Inhoud

Inleiding

Probleem

Oplossing

Beperkingen

Configuratie

Gerelateerde informatie

Inleiding

Dit document beschrijft de standaardprogrammering voor de op toegangscontrolelijst (ACL) gebaseerde functies voor Nexus 7000 Ternary Content Adresseerbare Geheugenbanken (TCAM) en hoe u middelen kunt bundelen met behulp van de functie voor koppelen van banken.

Probleem

Na de eerste implementatie worden de ACL-functies niet geprogrammeerd via verschillende TCAM-banken. Dit beperkt de beschikbare ingangen voor elke optie tot 16.000. Voor die klanten die grote ACL's hebben wordt dit een probleem. Het gebruik van de kettingfunctie lost dit probleem op door de beperking van de bank op te heffen. Wanneer de bankketen is geactiveerd, kunnen op ACL gebaseerde functies tussen banken worden geprogrammeerd.

Voorbeelden van foutmeldingen:

ACLQOS-SLOT3-4-ACLQOS_OVER_THRESHOLD  Tcam 0 Bank 0's usage has reached its threshold

ACLMGR-3-ACLMGR_VERIFY_FAIL  Verify failed: client 8200016E, Sufficient free entries are not available in TCAM bank

Oplossing

- Als de bankketen is ingeschakeld, heeft dit alleen invloed op toekomstige configuraties. De huidige TCAM-items zijn niet geherprogrammeerd. Wanneer een nieuwe ACL op een interface wordt toegepast, wordt die nieuwe ACL over meerdere banken geprogrammeerd.

- Als de bankketen is geactiveerd, wordt de ACL geprogrammeerd door alle banken (behalve Tunnel Decap en Control Plane Protection (CoPP)). (Raadpleeg het gedeelte Beperkingen). Als er genoeg gegevens in twee TCAM Bank 0 zijn, wordt ACL gesplitst en geprogrammeerd in die twee banken.

- Als de twee TCAM Bank 0s niet genoeg vrije ingangen hebben, wordt de ACL regel geprogrammeerd over alle vier banken.

- Als de functie van de bankketen is ingeschakeld, zelfs als ACL's minder regels heeft dan de gratis inzendingen van één enkele bank, wordt deze geprogrammeerd over de twee TCAM Bank 0s.

- Wanneer de bankketen is uitgeschakeld, worden de huidige TCAM-ingangen geherprogrammeerd. Als de huidige ACL niet in één bank past, wordt er een foutbericht teruggegeven en kan de bankketen niet worden uitgeschakeld.

- Tijdens de upgrade van de software tijdens service (ISSU), moet de bankketen worden uitgeschakeld. anders faalt de ISSU-disfunctie.

Beperkingen

- Als de functie van de bankketen is ingeschakeld, zijn de beleidslijnen die op één interface en één folder worden toegepast, genommerd. Een beleid dat statistieken mogelijk maakt, kan niet worden samengevoegd. Als de bankketen is ingeschakeld, kan de functie met statistieken niet samengaan met andere functies op dezelfde interface, in dezelfde richting. Voorbeeld: Wanneer statistieken op toegangsrouter Access Control List (RACL) op Ethernet2/1 zijn ingeschakeld, kan Policy Based Routing (PBR) niet onder die interface worden geconfigureerd.

- Om het even welke twee beleid, wiens resultaten verschillend zijn, kan niet worden samengevoegd. Er zijn drie soorten resultaten: ACL, accounting en Quality-of-Service (QoS). Deze drie resultaattypen kunnen niet worden samengevoegd.

1. Kenmerken onder het ACL-resultaattype: Port Access Control List (PACL), RACL, VLAN-toegangscontrolelijst (VACL), PBR, DHCP, adresresolutie Protocol (ARP) en NetFlow

2. Kenmerken onder het type boekhoudingsresultaat: NetFlow-Sampler

3. Kenmerken onder het QoS-type resultaat: QoS

Voorbeeld: RACL en QoS kunnen niet in dezelfde richting naast elkaar bestaan als één interface met de aangesloten bankketen is ingeschakeld.

- Tunnel Decap en CoPP worden geprogrammeerd onder één Logical Interface (LIF) en kunnen niet worden samengevoegd omdat hun resultaattypes anders zijn. Om de beperking te vermijden waarin zij niet naast elkaar kunnen bestaan, worden zij in één bank gehouden, zelfs wanneer de bankketen is ingeschakeld. Wanneer de Rollend-Based Access Control List (RBACL) is ingeschakeld, wordt de Source Security Group Tag/Destination Security Group (SGT/DGT) gebruikt om de TCAM-toets te maken. De RBACL kan niet samenvoegen met ander bandenbeleid, omdat het label geprogrammeerd is om SGT/DGT op te halen in plaats van IPv4 brondoeladressen. Als de bankketen is ingeschakeld, gelden de volgende regels:

1. Als RBACL is ingeschakeld onder Virtual Routing and Forwarding (VRF), kan er onder die interfaces op die VRF geen ander egress-beleid worden ingesteld.

2. Als RBACL onder VLAN is ingeschakeld, kan geen VLAN-toegangsbeleid worden ingesteld.

- Poortbeleid + VLAN:  In hardware (HW) worden de beleidslabels van het havenbeleid en VLAN geprogrammeerd onder één ingang van de Lifecycle Management (ILM). Het kan slechts één etiket voor havenbeleid en één etiket voor het beleid van VLAN hebben. Wanneer de bankketen is geactiveerd, kan het beleid van Port + VLAN niet worden ondersteund:

1. Wanneer een poortbeleid is geconfigureerd kan er geen beleid worden ingesteld onder VLAN/SVI waarop de poort hoort.

2. Wanneer een VLAN/SVI-beleid is geconfigureerd kan er geen beleid worden ingesteld in de poort die aan VLAN toebehoort.

Voorbeeld van een foutbericht:

ERROR: Resource-pooling is not supported with certain feature combinations

Configuratie

configuratie t

resourcepool voor hardware access-list!kan alleen van de standaard VDC worden afgegeven

toont het poolen van hardware access-lijsten

systeemstatus van interne toegangslijst weergeven

SITE1-AGG1(config)# hardware access-list resource pooling mod ?

<1-9>  Specify module number

SITE1-AGG1(config)# hardware access-list resource pooling mod 3

SITE1-AGG1(config)# show hardware access-list resource pooling

Module 3 enabled

SITE1-AGG1# show system internal access-list status

Atomic ACL updates Enabled.

TCAM Default Result is Deny.

ACL Logging enabled.

Current LOU resource threshold: 5

Gerelateerde informatie

- Technische ondersteuning en documentatie – Cisco Systems