TCAM no tiene recursos, la operación de reenlace falla

- No se puede programar ningún ACE dentro de la ACL en TCAM. La ACL permanece en el estado NO CARGADA

- En el estado DESCARGADO todo el tráfico (incluidos los paquetes de control) cae en la interfaz hasta que se soluciona el problema

Vuelva a diseñar la ACL para reducir la utilización de TCAM.

Escenario 4: Enlazar lista de control de acceso vacía (nula)

Acción de recuperación

- Se crea una ACL que no tiene entradas ACE y se conecta a una interfaz

- El sistema crea esta ACL internamente con un permit any ACE y se conecta a la interfaz en hardware (todo el tráfico está permitido en este estado)

- Las entradas ACE se agregan a la ACL con el mismo nombre o número. El sistema programa TCAM a medida que se agrega cada ACE

- Si TCAM se queda sin recursos al agregar entradas ACE ACL se mueve al estado UNLOADED

- En el estado DESCARGADO todo el tráfico (incluidos los paquetes de control) cae en la interfaz hasta que se soluciona el problema.

- Las entradas de ACL existentes también fallan en el estado UNLOADED hasta que se arregla.

Vuelva a diseñar la ACL para reducir la utilización de TCAM.

Verificar la escalabilidad de ACL

Esta sección trata los comandos para determinar la escala de ACL y la utilización de TCAM

Resumen de lista de acceso FMAN

Identificar las ACL configuradas y el recuento total de ACE por ACL

9500H#show platform software access-list f0 summary

Access-list                          Index        Num Ref        Num ACEs

--------------------------------------------------------------------------

TEST                                 1            1              2        <-- ACL TEST contains 2 ACE entries

ELSE                                 2            1              1

DENY                                 3            0              1

Uso de ACL

9500H#show platform software fed active acl usage

########################################################

########                              ##################

#######      Printing Usage Infos      #################

########                              ##################

########################################################

##### ACE Software VMR max:196608 used:283                   <-- Value/Mask/Result entry usage

########################################################

==================================================================================================

Feature Type           ACL Type        Dir              Name                    Entries Used

VACL                   IPV4            Ingress          VACL                    4

<-- Type of ACL Feature, type of ACL, Direction ACL applied, name of ACL, and number of TCAM entries consumed

==================================================================================================

Feature Type           ACL Type        Dir             Name                     Entries Used

RACL                   IPV4            Ingress         TEST                     5

Uso de TCAM (17.x)

El comando de uso TCAM tiene diferencias significativas entre los trenes 16.x y 17.x.

9500H#show platform hardware fed active fwd-asic resource tcam utilization

Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]

Table                   Subtype     Dir      Max     Used    %Used       V4       V6    MPLS   Other

------------------------------------------------------------------------------------------------------

Security ACL Ipv4       TCAM        I        7168       16    0.22%       16        0       0        0

Security ACL Non Ipv4   TCAM        I        5120       76    1.48%        0       36       0       40

Security ACL Ipv4       TCAM        O        7168       18    0.25%       18        0       0        0

Security ACL Non Ipv4   TCAM        O        8192       27    0.33%        0       22       0        5

<...snip...>

<-- Percentage used and other counters about ACL consumption

<-- Dir = ACL direction (Input/Output ACl)

Uso de TCAM (16.x)

El comando de uso TCAM tiene diferencias significativas entre los trenes 16.x y 17.x.

C9300#show platform hardware fed switch active fwd-asic resource tcam utilization

CAM Utilization for ASIC [0]

Table                                               Max Values      Used Values

--------------------------------------------------------------------------------

Security Access Control Entries                       5120          126         <-- Total used of the Maximum

<...snip...>

Plantilla SDM personalizada (reasignación TCAM)

Cisco IOS XE Bengaluru 17.4.1 puede configurar una plantilla SDM personalizada para las funciones de la lista de control de acceso (ACL) mediante el sdm prefer custom aclcomando.

- Los detalles sobre cómo configurar y verificar esta función se tratan en la Guía de Configuración de Administración del Sistema, Cisco IOS XE Bengaluru 17.4.x (Catalyst 9500 Switches)

- En esta sección se indican algunas configuraciones y verificaciones básicas

Verificar la plantilla SDM actual

9500H#show sdm prefer

Showing SDM Template Info

This is the Core template.                                                                   <-- Core SDM template in use

Security Ingress IPv4 Access Control Entries*:         7168  (current) - 7168  (proposed)  <-- IPv4 ACL maximum TCAM available

Security Ingress Non-IPv4 Access Control Entries*:     5120  (current) - 5120  (proposed)

Security Egress IPv4 Access Control Entries*:          7168  (current) - 7168  (proposed)

Security Egress Non-IPv4 Access Control Entries*:      8192  (current) - 8192  (proposed)

<...snip...>

9500H#show sdm prefer custom user-input

Custom Template Feature Values are not modified                                              <-- No customization to SDM

Modificar la plantilla SDM actual

9500H(config)#sdm prefer custom acl

9500H(config-sdm-acl)#acl-ingress 26 priority 1 <-- apply new 26K value. (priority discussed in the configuration guide)

9500H(config-sdm-acl)#acl-egress 20 priority 2

9500H(config-sdm-acl)#exit

Use 'show sdm prefer custom' to see proposed values and 'sdm prefer custom commit' to apply  <-- view the changes via this CLI

Verificar los cambios en el perfil de SDM

9500H#show sdm prefer custom

Showing SDM Template Info

This is the Custom template                                                                <-- details about the custom template

Ingress Security Access Control Entries*:         12288  (current) - 26624 ( proposed)   <-- Current and proposed usage (26K proposed)

Egress Security Access Control Entries*:          15360  (current) - 20480  (proposed)

9500H#show sdm prefer custom user-input

ACL FEATURE USER INPUT

User Input values

==========================

FEATURE NAME                                         PRIORITY     SCALE

--------------------------------------------------------------------------

Ingress Security Access Control Entries:             1           26*1024                 <-- Modifed by user input to 26 x 1024 (26K)

Egress Security Access Control Entries:              2           20*1024                 <-- Modifed by user input to 20 x 1024 (20K)

Aplicar cambios al perfil de SDM

9500H(config)#sdm prefer custom commit

Changes to the running SDM preferences have been stored and will take effect on the next reload.  <-- Once reloaded, ACL TCAM allocated to custom value.

Lectura adicional

Orden de procesamiento de ACL

Las ACL se procesan en el orden siguiente desde el origen al destino

ACL programadas en una pila

- Las ACL que no se basan en puertos (por ejemplo, VACL, RACL) se aplican al tráfico en cualquier switch y se programan en todos los switches de la pila

- Las ACL basadas en puerto se aplican solamente al tráfico en un puerto y se programan solamente en el switch que posee la interfaz

- Las ACL son programadas por el switch activo y posteriormente aplicadas a los switches miembros

- Las mismas reglas se aplican a otras opciones de redundancia, como ISSU/SVL

Expansión de ACL

La expansión de ACL ocurre cuando el dispositivo se queda sin L4OP, cables o VCU. El dispositivo debe crear varias ACE equivalentes para lograr la misma lógica y puede agotar rápidamente el TCAM.

### L4OPs are at scale and this ACL is created ##

9500H(config)#ip access-list extended TEST

9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any gt 150     <-- matches ports 151 and higher

### This must be expanded into mutiple ACEs that do not use an L4OP ###

9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 151

9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 152

9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 153

9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 154

... and so on ....

Consumo de TCAM y uso compartido de etiquetas

- Cada política ACL se hace referencia internamente mediante una etiqueta

- Cuando la política ACL (ACL de seguridad como GACL, PACL, VACL, RACL) se aplica a varias interfaces o VLAN, utiliza la misma etiqueta

- ACL de entrada/salida utilizan diferentes espacios de etiquetas

- IPv4, IPv6 y MAC ACL utilizan diferentes espacios de etiquetas

- El mismo PACL aplicado al ingreso de la interfaz A y la salida de la interfaz A, hay dos instancias del PACL en el TCAM, cada una con una etiqueta única para Ingreso y Salida

- Si el mismo PACL con y L4OP se aplica a múltiples interfaces de ingreso que existen en cada núcleo, hay dos instancias del mismo PACL programadas en TCAM, una por cada núcleo

Descripción de VMR

Una ACE se programa internamente en TCAM como un "VMR", también conocido como Valor, Máscara y Resultado. Cada entrada ACE puede consumir VMR y VCU

Escalabilidad de ACL

Los recursos de ACL de seguridad están dedicados a las ACL de seguridad. NO se comparten con otras funciones

recursos TCAM de ACL

Cisco Catalyst 9600

Cisco Catalyst 9500

Cisco Catalyst 9400

Cisco Catalyst 9300

Cisco Catalyst 9200

Entradas IPv4

Acceso: 12000*

Egress:

15000*

C9500: 18000*

Alto rendimiento de C9500

Acceso: 12000*

Egress: 15000*

18000*

C9300:

5000

C9300B:

18000

C9300X:8000

1000

Entradas IPv6

La mitad de las entradas de IPv4

La mitad de las entradas de IPv4

La mitad de las entradas de IPv4

La mitad de las entradas de IPv4

Mitad de IPv4

entradas

Un tipo de entradas de ACL IPv4 no puede exceder...

12000

C9500: 18000

Alto rendimiento de C9500:

15000

18000

C9300:

5000

C9300B: 18000

C9300X: 8000

1000

Un tipo de entradas de ACL IPv6 no puede exceder...

6000

C9500:

9000

Alto rendimiento de C9500:

7500

9000

2500/9000/4000

500

L4OPs/Label

8

8

8

8

8

VCU de entrada

192

192

192

192

192

VCU de salida

96

96

96

96

96

Información Relacionada

Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9200)

Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9300)

Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9400)

Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9500)

Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9600)

Guía de Configuración de Administración del Sistema, Cisco IOS XE Bengaluru 17.4.x (Switches Catalyst 9500)