Inleiding
Dit document beschrijft de standaardprogrammering voor de op toegangscontrolelijst (ACL) gebaseerde functies voor Nexus 7000 Ternary Content Adresseerbare Geheugenbanken (TCAM) en hoe u middelen kunt bundelen met behulp van de functie voor koppelen van banken.
Probleem
Na de eerste implementatie worden de ACL-functies niet geprogrammeerd via verschillende TCAM-banken. Dit beperkt de beschikbare ingangen voor elke optie tot 16.000. Voor die klanten die grote ACL's hebben wordt dit een probleem. Het gebruik van de kettingfunctie lost dit probleem op door de beperking van de bank op te heffen. Wanneer de bankketen is geactiveerd, kunnen op ACL gebaseerde functies tussen banken worden geprogrammeerd.
Voorbeelden van foutmeldingen:
ACLQOS-SLOT3-4-ACLQOS_OVER_THRESHOLD Tcam 0 Bank 0's usage has reached its threshold
ACLMGR-3-ACLMGR_VERIFY_FAIL Verify failed: client 8200016E, Sufficient free entries are not available in TCAM bank
Oplossing
- Als de bankketen is ingeschakeld, heeft dit alleen invloed op toekomstige configuraties. De huidige TCAM-items zijn niet geherprogrammeerd. Wanneer een nieuwe ACL op een interface wordt toegepast, wordt die nieuwe ACL over meerdere banken geprogrammeerd.
- Als de bankketen is geactiveerd, wordt de ACL geprogrammeerd door alle banken (behalve Tunnel Decap en Control Plane Protection (CoPP)). (Raadpleeg het gedeelte Beperkingen). Als er genoeg gegevens in twee TCAM Bank 0 zijn, wordt ACL gesplitst en geprogrammeerd in die twee banken.
- Als de twee TCAM Bank 0s niet genoeg vrije ingangen hebben, wordt de ACL regel geprogrammeerd over alle vier banken.
- Als de functie van de bankketen is ingeschakeld, zelfs als ACL's minder regels heeft dan de gratis inzendingen van één enkele bank, wordt deze geprogrammeerd over de twee TCAM Bank 0s.
- Wanneer de bankketen is uitgeschakeld, worden de huidige TCAM-ingangen geherprogrammeerd. Als de huidige ACL niet in één bank past, wordt er een foutbericht teruggegeven en kan de bankketen niet worden uitgeschakeld.
- Tijdens de upgrade van de software tijdens service (ISSU), moet de bankketen worden uitgeschakeld. anders faalt de ISSU-disfunctie.
Beperkingen
- Als de functie van de bankketen is ingeschakeld, zijn de beleidslijnen die op één interface en één folder worden toegepast, genommerd. Een beleid dat statistieken mogelijk maakt, kan niet worden samengevoegd. Als de bankketen is ingeschakeld, kan de functie met statistieken niet samengaan met andere functies op dezelfde interface, in dezelfde richting. Voorbeeld: Wanneer statistieken op toegangsrouter Access Control List (RACL) op Ethernet2/1 zijn ingeschakeld, kan Policy Based Routing (PBR) niet onder die interface worden geconfigureerd.
- Om het even welke twee beleid, wiens resultaten verschillend zijn, kan niet worden samengevoegd. Er zijn drie soorten resultaten: ACL, accounting en Quality-of-Service (QoS). Deze drie resultaattypen kunnen niet worden samengevoegd.
- Kenmerken onder het ACL-resultaattype: Port Access Control List (PACL), RACL, VLAN-toegangscontrolelijst (VACL), PBR, DHCP, adresresolutie Protocol (ARP) en NetFlow
- Kenmerken onder het type boekhoudingsresultaat: NetFlow-Sampler
- Kenmerken onder het QoS-type resultaat: QoS
Voorbeeld: RACL en QoS kunnen niet in dezelfde richting naast elkaar bestaan als één interface met de aangesloten bankketen is ingeschakeld.
- Tunnel Decap en CoPP worden geprogrammeerd onder één Logical Interface (LIF) en kunnen niet worden samengevoegd omdat hun resultaattypes anders zijn. Om de beperking te vermijden waarin zij niet naast elkaar kunnen bestaan, worden zij in één bank gehouden, zelfs wanneer de bankketen is ingeschakeld. Wanneer de Rollend-Based Access Control List (RBACL) is ingeschakeld, wordt de Source Security Group Tag/Destination Security Group (SGT/DGT) gebruikt om de TCAM-toets te maken. De RBACL kan niet samenvoegen met ander bandenbeleid, omdat het label geprogrammeerd is om SGT/DGT op te halen in plaats van IPv4 brondoeladressen. Als de bankketen is ingeschakeld, gelden de volgende regels:
- Als RBACL is ingeschakeld onder Virtual Routing and Forwarding (VRF), kan er onder die interfaces op die VRF geen ander egress-beleid worden ingesteld.
- Als RBACL onder VLAN is ingeschakeld, kan geen VLAN-toegangsbeleid worden ingesteld.
- Poortbeleid + VLAN: In hardware (HW) worden de beleidslabels van het havenbeleid en VLAN geprogrammeerd onder één ingang van de Lifecycle Management (ILM). Het kan slechts één etiket voor havenbeleid en één etiket voor het beleid van VLAN hebben. Wanneer de bankketen is geactiveerd, kan het beleid van Port + VLAN niet worden ondersteund:
- Wanneer een poortbeleid is geconfigureerd kan er geen beleid worden ingesteld onder VLAN/SVI waarop de poort hoort.
- Wanneer een VLAN/SVI-beleid is geconfigureerd kan er geen beleid worden ingesteld in de poort die aan VLAN toebehoort.
Voorbeeld van een foutbericht:
ERROR: Resource-pooling is not supported with certain feature combinations
Configuratie
configuratie t
resourcepool voor hardware access-list!kan alleen van de standaard VDC worden afgegeven
toont het poolen van hardware access-lijsten
systeemstatus van interne toegangslijst weergeven
SITE1-AGG1(config)# hardware access-list resource pooling mod ?
<1-9> Specify module number
SITE1-AGG1(config)# hardware access-list resource pooling mod 3
SITE1-AGG1(config)# show hardware access-list resource pooling
Module 3 enabled
SITE1-AGG1# show system internal access-list status
Atomic ACL updates Enabled.
TCAM Default Result is Deny.
ACL Logging enabled.
Current LOU resource threshold: 5
Gerelateerde informatie
Feedback