ACL e fuga de exaustão de TCAM de QoS em Catalyst 4500 Switch

Transcrição

1 ACL e fug de exustão de TCAM de QoS em Ctlyst 4500 Switch Índice Introdução Pré-requisitos Requisitos Componentes Utilizdos Convenções Informções de Apoio Ctlyst 4500 ACL e rquitetur de progrmção do QoS Hrdwre Tipos de TCAM Pesquise defeitos exustão de TCAM Algoritmo de progrmção TCAM subótimo pr o TCAM2 Uso excessivo do L4Ops em um ACL ACL excessivos pr o Supervisor Engine ou o tipo de switch Resumo Informções Relcionds Introdução Os switches ds séries Cisco Ctlyst 4500 e Ctlyst 4948 são comptíveis com Access Control List (ACL) de tx de fios e o recurso QoS com o uso de Ternry Content Addressble Memory (TCAM). A hbilitção dos ACL e ds polítics não diminui o switching ou o desempenho do rotemento do switch qundo os ACL são completmente crregdos n TCAM. Se TCAM é esgotd, os pcotes podem ser envidos trvés do cminho d CPU, que pode diminuir o desempenho desses pcotes. Este documento fornece detlhes sobre: Os tipos diferentes de TCAM que o uso do Ctlyst 4500 e do ctlizdor 4948 Como o Ctlyst 4500 progrm os TCAM Como configurr otimmente os ACL e o TCAM no interruptor fim evitr exustão de TCAM Pré-requisitos Requisitos Não existem requisitos específicos pr este documento. Componentes Utilizdos

2 As informções neste documento são bseds nests versões de softwre e hrdwre: Ctlyst 4500 Series Switch Ctlyst 4948 Series Switch Not: Este documento plic-se somente o Switches com bse no softwre de Cisco IOS e não se plic o OS do ctlizdor (Cctos) - Switches bsedo. As informções neste documento form crids prtir de dispositivos em um mbiente de lbortório específico. Todos os dispositivos utilizdos neste documento form inicidos com um configurção (pdrão) inicil. Se su rede estiver tiv, certifique-se de que entende o impcto potencil de qulquer comndo. Convenções Consulte s Convenções de Dics Técnics d Cisco pr obter mis informções sobre convenções de documentos. Informções de Apoio A fim executr os vários tipos de ACL e polítics de QoS no hrdwre, ns tbels de consult de hrdwre dos progrms do Ctlyst 4500 (TCAM) e em vários registrdores de hrdwre no Supervisor Engine. Qundo um pcote cheg, o interruptor execut um consult d tbel do hrdwre (consult TCAM) e decide um ou outro permit or deny o pcote. Os tipos diferentes dos poios do Ctlyst 4500 de ACL. A tbel 1 esboç estes tipos de ACL. Tbel 1 Tipos de ACL que são poidos em Ctlyst 4500 Switch Ti po Onde é Direçã Tráfego controldo A plicdo o CL R A CL 1 V A CL 4 P A CL 5 Port L3 2, cnl L3, ou SVI 3 (VLAN) VLAN (trvés do comndo vln filter) Port L2 6 ou cnl L2 1 RACL = rotedor ACL Tráfego do IP rotedo Todos os pcotes em que são distribuídos ou for de um VLAN ou em que são construídos um ponte sobre dentro de um VLAN Todo o tráfego IP e tráfego non- IPv4 7 (trvés de MAC ACL) De entrd ou de prtid Directi onless De entrd ou de prtid

3 2 L3 = Cmd 3 3 SVI = Switched Virtul Interfce 4 VACL = VLAN ACL 5 PACL = port ACL 6 L2 = cmd 2 IPv4 7 = versão IP 4 Ctlyst 4500 ACL e rquitetur de progrmção do QoS Hrdwre O Ctlyst 4500 TCAM tem o seguinte número de entrds: 32,000 entrds pr segurnç ACL, que é sbid igulmente como crcterístic ACL 32,000 entrds pr QoS ACL Pr segurnç ACL e o QoS ACL, s entrds são dedicds d seguinte form: 16,000 entrds pr o sentido d entrd 16,000 entrds pr o sentido d síd Figur 3 mostr dedicção d entrd de TCAM. Vej os tipos de seção TCAM pr obter mis informções sobre dos TCAM. A tbel 2 mostr os recursos ACL que estão disponíveis pr os vários motores e Switches do supervisor do Ctlyst Tbel 2 Recursos ACL do Ctlyst 4500 nos vários motores e Switches do supervisor Vers Crcterístic ão QoS TCAM Produto TCAM (pelo TCA (pelo sentido) sentido) M Supervisor Engine II+ Supervisor Engine II+TS/III/IV/V e WS- C4948 V-10GE do Supervisor Engine e WS-C GE entrds, 1000 máscrs 16,000 entrds, 2000 máscrs 16,000 entrds, 16,000 máscrs 8000 entrds, 1000 máscrs 16,000 entrds, 2000 máscrs 16,000 entrds, 16,000 máscrs Os usos do Ctlyst 4500 seprm, dedicrm TCAM pr o unicst IP e o rotemento de trnsmissão múltipl. O Ctlyst 4500 pode ter té 128,000 entrds d rot de que o unicst e

4 s rots de trnsmissão múltipls comprtilhm. Contudo, estes detlhes são for do âmbito deste documento. Este documento discute somente Segurnç e s edições d exustão de TCAM de QoS. Figur 1 mostr s etps pr progrmr os ACL em tbels do hrdwre no Ctlyst Figur 1 - Etps pr progrmr ACL em Ctlyst 4500 Switch Psso 1 Est etp envolve um dests ções: Configurção e plictivo de um ACL ou de um polític de QoS um relção ou um VLANA crição de ACL pode ocorrer dinmicmente. Um exemplo é o exemplo d crcterístic d proteção de origem de IP (IPSG). Com est crcterístic, o interruptor cri utomticmente um PACL pr os endereços IP de Um ou Mis Servidores Cisco ICM NT que são ssocidos com port. Alterção de um ACL que já exist Not: A configurção pens de um ACL não conduz à progrmção TCAM. O ACL (polític de QoS) deve plicdo um relção fim progrmr o ACL no TCAM. Psso 2 O ACL deve ser fundido ntes que poss ser progrmdo ns tbels do hrdwre (TCAM). Os progrms de fusão ACL múltiplos (PACL, VACL, ou RACL) no hrdwre em um form combind. Dest mneir, somente um únic consult de hrdwre é necessári pr verificr contr todos os ACL plicáveis no trjeto de encminhmento lógico do pcote. Por exemplo, em figur 2, um pcote que sej distribuído do PC-A o PC-C potencilmente pode ter estes ACL: Um entrd PACL n port PC-A Um VACL no VLAN1 Um entrd RACL n relção VLAN1 no sentido d entrd Estes três ACL são fundidos de modo que um únic consult n entrd TCAM sej bstnte pr fzer decisão de encminhmento o permit or deny. Similrmente, somente um únic consult d síd é necessári porque o TCAM é progrmdo com o resultdo fundido destes três ACL: A síd RACL n relção VLAN2 O VLAN2 VACL A síd PACL n port do PC-C Com um únic consult pr entrd e um pr síd, não há nenhum encminhmento de hrdwre d pen dos pcotes qundo lguns ou todos estes ACL estão no trjeto do encminhmento de pcote. Not: As consults TCAM d entrd e síd ocorrem o mesmo tempo no hrdwre. Um concepção errd comum é que consult TCAM d síd ocorre pós consult TCAM d entrd, porque o fluxo de pcote de informção lógico sugere. Est informção é importnte de compreender porque polític emissor do Ctlyst 4500 não pode combinr em prâmetros de QoS lterdos polític de entrd. No cso d segurnç ACL, miori de ção séri ocorre. O

5 pcote é deixdo cir em qulquer um dests situções: Se o resultdo de consult d entrd é got e o resultdo de consult d síd são licenç Se o resultdo de consult d entrd é licenç e o resultdo de consult d síd são got Not: O pcote é permitido se mbos os resultdos de consult d entrd e síd são licenç. Figur 2 Filtrção trvés ds segurnçs ACL em Ctlyst 4500 Switch A fusão ACL no Ctlyst 4500 é dependentes do ordem. O processo é sbido igulmente como o Order Dependent Merge (ODM). Com ODM, s entrds ACL são progrmds n ordem em que precem no ACL. Por exemplo, se um ACL contém dus entrds de controle de cesso (ACE), o interruptor progrm ACE 1 primeirmente e progrm então ACE 2. Contudo, dependênci d ordem está somente entre os ACE dentro de um ACL específico. Por exemplo, os ACE em ACL 120 podem começr ntes dos ACE no ACL 100 no TCAM. Etp 3 O ACL fundido é progrmdo no TCAM. A entrd ou síd TCAM pr o ACL ou o QoS são um seprção mis dicionl em dois regiões, PortAndVln e PortOrVln. O ACL fundido está progrmdo n região de Port E Vln do TCAM se um configurção tem both of these ACL no mesmo cminho de pcote de informção: UM PACLNot: O PACL é um ACL de filtrção norml ou ACL dinâmico IPSG-crido. Um VACL ou um RACL Um ACL está progrmdo n região de Port Ou Vln do TCAM se um cminho prticulr do pcote tem somente um PACL ou um VACL ou um RACL. Figur 3 mostr segurnç ACL TCAM que cinzel pr vários tipos de ACL. QoS tem um TCAM similrmente cinzeldo, seprdo, dedicdo. Atulmente, você não pode lterr locção pdrão de TCAM. Contudo, há uns plnos pr fornecer cpcidde pr mudr locção de TCAM que está disponível pr o PortAndVln e s regiões de Port Ou Vln em liberções de softwre futuro. Est mudnç permitirá que você umente ou diminu o espço pr o PortAndVln e o PortOrVln n entrd ou n síd TCAM. Not: Todo o umento n tribuição pr região de Port E Vln conduzirá um diminuição equivlente pr região de Port Ou Vln n entrd ou n síd TCAM. Figur 3 Estrutur d segurnç ACL TCAM nos Ctlyst 4500 Switch O comndo show pltform hrdwre ACL sttistics utiliztion brief indic est utilizção de TCAM por região pr ACL e QoS TCAM. A síd do comndo mostr s máscrs e s entrds disponíveis e divide-os pel região, como em figur 3. Este exemplo de síd é de um Supervisor Engine II+ do Ctlyst 4500: Not: Vej os tipos de seção TCAM deste documento pr obter mis informções sobre ds máscrs e ds entrds. Switch#show pltform hrdwre cl sttistics utiliztion brief Entries/Totl(%) Msks/Totl(%) Input Acl(PortAndVln) 2016 / 4096 ( 49) 252 / 512 ( 49) Input Acl(PortOrVln) 6 / 4096 ( 0) 5 / 512 ( 0) Input Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Input Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) L4Ops: used 2 out of 64

6 Tipos de TCAM O Ctlyst 4500 us dois tipos de TCAM, como mostrs d tbel 2. Est seção present diferenç entre s dus versões TCAM de modo que você poss selecionr o produto proprido pr sus rede e configurção. O TCAM2 us um estrutur em que oito entrds comprtilhm de um máscr. Um exemplo é oito endereços IP de Um ou Mis Servidores Cisco ICM NT nos ACE. As entrds devem ter mesm máscr que máscr de que comprtilhm. Se os ACE têm máscrs diferentes, s entrds devem usr máscrs seprds como necessário. Este uso de máscrs seprds pode conduzir pr mscrr exustão. A exustão d máscr no TCAM é um dos motivos comuns pr exustão de TCAM. O TCAM 3 não tem um limitção. Cd entrd pode ter su própri máscr originl no TCAM. A utilizção complet de tods s entrds que estão disponíveis no hrdwre é possível, pesr d máscr dquels entrds. A fim demonstrr est rquitetur de hrdwre, o exemplo nest seção mostr como um TCAM2 e um TCAM 3 progrmm ACL no hrdwre. ccess-list 101 permit ip host ny ccess-list 101 deny ip ny Est mostr ACL tem dus entrds que têm dus máscrs diferentes. O ACE 1 é um entrd de host e ssim que tem um máscr de /32. O ACE 2 é um entrd de sub-rede com um máscr de /24. Porque segund entrd tem um máscr diferente, s entrds vzis n máscr 1 não podem ser usds e um máscr seprd é usd no cso do TCAM2. Est tbel mostr como este ACL é progrmdo no TCAM2: Máscrs Fósforo d máscr 1: todos os 32 bit do endereço IP de origem "não import": todos os bit restnte Entrd s Fonte IP= Entry2 vzio Entry3 vzio Entrd vzi 4 Entrd vzi 5 Entrd vzi 6

7 Fósforo d máscr 2: miori 24 de bit significtivos do endereço IP de origem "não import": todos os bit restnte Entrd vzi 7 Entrd vzi 8 Fonte IP= Entry2 vzio Entry3 vzio Entrd vzi 4 Entrd vzi 5 Entrd vzi 6 Entrd vzi 7 Entrd vzi 8 Mesmo que hj ums entrds livres disponíveis como prte d máscr 1, estrutur TCAM2 impede populção de ACE 2 no entry2 vzio pr máscr 1. O uso dest máscr não é permissível porque máscr de ACE 2 não combin máscr de /32 de ACE 1. TCAM2 deve progrmr o ACE 2 com o uso de um máscr seprd, um máscr de /24. Este uso de um máscr seprd pode conduzir um exustão mis rápid dos recursos disponíveis, como mostrs d tbel 2. Outros ACL podem ind usr s entrds restntes n máscr 1. Contudo, n miori dos csos, eficiênci do TCAM2 é lt ms não é 100 por cento. A eficiênci vri com cd cenário de configurção. Est tbel mostr que o mesmo ACL progrmdo no TCAM 3. TCAM 3 tribui um máscr pr cd entrd:

8 Máscrs Bit d máscr 32 pr o endereço IP de Um ou Mis Servidores Cisco ICM NT 1 Bit d máscr 24 pr o endereço IP de Um ou Mis Servidores Cisco ICM NT 2 Máscr vzi 3 Máscr vzi 4 Máscr vzi 5 Máscr vzi 6 Máscr vzi 7 Máscr vzi 8 Máscr vzi 9 Máscr vzi 10 Máscr vzi 11 Máscr vzi 12 Máscr vzi 13 Máscr vzi 14 Máscr vzi 15 Máscr vzi 16 s Fonte IP= Fonte IP= Entry3 vzio vzi 4 vzi 5 vzi 6 vzi 7 vzi 8 vzi 9 vzi 10 vzi 11 vzi 12 vzi 13 vzi 14 vzi 15 vzi 16 Neste exemplo, s 14 entrds restntes enltm cd um têm entrds com máscrs diferentes, sem limitções. Consequentemente, o TCAM 3 é muitos mis eficiente do que o TCAM2. Este exemplo é simplificdo excedentemente fim ilustrr diferenç entre s versões TCAM. O softwre do Ctlyst 4500 tem s otimizções numeross pr umentr eficiênci d progrmção no TCAM2 pr um cenário de configurção prático. O lgoritmo de progrmção TCAM subótimo pr seção TCAM2 deste documento discute ests otimizções. Pr TCAM2 e TCAM 3 no Ctlyst 4500, s entrds de TCAM são comprtilhds se o mesmo ACL é plicdo em relções diferentes. Est otimizção slvr o espço TCAM. Pesquise defeitos exustão de TCAM

9 Qundo exustão de TCAM ocorre em Ctlyst 4500 Switch durnte progrmção de um segurnç ACL, um plictivo prcil do ACL ocorre trvés do cminho de softwre. Os pcotes que combinm os ACE que não são plicdos no TCAM são processdos no softwre. Isto que process no softwre cus utilizção elevd d CPU. Porque progrmção do Ctlyst 4500 ACL é dependentes do ordem, o ACL é progrmdo sempre de cim pr bixo. Se um ACL específico não cbe inteirmente no TCAM, os ACE n prcel inferior do ACL não estão progrmdos muito provvelmente no TCAM. Um mensgem de dvertênci prece qundo um excesso TCAM contece. Aqui está um exemplo: %C4K_HWACLMAN-4-ACLHWPROGERRREASON: (Suppressed 1times) Input(null, 12/Norml) Security: insufficient hrdwre TCAM msks. %C4K_HWACLMAN-4-ACLHWPROGERR: (Suppressed 4 times) Input Security: hrdwre TCAM limit, some pcket processing will be softwre switched. Você pode igulmente ver este Mensgem de Erro no comndo show logging output se você permitiu o Syslog. A presenç dest mensgem indic conclusivmente que lgum processmento do softwre ocorrerá. Consequentemente, pode hver utilizção elevd d CPU. O ACL que tem sido progrmdo já ns sobrs TCAM progrmou no TCAM se exustão d potencilidde de TCAM ocorre durnte o plictivo do ACL novo. Os pcotes que combinm os ACL que têm sido progrmdos já continum ser processdos e encminhdo no hrdwre. Not: Se você fz mudnçs um grnde ACL, mensgem TCAM-excedid pode ser indicd. O interruptor tent reprogrm o ACL no TCAM. N miori dos csos, o ACL novo, lterdo pode ser reprogrmmed inteirmente no hrdwre. Se o interruptor pode com sucesso reprogrm o ACL n totlidde no TCAM, est mensgem prece: *Apr 12 08:50:21: %C4K_COMMONHWACLMAN-4-ALLACLINHW: All configured ACLs now fully loded in hrdwre TCAM - hrdwre switching / QoS restored Use o comndo show pltform softwre cl input summry interfce interfce-id fim verificr que o ACL está progrmdo inteirmente no hrdwre. Est síd mostr configurção do ACL 101 o VLAN1 e à verificção que o ACL está progrmdo inteirmente no hrdwre: Not: Se o ACL não é progrmdo inteirmente, um Mensgem de Erro d exustão de TCAM pode indicr. Switch#configure terminl Enter configurtion commnds, one per line. End with CNTL/Z. Switch(config)#interfce vln 1 Switch(config-if)#ip ccess-group 101 in Switch(config-if)#end Switch# Switch#show pltform softwre cl input summry interfce vln 1 Interfce Nme : Vl1 Pth(dir:port, vln) : (in :null, 1) Current TgPir(port, vln) : (null, 0/Norml) Current Signture : {FetureCm:(Security: 101)} Type : Current Direction : In TgPir(port, vln) : (null, 0/Norml) FetureFltAclId(stte) : 0(FullyLodedWithToCpuAces) QosFltAclId(stte) : (null) Flgs : L3DenyToCpu O cmpo ds bndeirs (L3DenyToCpu) indic que, se um pcote é negdo devido o ACL, o pcote punted o CPU. O interruptor mnd então um mensgem intingível de protocolo de mensgem de controle de Internet (ICMP). Este comportmento é o pdrão. Qundo os pcotes punted o CPU, utilizção elevd d CPU pode ocorrer no interruptor. Contudo, no Cisco IOS Softwre Relese 12.1(13)EW e Mis Recente, estes pcotes são limite de tx o CPU. N miori dos csos, Cisco recomend que você deslig crcterístic que envi mensgens que não cheg seu destino do ICMP.

10 Est síd mostr configurção do interruptor pr não envir mensgens que não cheg seu destino do ICMP e verificção do TCAM que progrm pós mudnç. O estdo de ACL 101 é gor FullyLoded, porque síd do comndo mostr. O tráfego negdo não vi o CPU. Switch#configure terminl Enter configurtion commnds, one per line. End with CNTL/Z. Switch(config)#interfce vln 1 Switch(config-if)#no ip unrechbles Switch(config-if)#end Switch#show pltform softwre cl input summry interfce vln 1 Interfce Nme : Vl1 Pth(dir:port, vln) : (in :null, 1) Current TgPir(port, vln) : (null, 1/Norml) Current Signture : {FetureCm:(Security: 101)} Type : Current Direction : In TgPir(port, vln) : (null, 1/Norml) FetureFltAclId(stte) : 0(FullyLoded) QosFltAclId(stte) : (null) Flgs : None Not: Se o QoS TCAM é excedido durnte o plictivo de lgum polític de QoS, ess polític específic não está plicd à relção ou o VLAN. O Ctlyst 4500 não execut polític de QoS no cminho de softwre. Consequentemente, utilizção CPU não crv qundo QoS TCAM é excedido. *My 13 08:01:28: %C4K_HWACLMAN-4-ACLHWPROGERR: Input Policy Mp: 10Mbps - hrdwre TCAM limit, qos being disbled on relevnt interfce. *My 13 08:01:28: %C4K_HWACLMAN-4-ACLHWPROGERRREASON: Input Policy Mp: 10Mbps - no vilble hrdwre TCAM entries. Emit o comndo show pltform cpu pcket sttistics. Determine se o interruptor ACL que process fil recebe um lto número de pcotes. Um lto número de pcotes indic exustão d Segurnç TCAM. Est exustão de TCAM fz com que os pcotes sejm envidos o CPU pr trnsmissão do softwre. Switch#show pltform cpu pcket sttistics!--- Output suppressed. Pckets Received by Pcket Queue Queue Totl 5 sec vg 1 min vg 5 min vg 1 hour vg Control Host Lerning L3 Fwd Low L2 Fwd Low L3 Rx High L3 Rx Low ACL fwd(snooping) ACL log, unrech ACL sw processing Pckets Dropped by Pcket Queue Queue Totl 5 sec vg 1 min vg 5 min vg 1 hour vg L2 Fwd Low ACL sw processing Se você encontr que o interruptor ACL que process fil não recebe um quntidde excessiv de tráfego, refir utilizção elevd d CPU em Ctlyst 4500 Switch com bse no softwre do Cisco IOS pr outrs cuss possíveis. O documento fornece informção em como pesquisr defeitos outrs encenções d utilizção elevd d CPU. O Ctlyst 4500 TCAM pode trnsbordr por ests rzões: Um lgoritmo de progrmção TCAM subótimo pr o TCAM2 O uso excessivo de operções d cmd 4 (L4Ops) em um ACL ACL excessivos pr o Supervisor Engine ou o tipo de switch Algoritmo de progrmção TCAM subótimo pr o TCAM2 Porque os tipos d seção de TCAM discutem, eficiênci TCAM2 é mis bixo devido o fto de

11 que oito entrds comprtilhm de um máscr. O softwre do Ctlyst 4500 permite dois tipos de lgoritmos de progrmção TCAM pr o TCAM2 que melhorm eficiênci do TCAM2: Embldo Aproprido pr miori de encenções d segurnç ACLNot: Esse é o pdrão. Dispersdo Usdo no cenário IPSG Você pode mudr o lgoritmo um lgoritmo dispersdo, ms este não jud tipicmente se você configurou somente segurnçs ACL, tis como o racls. O lgoritmo dispersdo é somente eficz ns encenções onde o mesmo ou um ACL similr, pequeno são repetidos em ports numeross. Est encenção é o cso com um IPSG que sej permitido em interfces múltipls. No cenário IPSG, cd ACL dinâmico: Tem um pequeno número de entrdsisto inclui licençs pr endereços IP de Um ou Mis Servidores Cisco ICM NT permitidos e um negção n extremidde fim impedir o cesso d port por endereços IP de Um ou Mis Servidores Cisco ICM NT desutorizdos. Érepetido pr tods s ports do cesso configurdoo ACL é repetido pr té 240 ports em um Ctlyst 4507R. Not: O TCAM 3 us o lgoritmo embldo pdrão. Porque estrutur TCAM é um máscr pel entrd, o lgoritmo embldo é o lgoritmo melhor possível. Consequentemente, opção dispersd do lgoritmo não é permitid neste Switches. Este exemplo está em um Supervisor Engine II+ que é configurdo pr crcterístic IPSG. A síd mostr que, embor somente 49 por cento ds entrds sejm usdos, 89 por cento ds máscrs estão consumidos: Switch#show pltform hrdwre cl sttistics utiliztion brief Entries/Totl(%) Msks/Totl(%) Input Acl(PortAndVln) 2016 / 4096 ( 49) 460 / 512 ( 89) Input Acl(PortOrVln) 6 / 4096 ( 0) 4 / 512 ( 0) Input Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Input Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) L4Ops: used 2 out of 64 Neste cso, um mudnç no lgoritmo de progrmção do pdrão emblou o lgoritmo às juds dispersds do lgoritmo. O lgoritmo dispersdo reduz o uso totl d máscr de 89 por cento 49 por cento. Switch#configure terminl Enter configurtion commnds, one per line. End with CNTL/Z. Switch(config)#ccess-list hrdwre entries scttered Switch(config)#end Switch#show pltform hrdwre cl sttistics utiliztion brief Entries/Totl(%) Msks/Totl(%) Input Acl(PortAndVln) 2016 / 4096 ( 49) 252 / 512 ( 49) Input Acl(PortOrVln) 6 / 4096 ( 0) 5 / 512 ( 0) Input Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Input Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Acl(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortAndVln) 0 / 4096 ( 0) 0 / 512 ( 0) Output Qos(PortOrVln) 0 / 4096 ( 0) 0 / 512 ( 0) L4Ops: used 2 out of 64 Pr obter informções sobre dos melhores prátic pr recursos de segurnç em Ctlyst 4500 Switch, refir melhores prátic dos recursos de segurnç do Ctlyst 4500 pr supervisores. Uso excessivo do L4Ops em um ACL O L4Ops do termo refere o uso d GT, do lt, do neq, e ds plvrs-chves d escl n configurção ACL. O Ctlyst 4500 tem limites no número dests plvrs-chves que você pode

12 usr em um único ACL. A limitção, que vri pelo Supervisor Engine e pelo interruptor, é seis ou oito L4Ops pelo ACL. A tbel 3 mostr o limite pelo Supervisor Engine e pelo ACL. Tbel 3 Limite do L4Op pelo ACL nos motores e no Switches diferentes do supervisor do Ctlyst 4500 Produto L4Op Supervisor Engine II+/II+TS Supervisor Engine III/IV/V e WS-C4948 V-10GE do Supervisor Engine e WS- C GE 32 (6 pelo ACL) 32 (6 pelo ACL) 64 (8 pelo ACL) Se o limite do L4Op pelo ACL é excedido, um mensgem de dvertênci está indicdo no console. A mensgem é similr est: %C4K_HWACLMAN-4-ACLHWPROGERR: Input Security: severn - hrdwre TCAM limit, some pcket processing will be softwre switched. 19:55:55: %C4K_HWACLMAN-4-ACLHWPROGERRREASON: Input Security: severn - hrdwre TCAM L4 opertors/tcp flgs usge cpbility exceeded. Tmbém, se o limite do L4Op é excedido, o ACE específico é expndido no TCAM. Resultdos dicionis d utilizção de TCAM. Este ACE serve como um exemplo: ccess-list 101 permit tcp host rnge ny Com este ACE em um ACL, o interruptor us somente um entrd e um L4Op. Contudo, se seis L4Ops são usdos já neste ACL, este ACE é expndido às entrds 10 no hrdwre. Tl expnsão pode potencilmente usr-se cim de muits entrds no TCAM. O uso cuiddoso deste L4Ops impede o excesso TCAM. Not: Se este cso envolve o V-10GE do Supervisor Engine e o WS-C GE, oito L4Ops previmente usdos no ACL conduzem à expnsão ACE. Mntenh estes rtigos n mente qundo você us o L4Op em Ctlyst 4500 Switch: As operções L4 estão considerds diferentes se o operdor ou o operndo diferem.por exemplo, este ACL contém três operções L4 diferentes porque GT 10 e GT 11 são considerds dus operções L4 diferentes:ccess-list 101 permit tcp host ny gt 10 ccess-list 101 deny tcp host ny lt 9 ccess-list 101 deny tcp host ny gt 11 As operções L4 estão considerds diferentes se o mesmo pr do operdor/operndo se plic um vez um port de origem e um vez um port do destino.aqui está um exemplo:ccess-list 101 permit tcp host gt 10 ny ccess-list 101 permit tcp host ny gt 10 Os Ctlyst 4500 Switch comprtilhm do L4Ops qundo possíveis.neste exemplo, s linhs em itálicos em crcteres gordos demonstrm est encenção:uso do L4Op pr o ACL 101 = o 5Uso do L4Op pr o ACL 102 = 4 Not: A plvr-chve do eq não consome lguns dos recursos do hrdwre do L4Op.Uso totl do L4Op = 8Not: ACL 101 e 102 L4Ops d prte um.not: O L4Op é comprtilhdo mesmo se o protocolo, tl como o TCP ou o User Dtgrm Protocol (UDP), não combin ou licenç/neg ção não combin. ACL excessivos pr o Supervisor Engine ou o tipo de switch

13 Como tbel 2 mostrm, TCAM são uns recursos limitdos. Você pode exceder os recursos TCAM de todo o Supervisor Engine se você configur ACL excessivos ou crcterístics como o IPSG com um lto número de entrds IPSG. Se você excede o espço TCAM pr seu Supervisor Engine, tome ests etps: Se você tem um Supervisor Engine II+ e você execut um Cisco IOS Softwre Relese que estej mis dintdo do que o Cisco IOS Softwre Relese 12.2(18)EW, promov à versão de mnutenção mis trsd do Cisco IOS Softwre Relese 12.2(25)EWA.A potencilidde de TCAM foi umentd ns liberções mis trsds. Se você us espião DHCP e o IPSG e você começ ser executdo for do TCAM, usr versão de mnutenção mis trsd do Cisco IOS Softwre Relese 12.2(25)EWA e usr o lgoritmo dispersdo no cso do Produtos TCAM2.Not: O lgoritmo dispersdo está disponível no Cisco IOS Softwre Relese 12.2(20)EW e Mis Recente.A liberção mis trsd igulmente tem relces pr melhor utilizção de TCAM com espião DCHP e crcterístics dinâmics d inspeção do Address Resolution Protocol (ARP) (DAI). Se você começ ser executdo for do TCAM porque o limite do L4Op está excedido, tente reduzir o uso do L4Op no ACL fim impedir o excesso TCAM. Se você us muits ACL ou polítics similres em váris ports no mesmo VLAN, gregue s em um único ACL ou polític n interfce de VLAN.Est gregção slvr lgum espço TCAM. Por exemplo, qundo você plic polítics Voz-bseds, o pdrão QoS com bse n port é usdo pr clssificção. Este pdrão QoS pode cusr potencilidde de TCAM ser excedido. Se você comut o QoS com bse em VLAN, você reduz o uso TCAM. Se você ind tem os problems com TCAM espçm, considerm um Supervisor Engine d extremidde lt, tl como o V-10GE do Supervisor Engine ou o ctlizdor GE.Este Produtos us o hrdwre o mis eficiente TCAM 3. Resumo O Ctlyst 4500 progrm os ACL configurdos com uso do TCAM. O TCAM permite o plictivo dos ACL no trjeto do encminhmento de hrdwre sem o impcto no desempenho do interruptor. O desempenho é constnte pesr do tmnho do ACL porque o desempenho ds consults de ACL está n linh tx. Contudo, o TCAM é uns recursos finitos. Consequentemente, se você configur um número excessivo de entrds ACL, você excede potencilidde de TCAM. O Ctlyst 4500 executou otimizções numeross e desde que comndos vrir o lgoritmo de progrmção do TCAM fim conseguir eficiênci máxim. O Produtos TCAM 3 tl como o V-10GE do Supervisor Engine e o ctlizdor GE oferecem miori de recursos TCAM pr segurnç ACL e s polítics de QoS. Informções Relcionds Págins de Suporte de Produtos de LAN Págin de suporte d switching de LAN Suporte Técnico e Documentção - Cisco Systems