Contenu

Introduction

Informations générales

Problème

Solution

Dépannage de la TCAM des listes de contrôle d'accès de sécurité sur les commutateurs Catalyst 3850

Introduction

Ce document explique comment les commutateurs Catalyst 3850 mettent en oeuvre des listes de contrôle d'accès (ACL) de sécurité dans le matériel et comment la mémoire TCAM (Ternary Content Addressable Memory) de sécurité est utilisée parmi différents types de listes de contrôle d'accès.

Informations générales

Cette liste fournit des définitions pour différents types de listes de contrôle d’accès :

- VLAN Access Control List (VACL) : une VACL est une liste de contrôle d'accès appliquée à un VLAN. Il ne peut être appliqué qu’à un VLAN et à aucun autre type d’interface. La limite de sécurité est d'autoriser ou de refuser le trafic qui se déplace entre des VLAN et d'autoriser ou de refuser le trafic au sein d'un VLAN. La liste de contrôle d’accès VLAN est prise en charge dans le matériel et n’a aucun effet sur les performances.

- Liste de contrôle d'accès de port (PACL) : une liste de contrôle d'accès de port est une liste de contrôle d'accès appliquée à une interface de port de commutateur de couche 2. La limite de sécurité est d'autoriser ou de refuser le trafic au sein d'un VLAN. La liste de contrôle d'accès est prise en charge dans le matériel et n'a aucun effet sur les performances.

- Router ACL (RACL) : une RACL est une liste de contrôle d'accès appliquée à une interface à laquelle une adresse de couche 3 lui est affectée. Il peut être appliqué à n'importe quel port qui possède une adresse IP telle que les interfaces routées, les interfaces de bouclage et les interfaces VLAN. La limite de sécurité est d'autoriser ou de refuser le trafic qui se déplace entre des sous-réseaux ou des réseaux. Le RACL est pris en charge dans le matériel et n'a aucun effet sur les performances.

- Liste de contrôle d'accès basée sur le groupe (GACL) - La liste de contrôle d'accès basée sur le groupe est définie dans Groupes d'objets pour ACL.

Problème

Sur les commutateurs Catalyst 3850/3650, les entités de contrôle d'accès (ACE) PACL d'entrée et de sortie sont installées dans deux régions/banques distinctes. Ces régions/banques sont appelées TCAM ACL (TAQs). Les entrées et sorties des listes de contrôle d'accès VACL sont stockées dans une seule région (TAQ). En raison d'une limitation matérielle Doppler, VACL ne peut pas utiliser les deux TAQ. Par conséquent, la VACL/vlmap ne dispose que de la moitié de l'espace VMR (Value Mask Result) disponible pour les ACL de sécurité. Ces journaux apparaissent lorsque l'une de ces limites matérielles est dépassée :

%ACL_ERRMSG-4-UNLOADED: 1 fed:  Output IPv4 L3 ACL on interface Vl215

for label 19 on asic255 could not be programmed in hardware and traffic will be dropped.

%ACL_ERRMSG-4-UNLOADED: 1 fed:  Output IPv4 L3 ACL on interface Vl216

for label 20 on asic255 could not be programmed in hardware and traffic will be dropped.

%ACL_ERRMSG-4-UNLOADED: 1 fed:  Output IPv4 L3 ACL on interface Vl218

for label 22 on asic255 could not be programmed in hardware and traffic will be dropped.

Cependant, il se peut que la TCAM ACE de sécurité ne soit pas pleine lorsque ces journaux apparaissent.

Solution

Il est incorrect de supposer qu'une ACE consomme toujours une VMR. Une ACE donnée peut consommer :

- 0 VMR s'il est fusionné avec un ACE précédent.

- 1 VMR si des bits VCU sont disponibles pour gérer la plage.

- 3 VMR s'il est développé parce qu'aucun bit VCU n'est disponible.

La fiche technique du Catalyst 3850 indique que 3 000 entrées de liste de contrôle d'accès de sécurité sont prises en charge. Cependant, ces règles définissent comment ces 3 000 ACE peuvent être configurées :

- VACL/vlmaps prennent en charge un total de 1,5 000 entrées car ils ne peuvent utiliser qu'une seule des deux TAQ.

- MAC VACL/vlmap nécessite trois VMR/ACE. Cela signifie que 460 ACE doivent être pris en charge dans chaque direction.

- IPv4 VACL/vlmap nécessite deux VMR/ACE. Cela signifie que 690 ACE doivent être pris en charge dans chaque direction.

- PACL, RACL et GACL IPv4 nécessitent un VMR/ACE. Cela signifie que 1 380 ACE doivent être pris en charge dans chaque direction.

- MAC PACL, RACL et GACL ont besoin de deux VMR/ACE. Cela signifie que 690 ACE doivent être pris en charge dans chaque direction.

- PACL IPv6, RACL et GACL ont besoin de deux VMR/ACE. Cela signifie que 690 ACE doivent être pris en charge dans chaque direction.

Dépannage de la TCAM des listes de contrôle d'accès de sécurité sur les commutateurs Catalyst 3850

- Vérifier l'utilisation TCAM de sécurité :

Note: Même si les ACE de sécurité installées sont inférieures à 3 072, l'une des limites précédemment mentionnées peut avoir été atteinte. Par exemple, si un client a appliqué la plupart des RACL dans la direction d'entrée, il peut utiliser jusqu'à 1 380 entrées disponibles pour le RACL entrant. Cependant, les journaux d'épuisement TCAM peuvent s'afficher avant l'utilisation des 3 072 entrées.

3850#show platform tcam utilization asic all

CAM Utilization for ASIC# 0

Table                                              Max Values        Used Values

--------------------------------------------------------------------------------

Unicast MAC addresses                              32768/512          85/22

Directly or indirectly connected routes            32768/7680        125/127

IGMP and Multicast groups                          8192/512           0/16

QoS Access Control Entries                         3072                68

Security Access Control Entries                    3072              1648

Netflow ACEs                                       1024                15

Input Microflow policer ACEs                        256                 7

Output Microflow policer ACEs                       256                 7

Flow SPAN ACEs                                      256                13

Control Plane Entries                               512               195

Policy Based Routing ACEs                          1024                 9

Tunnels                                             256                12

Input Security Associations                         256                 4

Output Security Associations and Policies           256                 9

SGT_DGT                                            4096/512           0/0

CLIENT_LE                                          4096/64            0/0

INPUT_GROUP_LE                                     6144                 0

OUTPUT_GROUP_LE                                    6144                 0

- Vérifiez l'état matériel des listes de contrôle d'accès installées dans le TCAM :

3850#show platform acl info acltype ?

all   Acl type

ipv4  Acl type

ipv6  Acl type

mac   Acl type

3850#show platform acl info acltype all

########################################################

#########                             ##################

#########                             ##################

########      Printing ACL Infos       #################

#########                             ##################

########################################################

===================================

IPv4 ACL: Guest-ACL

aclinfo: 0x52c41030

ASIC255 Input L3 labels:  4

ipv4 Acl: Guest-ACL Version 16 Use Count 0  Clients 0x0

10 permit udp any 8 host 224.0.0.2 eq 1985

20 permit udp any 8 any eq bootps

30 permit ip 10.100.176.0 255.255.255.0 any

<snip>

3850#show platform acl info switch 1

########################################################

#########                             ##################

#########                             ##################

########      Printing ACL Infos       #################

#########                             ##################

########################################################

===================================

IPv4 ACL: Guest-ACL

aclinfo: 0x52c41030

ASIC255 Input L3 labels:  4

ipv4 Acl: Guest-ACL Version 16 Use Count 0  Clients 0x0

10 permit udp any 8 host 224.0.0.2 eq 1985

20 permit udp any 8 any eq bootps

30 permit ip 10.100.176.0 255.255.255.0 any

<snip>

- Vérifier les journaux des événements d'appels chaque fois que des listes de contrôle d'accès sont installées/supprimées :

3850#show mgmt-infra trace messages acl-events switch 1

[04/22/15 21:35:34.877 UTC 3a8 5692] START Input IPv4 L3 label_id 22

asic3 num_les 1 old_unload 0x0, cur_unloaded 0x0, trid 236 num_vmrs 11

[04/22/15 21:35:34.877 UTC 3a9 5692] Trying L3 iif_id 0x104608000000100

input base FID 14

[04/22/15 21:35:34.878 UTC 3aa 5692] Input IPv4 L3 label_id 22 hwlabel

22 asic3 status 0x0 old_unloaded 0x0 cur_unloaded 0x0 trid 236

[04/22/15 21:35:35.939 UTC 3ab 5692] MAC: 0000.0000.0000

Adding Input IPv4 L3 acl [Postage-Printer] BO 0x1 to leinfo le_id 29on asic 255

[04/22/15 21:35:35.939 UTC 3ac 5692] MAC: 0000.0000.0000 Rsvd

label 0 --> New label 23, asic255

[04/22/15 21:35:35.939 UTC 3ad 5692] START Input IPv4 L3 label_id 23

asic3 num_les 1 old_unload 0x0, cur_unloaded 0x0, trid 237 num_vmrs 5

<snip>

- Imprimer la mémoire CAM (Content Addressable Memory) de la liste de contrôle d'accès :

C3850-1#show platform acl cam

======== ACL TCAM (asic 0) =========

Printing entries for region ACL_CONTROL (135)

========================================================

TAQ-4 Index-0 Valid StartF-1 StartA-1 SkipF-0 SkipA-0:

Entry allocated in invalidated state

Mask1 00f00000:00000000:00000000:00000000:00000000:00000000:00000000:00000000

Key1  00400000:00000000:00000000:00000000:00000000:00000000:00000000:00000000

AD    90220000:2f000000

TAQ-4 Index-1 Valid StartF-0 StartA-0 SkipF-0 SkipA-0

Mask1 00f00000:0f000000:00000000:00000000:00000000:00000000:00000000:00000000

Key1  00400000:01000000:00000000:00000000:00000000:00000000:00000000:00000000

AD    00a00000:00000000

- Imprimer les compteurs de succès et de rejet des listes de contrôle d’accès détaillées :

C3850-1#show platform acl counters hardware switch 1

=========================================================

Ingress IPv4 Forward             (280):  397555328725 frames

Ingress IPv4 PACL Drop           (281):         147 frames

Ingress IPv4 VACL Drop           (282):           0 frames

Ingress IPv4 RACL Drop           (283):           0 frames

Ingress IPv4 GACL Drop           (284):           0 frames

Ingress IPv4 RACL Drop and Log   (292):        3567 frames

Ingress IPv4 PACL CPU            (285):           0 frames

Ingress IPv4 VACL CPU            (286):           0 frames

Ingress IPv4 RACL CPU            (287):           0 frames

Ingress IPv4 GACL CPU            (288):           0 frames