目錄

簡介

必要條件

需求

採用元件

慣例

ACL配置示例

注意事項

相關資訊

簡介

訪問控制清單(ACL)捕獲允許您選擇性地捕獲介面或虛擬區域網(VLAN)上的流量。當您為ACL規則啟用捕獲選項時，將根據指定的允許或拒絕操作轉發或丟棄與此規則匹配的資料包，還可以將其複製到備用目標埠以進行進一步分析。可以應用帶捕獲選項的ACL規則：

1. 在VLAN中，

2. 在所有介面的輸入方向上，

3. 在所有第3層介面上處於輸出方向。

Nexus 7000 NX-OS版本5.2及更高版本支援此功能。本文檔提供了一個示例，作為如何配置此功能的快速參考指南。

必要條件

需求

本文件沒有特定需求。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Nexus 7000（5.2.x及更高版本）。

- M1系列線卡。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需檔案慣例的相關資訊，請參閱思科技術提示慣例。

ACL配置示例

以下是應用於VLAN的ACL擷取組態範例，也稱為虛擬LAN存取控制清單(VACL)擷取。指定的十千兆位嗅探器可能並非對所有場景都可行。在此類場景中，選擇性流量捕獲非常有用，尤其是在流量量大的故障排除過程中。

!! Global command required to enable ACL-capture feature (on default VDC)

hardware access-list capture

monitor session 1 type acl-capture

destination interface ethernet 2/1

no shut

exit

!!

ip access-list TEST_ACL

10 permit ip 216.113.153.0/27 any capture session 1

20 permit ip 198.113.153.0/24 any capture session 1

30 permit ip 47.113.0.0/16 any capture session 1

40 permit ip any any

!!

!! Note: Capture session ID matches with the monitor session ID

!!

vlan access-map VACL_TEST 10

match ip address TEST_ACL

action forward

statistics per-entry

!!

vlan filter VACL_TEST vlan-list 500

您還可以檢查訪問清單的三重內容可定址儲存器(TCAM)程式設計。此輸出適用於模組1的VLAN 500。

N7k2-VPC1# show system internal access-list vlan 500 input statistics

slot  1

=======

INSTANCE 0x0

---------------

Tcam 1 resource usage:

----------------------

Label_b = 0x802

Bank 0

------

IPv4 Class

Policies: VACL(VACL_TEST)

Netflow profile: 0

Netflow deny profile: 0

Entries:

[Index] Entry [Stats]

---------------------

[0006:0005:0005] permit ip 216.113.153.0/27 0.0.0.0/0  capture [0]

[0009:0008:0008] permit ip 198.113.153.0/24 0.0.0.0/0  capture [0]

[000b:000a:000a] permit ip 47.113.0.0/16 0.0.0.0/0  capture [0]

[000c:000b:000b] permit ip 0.0.0.0/0 0.0.0.0/0   [0]

[000d:000c:000c] deny ip 0.0.0.0/0 0.0.0.0/0   [0]

注意事項

1. 在系統中的任何指定時間，只能跨虛擬裝置環境(VDC)啟用一個ACL捕獲會話。

2. Nexus 7000 F1系列模組不支援ACL擷取。

3. Nexus 7000 F2系列模組當前不支援ACL捕獲，但可能會在規劃圖中進行此操作。

4. Cisco NX-OS版本6.1(1)及更高版本支援Nexus 7000 M2系列模組上的ACL捕獲。

5. Cisco NX-OS版本5.2(1)及更高版本支援Nexus 7000 M1系列模組上的ACL捕獲。

6. ACL捕獲與ACL日誌記錄不相容。  因此，如果您的ACL中有一個log關鍵字，則這些關鍵字在您全域性輸入hardware access-list capture後不起作用。

7. 由於CSCug20139錯誤，本文檔中的示例使用capture session記錄了每個ACE而不是每個ACL，直到錯誤被解決。

相關資訊

- Cisco Nexus 7000系列NX-OS安全配置指南6.x版IP ACL配置示例

- 技術支援與文件 - Cisco Systems