Gerente da classificação EARL 8: Um exame comportável de LOUs, de L4Ops, e de tabelas de Capmap

Introdução

Este documento descreve como unidades da operação lógica (LOUs) e mergulha 4 operações (L4Ops) é programado na tabela do capmap. Fornece cenários de falha, os tipos dos erros que você encontra tipicamente nestas situações, e o que você deve pressupor destes erros. 

O gerente da classificação (CM) controla o Ternary Content Addressable Memory da classificação (TCAM) e recursos associados tais como etiquetas, LOUs, entradas do capmap, e outro. Os serviços CM são usados pelo gerente da característica (FM) e pelo gerente de QoS (QM) para programar entradas de TCAM apoiar as características do Access Control List (ACL) e do Qualidade de Serviço (QoS) do ^{® do} Cisco IOS.

Informações de Apoio

LOUs e L4Ops - LOUs representa as unidades da operação lógica, que são os registradores de hardware que são usados para armazenar {operador, operando} as tuplas para números de porta TCP/UDP especificadas em ACL e em listas de controle de acesso VLAN (VACL). Estas tuplas são chamadas igualmente como o L4Ops. Por exemplo, se você combina o host X para hospedar Y GT 1023, a seguir a tupla torna-se {GT, 1023}.

L4Ops - Operações da camada 4.

Tabelas de Capmap - O L4Ops descrito previamente é programado nos registros de LOU que são providos por entradas em tabelas do capmap. Cada tabela do capmap tem um limite (um é reservado para o sentido, que derruba o limite a nove) das entradas 10 (L4Ops). As tabelas de Capmap são posicionadas pela etiqueta própria TCAM. 

Há dois TCAM, A e B; cada TCAM tem as etiquetas 8K. Para cada TCAM, há uma tabela do capmap das entradas 2K. Desde que cada TCAM tem as etiquetas 8K, há uma sobreposição de 4:1 aqui - mapa de quatro etiquetas a uma entrada do capmap. A sobreposição é: 1=2049=4097=6145.

Basicamente, isto significa que as etiquetas 1, 2049, 4097, e 6145 TCAM usam o mesmo deslocamento predeterminado do capmap. O implemenation tradicional de Cisco da atribuição da etiqueta TCAM conduziu aos problemas devido a esta sobreposição. Cisco atribuiu etiquetas TCAM com uma diferença de 2K (2048 a ser precisos). Isto implica que a atribuição tomaria o formulário de 1, 2049, 4097, 6145, 2, 2050, 4098, 6146, e assim por diante.

Assim, desde o início, esta alocação de TCAM era tal que as tabelas do capmap sobrepuseram. Está aqui um exemplo para demonstrar isto (tomado da identificação de bug Cisco CSCuo02666). Estão aqui dois ACL, a1 e a2, definidos e aplicados ao interface vlan 1 e à relação VLAN2 como mostrado aqui:

Sup2T(config)#ip access-list extended a1
Sup2T(config-ext-nacl)# permit ip host 1.1.1.1 any dscp 1
Sup2T(config-ext-nacl)# permit ip host 1.1.1.1 any dscp 2
Sup2T(config-ext-nacl)# permit ip host 1.1.1.1 any dscp 3
Sup2T(config-ext-nacl)# permit ip host 1.1.1.1 any dscp 4
Sup2T(config-ext-nacl)# permit ip host 1.1.1.1 any dscp 5
Sup2T(config-ext-nacl)#exit

Sup2T(config)#int vlan 1
Sup2T(config-if)#ip access-group a1 in
Sup2T(config-if)#exit

Sup2T(config)#ip access-list extended a2
Sup2T(config-ext-nacl)# permit ip host 1.1.1.2 any dscp 6
Sup2T(config-ext-nacl)# permit ip host 1.1.1.2 any dscp 7
Sup2T(config-ext-nacl)# permit ip host 1.1.1.2 any dscp cs1
Sup2T(config-ext-nacl)# permit ip host 1.1.1.2 any dscp 9
Sup2T(config-ext-nacl)#exit

Sup2T(config)#int vlan 2
Sup2T(config-if)#ip access-group a2 in
Sup2T(config-if)#end

É aqui o TCAM para estas relações agora:

Sup2T#show platform hardware acl entry interface vlan 1 security in ip detail 
mls_if_index:20000001 dir:0 feature:0 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match,
I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
----------------------------------------------------------------
----------------------------------------------------------------
----------------------------------------------------------------
------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
---------------------------------------------------------------
---------------------------------------------------------------
---------------------------------------------------------------
---------


fno:0

tcam:B, bank:0, prot:0    Aces 

I  V  16366   2049  0    0     0         1.1.1.1               -         0.0.0.0
- 0  0      0      -       ----- dscp=5;                       0x0000000000000038
0
I  M  16366 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  16367   2049  0    0     0         1.1.1.1               -         0.0.0.0
- 0  0      0      -       ----- dscp=4;                       0x0000000000000038
0
I  M  16367 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  16368   2049  0    0     0         1.1.1.1               -         0.0.0.0
- 0  0      0      -       ----- dscp=3;                       0x0000000000000038
0
I  M  16368 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  16369   2049  0    0     0         1.1.1.1               -         0.0.0.0
- 0  0      0      -       ----- dscp=2;                       0x0000000000000038
0
I  M  16369 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  16370   2049  0    0     0         1.1.1.1               -         0.0.0.0
- 0  0      0      -       ----- dscp=1;                       0x0000000000000038
0
I  M  16370 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  16371   2049  0    0     0         0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x0000000040000038
0
I  M  16371 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0



Sup2T#show platform hardware acl entry interface vlan 2 security in ip detail 
mls_if_index:20000002 dir:0 feature:0 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
----------------------------------------------------------------
----------------------------------------------------------------
----------------------------------------------------------------
------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
-----------------------------------------------------------------
-----------------------------------------------------------------
-----------------------------------------------------------------


fno:0

tcam:B, bank:1, prot:0    Aces 

I  V  32738   4097  0    0     0         1.1.1.2               -         0.0.0.0
- 0  0      0      -       ----- dscp=9;                       0x0000000000000038
0
I  M  32738 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  32739   4097  0    0     0         1.1.1.2               -         0.0.0.0
- 0  0      0      -       ----- dscp=8;                       0x0000000000000038
0
I  M  32739 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  32740   4097  0    0     0         1.1.1.2               -         0.0.0.0
- 0  0      0      -       ----- dscp=7;                       0x0000000000000038
0
I  M  32740 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  32741   4097  0    0     0         1.1.1.2               -         0.0.0.0
- 0  0      0      -       ----- dscp=6;                       0x0000000000000038
0
I  M  32741 0x1FFF  0 0x00 0x000 255.255.255.255               -         0.0.0.0
- 0  0    0x0
I  V  32745   4097  0    0     0         0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x0000000040000038
0
I  M  32745 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0

A etiqueta TCAM atribuída para o interface vlan 1 é 2049 e a etiqueta TCAM atribuída para conectar o VLAN2 é 4097. Isto significa que both of these relações usam a mesma tabela do capmap a fim prover os registros de LOU para sua programação do L4Op.

Você pode confirmar este com este comando (cinco ACE em ACL a1 e quatro ACE em ACL a2 o implicam devem ver o capmap apresentar como completamente):

Sup2T#show platform hardware acl capmap tcam B label 4097
Hardware Capmap Table Entry For TCAM B. Free items are not shown

Index   Loc[9]  [8]  [7]  [6]  [5]  [4]  [3]  [2]  [1]  [0]
-----   ------  ---  ---  ---  ---  ---  ---  ---  ---  ---
    1      212   10    9    8    7    6    5    4    3    2


Sup2T#show platform hardware acl capmap tcam B label 2049
Hardware Capmap Table Entry For TCAM B. Free items are not shown

Index   Loc[9]  [8]  [7]  [6]  [5]  [4]  [3]  [2]  [1]  [0]
-----   ------  ---  ---  ---  ---  ---  ---  ---  ---  ---
    1      212   10    9    8    7    6    5    4    3    2

Tão agora, nesta fase, se você tenta instalar uma outra entrada de controle de acesso (ACE) L4Op-based, que não fosse expansível, para qualqueras um relações, você não receberia nenhum erro disponível da entrada livre do capmap.

Sup2T(config)#ip access-list extended a2
Sup2T(config-ext-nacl)#permit ip host 1.1.1.2 any dscp 10
Sup2T(config-ext-nacl)#end

*Sep 16 14:57:55.983: %EARL_CM-5-NOCAPMAP: No free capmap entry available
*Sep 16 14:57:55.991: %FMCORE-4-RACL_REDUCED: Interface Vlan2 routed traffic 
will be software switched in ingress direction. L2 features may not be applied 
at the interface

Isto conduz ao software que constrói uma ponte sobre a relação inteira que causaria potencialmente um interruptor mais lento, uma utilização elevada da CPU, e uns outros problemas relacionados.

Note: A identificação de bug Cisco CSCuo02666 foi aumentada para fixar este problema. A mudança a mais grande na lógica que introduz é como as etiquetas TCAM são atribuídas. Agora Cisco atribui as etiquetas continuamente (2,3,4,5, e assim por diante) até 2048 TCAM em vez nas diferenças de 2K. Isto significa que as tabelas do capmap estão compartilhadas já não desde o início.

Recorde que LOUs, como todos os outros recursos do hardware, é limitado. Há um total de 104 LOUs disponível para o uso:

Sup2T#show platform software acl lou 
LOUs Registers (shadow copies)

Index      Type  A_Op  A_Val  A_Cnt  B_Op  B_Val  B_Cnt
-----  --------  ----  -----  -----  ----  -----  -----
    0PKT_QOS_GI A is free.            NEQ      0      1
    1  DST_PORT    LT     81      2 B is free.         
    2  B & A are free
    3  B & A are free
    4  B & A are free
    5  B & A are free
    6  B & A are free
    7  B & A are free
    8  B & A are free
    9  B & A are free
   10  B & A are free
   11  B & A are free
   12  B & A are free
   13  B & A are free
   14  B & A are free
   15  B & A are free

*snip* 

   95  B & A are free
   96  B & A are free
   97  B & A are free
   98  B & A are free
   99  B & A are free
  100  B & A are free
  101  B & A are free
  102  B & A are free
  103  B & A are free

Tabelas de Capmap do programa e registros de LOU

As tabelas de Capmap são usadas somente quando as operações L4 devem ser levadas em consideração. Note que combinando no Differentiated Services Code Point (DSCP) /Class de valores do serviço (CoS) está considerado igualmente como um L4Op. Está aqui um exemplo simples (esse usa uma versão de código que inclua o reparo da identificação de bug Cisco CSCuo02666) que este documento constrói sobre incrementalmente:

Sup2T#show ip access-lists a3
Extended IP access list a3 
    10 permit ip host 192.168.1.1 host 192.168.1.2

I have this applied to interface VLAN 1.

Sup2T#show run int vlan 1
Building configuration...

Current configuration : 84 bytes
!
interface Vlan1
 ip address 192.168.1.1 255.255.255.0
 ip access-group a3 in
end

Isto é programado corretamente no TCAM:

Sup2T#show platform hardware acl entry interface vlan 1 security in ip
mls_if_index:20000001 dir:0 feature:0 proto:0


pass#0 features


fno:0

tcam:B, bank:1, prot:0    Aces 


Permit                ip host 192.168.1.1 host 192.168.1.2  
L3_Deny               ip any any

Sup2t-MA1.7#show platform hardware acl entry interface vlan 1 security in ip detail  
mls_if_index:20000001 dir:0 feature:0 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
----------------------------------------------------------------
----------------------------------------------------------------
----------------------------------------------------------------
------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
----------------------------------------------------------------
----------------------------------------------------------------
-----------------------------------------------------------------
-----


fno:0

tcam:B, bank:1, prot:0    Aces 

I  V  32741   2  0    0     0        192.168.1.1               -     192.168.1.2
- 0  0      0      -       -----          -                    0x0000000000000038
0
I  M  32741 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
- 0  0    0x0
I  V  32745   2  0    0     0            0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x0000000040000038
0
I  M  32745 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0

As tabelas de Capmap são providas através da etiqueta própria TCAM. Você pode usar a etiqueta TCAM no comando do <> da etiqueta do <> do tcam do capmap acl do [hardware] do software de plataforma da mostra a fim ver a tabela correspondente (software ou hardware) para esta etiqueta TCAM.

Sup2T#show platform hardware acl capmap tcam B label 2
Hardware Capmap Table Entry For TCAM B. Free items are not shown

Index   Loc[9]  [8]  [7]  [6]  [5]  [4]  [3]  [2]  [1]  [0]
-----   ------  ---  ---  ---  ---  ---  ---  ---  ---  ---
    1      212    0    0    0    0    0    0    0    0    0

Nada é atribuído na tabela do capmap para esta etiqueta. O ACL definido não tem nenhum L4Ops; não há nenhuma exigência instalar uma entrada na tabela do capmap.

Mude este ACE a este:

Sup2T#show ip access-lists a3
Extended IP access list a3 
    10 permit tcp host 192.168.1.1 host 192.168.1.2 eq www

Olhe a tabela do capmap outra vez.

Sup2T#show platform software acl capmap tcam B label 2
Shadow Capmap Table Entry For TCAM B

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ---------
------- ---------------- ---------------- ---------------- -------------
--- ---------------- ----------------
    1     9         Reserved             Free             Free             Free
Free             Free             Free             Free             Free
Free

Se você iguala diretamente a um número de porta, não conta como um L4Op também.

Mude-o a este:

Sup2T#show ip access-lists a3
Extended IP access list a3 
    10 permit tcp host 192.168.1.1 host 192.168.1.2 gt www

Examine a tabela do capmap uma vez mais:

Sup2T#show platform software acl capmap tcam B label 2
Shadow Capmap Table Entry For TCAM B

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ---------
------- ---------------- ---------------- ---------------- ------------
---- ---------------- ----------------
    2     8 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free   3/1/1 

Há agora uma entrada na tabela do capmap. O ACE foi traduzido a um 3/1/1 na tabela do capmap. Isto é do formato RST/INV/CNT. O RST aqui especifica que registro de LOU este L4Op foi instalado, e o CNT descreve a contagem agregada para este LOU (mais informação sobre isto mais tarde). Olhe esta saída a fim compreender como o valor RST é posicionado:

Sup2T#show platform software acl capmap mapping 
        L4op_sel value      Reference   
        ==============      ========= 
        0      ------         LOU0 B register
        1     ------         LOU0 A register
        2     ------         LOU1 B register
        3     ------         LOU1 A register
       .....                 .............. 
       .....                 .............. 
       206     -----         LOU103 B register
       207     -----         LOU103 A register
       208     -----         Global format match for global acl
       209     -----         Group id present
       210     -----         L4_hdr_vld
       211     -----         Mpls_plus_ip_pkt 
       212     -----         ife/ofe for direction
      (213-223)     ----      Reserved
      (224-239)     ----      16 TCP flags map
      (240-255)     ----      16 IPv6 ext header map

Você pode ver que o valor L4op_sel de 0 pontos ao registro LOU0 B, o valor de 1 aponta ao registro LOU0 A, o valor de 2 pontos ao registro LOU1 B, o valor de 3 pontos ao registro LOU1 B, e assim por diante. O registro A é programado sempre primeiramente. O 3/1/1 output fazem mais sentido agora que você vê este.

Nesta saída, 3 significam que o L4Op esteve programado no registro LOU1 A. Você pode igualmente verificar onde um L4Op é programado se você olha nos índices dos registros de LOU diretamente:

Sup2T#show platform software acl lou
LOUs Registers (shadow copies)

Index      Type  A_Op  A_Val  A_Cnt  B_Op  B_Val  B_Cnt
-----  --------  ----  -----  -----  ----  -----  -----
    0PKT_QOS_GI A is free.            NEQ      0      1
    1  DST_PORT    LT     81      1 B is free.         
    2  B & A are free
    3  B & A are free
    4  B & A are free

*snip*

Sup2T#show platform hardware acl lou
Dumping h/w lou values 

Index  lou_mux_sel  A_Opcode  A_Value  B_Opcode  B_Value
-----  -----------  --------  -------  --------  -------
    0            7       NEQ        0       NEQ        0
    1            1        LT       81       NEQ        0
    2            0       NEQ        0       NEQ        0
    3            0       NEQ        0       NEQ        0

*snip*

Como você pode ver, a (a GT, X) tupla obtém programada como (LT, X+1) nos registros de LOU.

Note: O L4Ops obtém programado em registros de LOU SOMENTE quando é aplicado às relações. Se os ACL estão criados com o L4Ops (sem o ACL que está sendo aplicado realmente a uma relação), não programa o L4Ops aplicável em registros de LOU.

Remova o ACL do interface vlan 1 e o olhar no LOU registra-se outra vez:

Sup2T(config)#int vlan 1
Sup2T(config-if)#no ip access-group a3 in

Sup2T#show platform software acl lou
LOUs Registers (shadow copies)

Index      Type  A_Op  A_Val  A_Cnt  B_Op  B_Val  B_Cnt
-----  --------  ----  -----  -----  ----  -----  -----
    0PKT_QOS_GI A is free.            NEQ      0      1
    1  B & A are free
    2  B & A are free
    3  B & A are free
    4  B & A are free


*snip*

Sup2T#show platform hardware acl lou
Dumping h/w lou values 

Index  lou_mux_sel  A_Opcode  A_Value  B_Opcode  B_Value
-----  -----------  --------  -------  --------  -------
    0            7       NEQ        0       NEQ        0
    1            1       NEQ        0       NEQ        0
    2            0       NEQ        0       NEQ        0
    3            0       NEQ        0       NEQ        0

*snip*

Casos Práticos #1 - ACL com bandeiras TCP

As bandeiras TCP têm um grupo especial de registros atribuídos dentro da escala dos registros de LOU. Você pode ver esta escala através do comando do mapeamento do capmap acl do software de plataforma da mostra como mostrado aqui:

Sup2T#show platform software acl capmap mapping
        L4op_sel value      Reference   
        ==============      ========= 
        0      ------         LOU0 B register
        1     ------         LOU0 A register
        2     ------         LOU1 B register
        3     ------         LOU1 A register
       .....                 .............. 
       .....                 .............. 
       206     -----         LOU103 B register
       207     -----         LOU103 A register
       208     -----         Global format match for global acl
       209     -----         Group id present
       210     -----         L4_hdr_vld
       211     -----         Mpls_plus_ip_pkt 
       212     -----         ife/ofe for direction
      (213-223)     ----      Reserved
      (224-239)     ----      16 TCP flags map
      (240-255)     ----      16 IPv6 ext header map

O 224-239 dos valores L4op_sel está disponível para usar-se para bandeiras TCP, que lhe dá um grupo de 16 registros para o uso. É aqui um exemplo simples ao demostrate isto. Este ACL é definido:

Sup2T(config)#ip access-list extended a13 
Sup2T(config-ext-nacl)#permit tcp host 192.168.13.10 host 192.168.13.20 syn
Sup2T(config-ext-nacl)#exit

Aplique isto de entrada na relação VLAN 13:

Sup2T(config)#int vlan 13
Sup2T(config-if)#ip access-group a13 in
Sup2T(config-if)#end


Sup2T#show platform hardware acl entry interface vlan 13 security in ip detail   
mls_if_index:2000000D dir:0 feature:0 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
----------------------------------------------------------------
---------------------------------------------------------------
---------------------------------------------------------------
--------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
----------------------------------------------------------------
----------------------------------------------------------------
----------------------------------------------------------------
------


fno:0

tcam:B, bank:1, prot:0    Aces 

I  V  32545     13  0    0     0   192.168.13.10               -   192.168.13.20
- 0  0      1   ANY:----s- -----          -                    0x0000000000000038
0
I  M  32545 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
- 0  0    0xF
I  V  32546     13  0    0     0   192.168.13.10               -   192.168.13.20
- 1  0      1      -       -----          -                    0x0000000000000038
0
I  M  32546 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
- 1  0    0xF
I  V  32547     13  0    0     0         0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x0000000040000038
0
I  M  32547 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0

Sup2T#show platform software acl capmap tcam B label 13

Shadow Capmap Table Entry For TCAM B

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ---------------- -----------
----- ----------------
   13     8 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free 224/0/1

Neste exemplo, a bandeira TCP é programada no registro 224 (esta corresponde ao primeiro registro disponível para bandeiras TCP). A contagem agregada para esta corresponde ao número dos fluxos de TCP (ACE lidos) com a mesma bandeira TCP.

Adicionar um outro ACE ao ACL atual a13. Isto deve ter uma bandeira diferente TCP:

Sup2T(config)#ip access-list extended a13
Sup2T(config-ext-nacl)#permit tcp host 192.168.1.1 host 192.168.1.2 ack
Sup2T(config-ext-nacl)#exit

Se você olha a tabela do capmap outra vez, você vê que um outro registro TCP está usado:

Sup2T#show platform software acl capmap tcam b label 13

Shadow Capmap Table Entry For TCAM B

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ---------------- -----------
----- ----------------
   13     7 212/0/1                      Free             Free             Free
Free             Free             Free             Free 225/0/1          224/0/1 

De modo a você pode ver, a programação é feito pela bandeira; para cada bandeira, um registro independente TCP é usado e você mantém uma contagem contra aquela. Isto significa que, para cada bandeira, você igualmente usa uma entrada do capmap. Este mais adicional implica que tecnicamente você não pode realmente ir além de nove bandeiras em seu ACL ou você alcançará o limite do capmap antes do limite de 16 bandeiras TCP. 

Escale acima suas bandeiras TCP de modo que você alcance o limite do registro TCP a fim ver o que acontece. Este exemplo mostra diversos ACL que foram configurados e aplicados à relação diferente VLAN a fim alcançar como mostrado uma utilização do registro de 100% TCP aqui:

Sup2T#show platform hardware capacity acl
Classification Mgr Tcam Resources
  Key: Ttlent - Total TCAM entries, QoSent - QoS TCAM entries, LOU - LOUs,
       RBLent - RBACL TCAM entries, Lbl - Labels, TCP - TCP Flags,
       Dstbl  - Destinfo Table, Ethcam  - Ethertype Cam Table,
       ACTtbl - Accounting Table, V6ext - V6 Extn Hdr Table

  Module Ttlent QoSent RBLent Lbl   LOU  TCP  Dstbl Ethcam ACTtbl V6ext
  1       3%     7%     0%     1%   96%  100%   1%    0%     0%     0%
  3       3%     7%     0%     1%   96%  100%   1%    0%     0%     0%
  4       3%     7%     0%     1%   96%  100%   1%    0%     0%     0%
  6       3%     7%     0%     1%   96%  100%   2%    0%     0%     0%

Nesta fase, se você decide configurar um outro ACL com uma bandeira original TCP (ou uma combinação de bandeiras TCP que a faça original) e aplicar isto a uma relação, a seguir você deve programar uma bandeira nova TCP (ou uma combinação de bandeiras) a um registro TCP. Contudo, não há nenhum registrador de hardware disponível. Nesta situação, você constrói uma ponte sobre a relação inteira.

Sup2T(config)#ip access-list extended a29
Sup2T(config-ext-nacl)#permit tcp host 192.168.1.1 host 192.168.1.2 psh rst

Sup2T(config-if)#int vlan 29
Sup2T(config-if)#ip access-group a29 in

 *Oct  6 13:57:47.612: %FMCORE-4-RACL_REDUCED: Interface Vlan29 routed traffic
  will be software switched in ingress direction. L2 features may not be applied
  at the interface

Sup2T#show platform hardware acl entry interface vlan 29 security in ip
mls_if_index:2000001D dir:0 feature:0 proto:0


pass#0 features


fno:0

tcam:B, bank:1, prot:0    Aces 


Bridge                ip any any  

Casos Práticos #2 - uso do registro de 100% LOU

Recorde que LOUs é uns recursos finitos - você pode ser executado fora do espaço para aqueles também. Você pode monitorar o uso de LOU com este comando:

Sup2T#show platform hardware capacity acl 
Classification Mgr Tcam Resources
  Key: Ttlent - Total TCAM entries, QoSent - QoS TCAM entries, LOU - LOUs,
       RBLent - RBACL TCAM entries, Lbl - Labels, TCP - TCP Flags,
       Dstbl  - Destinfo Table, Ethcam  - Ethertype Cam Table,
       ACTtbl - Accounting Table, V6ext - V6 Extn Hdr Table

  Module Ttlent QoSent RBLent Lbl   LOU  TCP  Dstbl Ethcam ACTtbl V6ext
  1       2%     7%     0%     1%    1%   0%   1%    0%     0%     0%
  3       2%     7%     0%     1%    1%   0%   1%    0%     0%     0%
  4       2%     7%     0%     1%    1%   0%   1%    0%     0%     0%
  6       2%     7%     0%     1%    1%   0%   2%    0%     0%     0%

Escale os ACL a fim usar mais LOUs. Depois que a instalação de diversos ACL (com o comando range que toma dois registros de LOU, A e B), este uso das mostras 96% LOU do exemplo:

Sup2T#show platform hardware capacity acl

Classification Mgr Tcam Resources
  Key: Ttlent - Total TCAM entries, QoSent - QoS TCAM entries, LOU - LOUs,
       RBLent - RBACL TCAM entries, Lbl - Labels, TCP - TCP Flags,
       Dstbl  - Destinfo Table, Ethcam  - Ethertype Cam Table,
       ACTtbl - Accounting Table, V6ext - V6 Extn Hdr Table

  Module Ttlent QoSent RBLent Lbl   LOU  TCP  Dstbl Ethcam ACTtbl V6ext
  1       3%     7%     0%     1%   96%   0%   1%    0%     0%     0%
  3       3%     7%     0%     1%   96%   0%   1%    0%     0%     0%
  4       3%     7%     0%     1%   96%   0%   1%    0%     0%     0%
  6       3%     7%     0%     1%   96%   0%   2%    0%     0%     0%

Crie um outro ACL e aplique isso a uma relação que faça com que o uso de LOU fosse além de 100%.

Sup2T(config)#ip access-list extended a12
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1401 1410      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1411 1420      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1421 1430      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1431 1440      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1441 1450      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1451 1460      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1461 1470      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1471 1480      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1481 1490      
Sup2T(config-ext-nacl)#$68.14.1 host 192.168.14.2 range 1491 1500

Sup2T(config-ext-nacl)#exit
Sup2T(config)#int vlan 12
Sup2T(config-if)#ip access-group a12 in

O exemplo alcançou o uso de 100% LOU; contudo, observe que nenhum Mensagem de Erro esteve recebido.

Sup2T#show platform hardware capacity acl
Classification Mgr Tcam Resources
  Key: Ttlent - Total TCAM entries, QoSent - QoS TCAM entries, LOU - LOUs,
       RBLent - RBACL TCAM entries, Lbl - Labels, TCP - TCP Flags,
       Dstbl  - Destinfo Table, Ethcam  - Ethertype Cam Table,
       ACTtbl - Accounting Table, V6ext - V6 Extn Hdr Table

  Module Ttlent QoSent RBLent Lbl   LOU  TCP  Dstbl Ethcam ACTtbl V6ext
  1       3%     7%     0%     1%   100%   0%   1%    0%     0%     0%
  3       3%     7%     0%     1%   100%   0%   1%    0%     0%     0%
  4       3%     7%     0%     1%   100%   0%   1%    0%     0%     0%
  6       3%     7%     0%     1%   100%   0%   2%    0%     0%     0%

Está aqui um outro teste. Agora que o LOU está em 100%, tome um L4Op muito simples e tente-o instalar isso para uma relação. Configurar este ACL:

Sup2T#show ip access-lists a13
Extended IP access list a13 
    10 permit tcp host 192.168.14.1 host 192.168.14.2 range 1600 1650

Aplique isto de entrada para conectar VLAN 13.

Sup2T#show run int vlan 13
Building configuration...

Current configuration : 87 bytes
!
interface Vlan13
 ip address 192.168.13.1 255.255.255.0
 ip access-group a13 in
end

Olhe o TCAM para este VLAN agora:

Sup2T#show platform hardware acl entry interface vlan 13 sec in ip
mls_if_index:2000000D dir:0 feature:0 proto:0


pass#0 features


fno:0

tcam:B, bank:0, prot:0    Aces 


Permit                tcp host 192.168.14.1 host 192.168.14.2 eq 1650  
Permit                tcp host 192.168.14.1 host 192.168.14.2 range 1648 1649  
Permit                tcp host 192.168.14.1 host 192.168.14.2 range 1632 1647  
Permit                tcp host 192.168.14.1 host 192.168.14.2 range 1600 1631  
Permit                tcp host 192.168.14.1 host 192.168.14.2  fragments
L3_Deny               ip any any  

O L4Ops foi expandido. Se você olha a tabela do capmap para esta etiqueta TCAM, você vê que nada está instalado.

Sup2T#show platform hardware acl entry interface vlan 13 sec in ip detail

mls_if_index:2000000D dir:0 feature:0 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
---------------------------------------------------------------
---------------------------------------------------------------
---------------------------------------------------------------
---------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
----------------------------------------------------------------
----------------------------------------------------------------
----------------------------------------------------------------
------


fno:0

tcam:B, bank:0, prot:0    Aces 

I  V  16136     14  0    0     0    192.168.14.1               -    192.168.14.2
1650 0  0      1      -       -----          -                    0x0000000000000038
0
I  M  16136 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
0xFFFF 0  0    0xF
I  V  16137     14  0    0     0    192.168.14.1               -    192.168.14.2
1648 0  0      1      -       -----          -                    0x0000000000000038
0
I  M  16137 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
0xFFFE 0  0    0xF
I  V  16138     14  0    0     0    192.168.14.1               -    192.168.14.2
 1632 0  0      1      -       -----          -                    0x0000000000000038
0
I  M  16138 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
0xFFF0 0  0    0xF
I  V  16139     14  0    0     0    192.168.14.1               -    192.168.14.2
1600 0  0      1      -       -----          -                    0x0000000000000038
0
I  M  16139 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
0xF
I  V  16140     14  0    0     0    192.168.14.1               -    192.168.14.2
- 1  0      1      -       -----          -                    0x0000000000000038
0


Sup2T#show platform software acl capmap tcam B label 14

Shadow Capmap Table Entry For TCAM B

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ---------------- -----------
----- ----------------
   14     9 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free
Free

Está aqui uma explicação do que aconteceu. Porque os registros de LOU estão completos, você pode já não instalar todo o L4Ops novo lá e nada pode ser provido na tabela do capmap. Nesta fase, você ainda tenta instalar o L4Ops no TCAM expandindo o. Se o L4Ops é não expansível, então você switch de software a relação inteira no sentido dado.

Que um uso do registro de 100% LOU implica? Seus começos TCAM a encher-se rapidamente (devido à expansão do L4Op). Se você tenta instalar o L4Ops não expansível, a seguir com a implementação atual, sua relação inteira obtém o software construído uma ponte sobre.

Assim agora, um erro é gerado somente quando você tenta instalar em tal situação um L4Op não expansível. Este exemplo alterou o ACL atual a13 que foi aplicado para conectar VLAN 13 com a adição de um L4Op não expansível.

Sup2T(config)#ip access-list extended a13
Sup2T(config-ext-nacl)#permit tcp host 192.168.14.1 host 192.168.14.2 dscp 40

Oct  5 04:50:13.104: %FMCORE-4-RACL_REDUCED: Interface Vlan13 routed traffic will
be software switched in ingress direction. L2 features may not be applied at the
interface
Oct  5 04:50:13.096: %EARL_CM-DFC3-5-NOLOU: No free LOU entry available on the EARL
Oct  5 04:50:13.096: %EARL_CM-DFC1-5-NOLOU: No free LOU entry available on the EARL
Oct  5 04:50:13.096: %EARL_CM-DFC4-5-NOLOU: No free LOU entry available on the EARL

Sup2T#show platform hardware acl entry interface vlan 13 security in ip         
mls_if_index:2000000D dir:0 feature:0 proto:0


pass#0 features


fno:0

tcam:B, bank:0, prot:0    Aces 


Bridge                ip any any

Casos Práticos #3 - QoS que programa com L4Ops

As políticas de QoS puderam igualmente prover o L4Ops; este L4Ops deve ser instalado como todo o outro L4Op. Isto implica que pela relação, mesmo para suas políticas de QoS, você está limitado pelas limitações que o capmap apresenta e LOUs tem inerentemente. Está aqui um exemplo para ilustrar isto em uma maneira pequena:

Sup2T#show ip access-lists a1

Extended IP access list a1 
    10 permit tcp host 192.168.1.10 host 192.168.2.10 dscp ef

Sup2T#show class-map a1-class
 Class Map match-all a1-class (id 37)
   Match access-group name a1

Sup2T#show policy-map a1-policy
  Policy Map a1-policy
    Class a1-class
     police cir 80000 bc 2500
       conform-action transmit 
       exceed-action drop

Este exemplo tem um mapa de política que combina um mapa de classe que chama a lista de acesso a1 que os fósforos traficam de 192.168.1.10 a 192.168.2.10 que é identificado por meio de expedited forwarding (EF). Combinar em um valor DSCP é um L4Op não expansível; isto é exigido para ser programado em um registro de LOU e para ser provido através de uma entrada na tabela do capmap. Este mapa de política é agora de entrada instalado a gig3/23.

Sup2T#show run int gig3/23
Building configuration...

Current configuration : 176 bytes
!
interface GigabitEthernet3/23
 switchport
 switchport trunk allowed vlan 1-30
 switchport mode trunk
 service-policy input a1-policy
end

A fim olhar o QoS que programa para uma relação, use este comando:

Sup2T#show platform hardware acl entry interface gig3/23 qos in ip module 3
mls_if_index:8096000 dir:0 feature:1 proto:0


pass#0 features


fno:0

tcam:A, bank:0, prot:0    Aces 


0x0000E0100000D00B    tcp host 192.168.1.10 host 192.168.2.10 dscp eq 46  
0x000000000080D00B    ip any any 

Detalhar este comando dá-o que etiqueta TCAM é usada para nesta relação.

Sup2T#show platform hardware acl entry interface gig3/23 qos in ip detail module 3
mls_if_index:8096000 dir:0 feature:1 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
-----------------------------------------------------------------------
-----------------------------------------------------------------------
--------------------------------------------------------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
------------------------------------------------------------------------------------
------------------------------------------------------------------------------------
------------------------------


fno:0

tcam:A, bank:0, prot:0    Aces 
          
I  V  16238      2  0    0     0    192.168.1.10               -    192.168.2.10
- 0  0      1      -       ----- dscp=46;                      0x0000E0100000D00B
0
I  M  16238 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
- 0  0    0xF
I  V  16239      2  0    0     0         0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x000000000080D00B
0
I  M  16239 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0

A etiqueta TCAM que é usada é o olhar 2. na tabela do capmap para este agora:

Sup2T#show platform software acl capmap tcam A label 2 module 3
Shadow Capmap Table Entry For TCAM A

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ---------------- -----------
----- ----------------
    2     8 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free   2/1/1  

Note: Para QoS TCAM, você deve especificar o número de módulo. Sem isto, a saída não rende nenhuns resultados.

Sup2T#show platform software acl capmap mapping 
        L4op_sel value      Reference   
        ==============      ========= 
        0      ------         LOU0 B register
        1     ------         LOU0 A register
        2     ------         LOU1 B register
        3     ------         LOU1 A register

*snip*

Um valor de LOU de 2 pontos a LOU1, registro B. Você pode confirmar este que programa com este comando:

Sup2T#show platform hardware acl lou 
Dumping h/w lou values 

Index  lou_mux_sel  A_Opcode  A_Value  B_Opcode  B_Value
-----  -----------  --------  -------  --------  -------
    0            7       NEQ        0       NEQ        0
    1            4       NEQ        0       NEQ       46
    2            1       NEQ        0       NEQ        0
*snip*

Escale acima a configuração.

Sup2T#show ip access-lists a1
Extended IP access list a1 
    10 permit tcp host 192.168.1.10 host 192.168.2.10 dscp ef
    20 permit tcp host 192.168.2.11 host 192.168.2.11 dscp ef
    30 permit tcp host 192.168.3.11 host 192.168.3.11 dscp ef
    40 permit tcp host 192.168.4.11 host 192.168.4.11 dscp ef
    50 permit tcp host 192.168.5.11 host 192.168.5.11 dscp ef
    60 permit tcp host 192.168.6.11 host 192.168.6.11 dscp ef
    70 permit tcp host 192.168.7.11 host 192.168.7.11 dscp ef
    80 permit tcp host 192.168.8.11 host 192.168.8.11 dscp ef


Sup2T#show platform software acl capmap tcam A label 2 module 3
Shadow Capmap Table Entry For TCAM A

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ----------
------ ---------------- ---------------- ----------------
    2     8 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free   2/1/8

Isto não usa any more entradas; em lugar de, aumenta a contagem agregada contra a primeira entrada própria da referência, que faz o sentido. De uma perspectiva da tabela do capmap e do registro de LOU, não há nenhum interesse sobre a fonte e o destino. Isto armazena simplesmente a informação do L4Op. Desde que combina contra o mesmo valor DSCP em todos os ACE, você precisa somente uma entrada para esse valor DSCP.

Altere isto de modo que você use nove valores diferentes DSCP.

Sup2T#show ip access-lists a1
Extended IP access list a1 
    10 permit tcp host 192.168.1.10 host 192.168.2.10 dscp af11
    20 permit tcp host 192.168.2.11 host 192.168.2.11 dscp af12
    30 permit tcp host 192.168.3.11 host 192.168.3.11 dscp af13
    40 permit tcp host 192.168.4.11 host 192.168.4.11 dscp af21
    50 permit tcp host 192.168.5.11 host 192.168.5.11 dscp af22
    60 permit tcp host 192.168.6.11 host 192.168.6.11 dscp af23
    70 permit tcp host 192.168.7.11 host 192.168.7.11 dscp af31
    80 permit tcp host 192.168.8.11 host 192.168.8.11 dscp af32
    90 permit tcp host 192.168.9.11 host 192.168.9.11 dscp af33

Agora se você olha a tabela do capmap, você vê que está completa:

Sup2T#show platform software acl capmap tcam A label 2 module 3
Shadow Capmap Table Entry For TCAM A

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]
[1]              [0]       
----- ----- ---------------- ---------------- ---------------- -----------
----- ---------------- ---------------- ---------------- ----------------
---------------- ----------------
    2     0 212/0/1           10/1/1            9/1/1            8/1/1
7/1/1            6/1/1            5/1/1            4/1/1            3/1/1
2/1/1         

É aqui o que acontece se você tenta e instala uma outra entrada não expansível L4Op-based:

Sup2T(config-ext-nacl)#permit tcp host 192.168.10.11 host 192.168.10.11 dscp 2
Sup2T(config-ext-nacl)#end


%QM-4-TCAM_ENTRY: Hardware TCAM entry programming failed for slot 3 intf Gi3/23
dir IN: <CONFIG_UPDATE_REQ> TCAM Req Error: FAIL (4): Low TCAM Entries (1)
%QM-4-TCAM_ENTRY: Hardware TCAM entry programming failed for slot 3 intf Gi3/23
dir IN: <CONFIG_UPDATE_REQ> TCAM Req Error: FAIL (4): Low TCAM Entries (1)
%QM-4-TCAM_ENTRY: Hardware TCAM entry programming failed for slot 3 intf Gi3/23
dir IN: <CONFIG_UPDATE_REQ> TCAM Req Error: FAIL (4): Low TCAM Entries (1)
%QM-4-TCAM_ENTRY: Hardware TCAM entry programming failed for slot 3 intf Gi3/23
dir IN: <CONFIG_UPDATE_REQ> TCAM Req Error: FAIL (4): Low TCAM Entries (1)
%QM-4-TCAM_ENTRY: Hardware TCAM entry programming failed for slot 3 intf Gi3/23
dir IN: <CONFIG_UPDATE_REQ> TCAM Req Error: FAIL (4): Low TCAM Entries (1)
%FMCORE-6-RACL_ENABLED: Interface GigabitEthernet3/23 routed traffic is hardware
switched in ingress direction
Oct 20 17:12:54.304: %EARL_CM-DFC3-5-NOCAPMAP: No free capmap entry available

Olhe o TCAM para esta relação agora:

Sup2T#show platform hardware acl entry interface gig3/23 qos in ip module 3

mls_if_index:8096000 dir:0 feature:1 proto:0

 Couldnt find feature for mls_if_index 0x8096000, dir 0

Nenhumas das características de QoS são instaladas no TCAM para esta relação anymore.

Observe que marcar não consome nenhum L4Ops. Assim se você tem um ACL simples que não o tenha o L4Ops e ajustados um valor DSCP no fósforo, nenhum registro de LOU é usado para este. Aqui está um exemplo:

Sup2T#show policy-map a1-policy
  Policy Map a1-policy
    Class a1-class
      set dscp ef

Sup2T#show class-map a1-class
 Class Map match-all a1-class (id 37)
   Match access-group name a1

Sup2T#show ip access-lists a1
Extended IP access list a1 
    10 permit tcp host 192.168.1.1 host 192.168.2.1

Isto é aplicado para conectar gig3/23:

Sup2T#show run interface gig3/23
Building configuration...

Current configuration : 176 bytes
!
interface GigabitEthernet3/23
 switchport
 switchport trunk allowed vlan 1-30
 switchport mode trunk
 service-policy input a1-policy
end


Sup2T#show platform hardware acl entry interface gig3/23 qos in ip  detail module 3

mls_if_index:8096000 dir:0 feature:1 proto:0


pass#0 features
UAPRSF: U-urg, A-ack, P-psh, R-rst, S-syn, F-fin
MLGFI: M-mpls_plus_ip_pkt, L-L4_hdr_vld, G-gpid_present,F-global_fmt_match, I-ife/ofe
's' means set; 'u' means unset; '-' means don't care
----------------------------------------------------------------
----------------------------------------------------------------
---------------------------------------------------------------
-------
I     INDEX  LABEL FS ACOS    AS           IP_SA        SRC_PORT
IP_DA        DST_PORT F FF L4PROT TCP-F:UAPRSF MLGFI OtherL4OPs
RSLT                  CNT
---------------------------------------------------------------
---------------------------------------------------------------
---------------------------------------------------------------
---------


fno:0

tcam:A, bank:0, prot:0    Aces 
          
I  V  16238      3  0    0     0     192.168.1.1               -     192.168.2.1
- 0  0      1      -       -----          -                    0x0000E010005D100B
 0
I  M  16238 0x1FFF  0 0x00 0x000 255.255.255.255               - 255.255.255.255
- 0  0    0xF
I  V  16239      3  0    0     0         0.0.0.0               -         0.0.0.0
- 0  0      0      -       -----          -                    0x000000000080D00B
0
I  M  16239 0x1FFF  0 0x00 0x000         0.0.0.0               -         0.0.0.0
- 0  0    0x0

Sup2T#show platform software acl capmap tcam A label 3 module 3
Shadow Capmap Table Entry For TCAM A

-----------------------------------------------------------------------
Output in a RST/INV/CNT format: RST - result value; INV - inverted;
                                CNT - aggregated reference account;

CBF - number of free cap bits (one per entry);
Free items are not shown
-----------------------------------------------------------------------

Index   CBF       [9]              [8]              [7]              [6]
[5]              [4]              [3]              [2]              [1]
[0]       
----- ----- ---------------- ---------------- ---------------- ----------------
---------------- ---------------- ---------------- ---------------- -----------
----- ----------------
    3     9 212/0/1                      Free             Free             Free
Free             Free             Free             Free             Free
Free

Casos Práticos #4 - Exaustão da causa CAPMAP da pilha dual ACL

Neste exemplo, há uma relação configurada para usar o IPv4 e o IPv6 ACL que crie estes erros quando a relação é trazida acima de:

%EARL_CM-5-NOCAPMAP: No free capmap entry available
%FMCORE-4-RACL_REDUCED: Interface Vlan500 routed traffic will be software switched in ingress direction.
        L2 features may not be applied at the interface

Readded contudo, se somente o IPv4 ACL é removido, e então ao mesmos a relação a programação do hardware termina com sucesso e o erro é gerado já não.

Para este exemplo, estes ACL são configurados sob o SVI:

Switch#sh ip access-lists INGRESS
Extended IP access list INGRESS
    10 permit tcp host 1.1.1.1 host 1.1.1.2 range 1 10
    20 permit tcp host 1.1.1.3 host 1.1.1.4 range 10 ftp-data
    30 permit tcp host 2.1.1.3 host 2.1.1.4 range 30 40
    40 permit tcp host 2.1.1.3 host 2.1.1.4 range 85 100
    50 permit tcp host 2.1.1.3 host 10.1.1.1 range 222 333
    60 permit tcp host 20.5.4.3 host 10.100.100.1 range www 443
    70 permit tcp host 200.50.4.3 host 11.11.11.1 range 800 813
    80 permit tcp host 200.50.40.30 host 12.12.11.1 range 50 60
    90 permit tcp host 13.13.13.3 host 14.14.14.3 range gopher 90
    100 permit tcp host 23.23.23.3 host 14.14.10.1 range 123 345
    110 permit udp host 123.123.123.1 range 50 60 host 23.23.23.1 range 10 20
    120 permit udp host 45.45.43.1 range 1000 1010 host 1.1.1.1 range 50 65
    130 permit tcp host 78.78.78.1 range 89 95 host 2.3.4.5 range 1111 1200
    140 permit tcp host 5.5.5.50 eq 65000 host 5.4.5.4
    150 permit tcp host 5.15.5.150 range 1200 1250 host 1.7.8.4 range 45 65
 
Switch#show ipv6 access-list DENY-ALL-V6
IPv6 access list DENY-ALL-V6
    permit udp FE80::/64 host FF02::66 eq 2000 sequence 10
    deny ipv6 any any sequence 20

Como visto no exemplo anterior, o IPv4 ACL tem mais de nove L4Ops expansíveis originais. Sob uma relação configurada com somente o IPv4 estes serão expandidos para fora como necessários a fim não esgotar a tabela do capmap.

Ao programar estes no hardware TCAM em um ambiente da pilha dual, o interruptor começa com o IPv4 ACL primeiramente. Com insuficientes entradas livres na tabela do capmap, o interruptor expande para fora algum do L4Ops expansível a fim encher a tabela do capmap sem excedê-la. O resultado é que agora o número de entradas livres na tabela é 0, que significa que não há agora nenhuma entrada disponível para programar o L4Op não expansível que é exigido quando você vai programar em seguida o IPv6 ACL.

Quando você remove somente o IPv4 ACL, o número de entradas livres na tabela do capmap aumenta, e o IPv6 ACL é programado agora corretamente no hardware e usa uma das entradas recentemente livradas do capmap. Quando o IPv4 ACL é reaplicado à configuração da interface, a mesma expansão acontece outra vez. Somente uma entrada adicional do IPv4 é expandida agora em consequência do IPv6 ACL que se usa acima de um valor livre do capmap. Desde que todo o L4Ops é expansível neste ACL que a programação sucede.

A fim impedir a remoção manual e a adição do IPv4 ACL para permitir que as entradas fundam no hardware, um realce foi criado para mudar o TCAM que funde o algoritmo em tais encenações. Veja a identificação de bug Cisco CSCuq24924 para mais informação.

Em consequência deste realce, “Fixo-” em liberações do software terá agora uma opção configurável na configuração global que muda a maneira que o L4Ops é programado nos exemplos tais como um desenvolvimento da pilha dual IPv4/v6 ACL. Esta é a alteração de configuração que pode ser feita

Switch(config)#platform hardware acl tcam-exp-logic enable

Note: Devido às mudanças introduzidas em consequência deste realce, o L4Ops expansível é expandido em um do que normal maior da taxa e pôde causar um aumento significativo na utilização de TCAM em consequência da expansão.