Validar ACL de seguridad en switches Catalyst 9000

### Ping originated from neighbor device with source 10.1.1.1 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1                        <--- Ping source is permitted and ping is successful 
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms <-- 100% ping success 


### Ping originated from neighbor device with source 10.1.1.3 ###
C9300#ping 10.1.1.2 source g 1/0/1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3                        <-- Ping source is denied (implicit) and ping fails 
.....
Success rate is 0 percent (0/5)                                      <-- 0% ping success 


### Confirm RACL drop ###
9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any                                   <-- Counters in this command do not show matches
    20 permit udp host 10.1.1.1 eq 1000 host 10.1.1.2

9500H#show platform software fed active acl counters hardware | i RACL Drop
Ingress IPv4 RACL Drop              (0xed000007):         100 frames  <-- Hardware level command displays drops against RACL 
<...snip...>

Situación hipotética 4. VACL

Las VACL se asignan a una VLAN de Capa 2. 

• Límite de seguridad: dentro de una VLAN o a través de ella
• Archivo adjunto: VLAN/VLAN Map
• Dirección: tanto entrada como salida a la vez
• Tipos de ACL compatibles: ACL MAC y ACL IP (estándar o ampliada)

Configuración de VACL

ip access-list extended TEST
 10 permit ip host 10.1.1.1 any
 20 permit ip any host 10.1.1.1

ip access-list extended ELSE
 10 permit ip any any

vlan access-map VACL 10
 match ip address TEST
 action forward
vlan access-map VACL 20
 match ip address ELSE
 action drop

vlan filter VACL vlan-list 10


9500H#sh vlan access-map VACL
Vlan access-map "VACL" 10
  Match clauses:
    ip address: TEST
  Action:
    forward
Vlan access-map "VACL" 20
  Match clauses:
    ip address: ELSE
  Action:
    drop

9500H#sh vlan filter access-map VACL
VLAN Map VACL is filtering VLANs:
10

Verificar VACL

Recupere el IF_ID asociado a la interfaz.

9500H#show platform software fed active ifm interfaces vlan
Interface                         IF_ID               State
----------------------------------------------------------------------
Vlan10                            0x00420010          READY

Verifique el ID de grupo de clase (ID de CG) enlazado al IF_ID.

9500H#show platform software fed active acl interface 0x420010  <-- IF_ID for the Vlan 
########################################################
########                              ##################
#######   Printing Interface Infos     #################
########                              ##################
########################################################

INTERFACE: Vlan10                                               <-- Can be L2 only, with no vlan interface 
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fc8cc7c7f48
    Interface handle: 0xf1000024
    Interface Type: Vlan
    if-id: 0x0000000000420010
    Input IPv4: Policy Handle: 0xd10000a3                       <-- VACL has both Ingress and Egress actions 
        Policy Name: VACL                                       <-- Name of the VACL used 
             CG ID: 530                                         <-- Class Group ID for entry 
       CGM Feature: [35] acl-grp                                <-- Feature is ACL group, versus ACl
        Bind Order: 0

    Output IPv4: Policy Handle: 0xc80000a4                      <-- VACL has both Ingress and Egress actions
         Policy Name: VACL
              CG ID: 530
         CGM Feature: [35] acl-grp
    Bind Order: 0

Información de ACL asociada a la ID del grupo CG.

Hay dos ACL utilizadas en la misma política VACL denominada, agrupadas en este grupo de ACL

9500H#show platform software fed active acl info acl-grp-cgid 530  <-- use the group-id command versus gc ID
########################################################
#########                             ##################
########    Printing CG Entries        #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/530): VACL type: IPv4                              <-- feature acl/group ID 530: name VACL : type IPv4
Total Ref count 2
---------------------------------
2 VACL                                                             <-- Ingress and egress ACL direction on a VACl 
---------------------------------
  region reg_id: 12
    subregion subr_id: 0
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x0a010101, mask = 0xffffffff           <-- permit from host 10.1.1.1 (see PACL example for hex conversion)
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- to any other host
      GCE#:20 #flds: 2 l4:N matchall:N deny:N
        Result: 0x06000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- permit from any host 
        ipv4_dst: value = 0x0a010101, mask = 0xffffffff           <-- to host 10.1.1.1
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x05000000
        ipv4_src: value = 0x00000000, mask = 0x00000000           <-- This is the ACL named 'ELSE' which is permit any any
        ipv4_dst: value = 0x00000000, mask = 0x00000000           <-- with VACL, the logic used was "permit to match" action "drop"

Información de política sobre el ID de CG, así como qué interfaces utilizan el ID de CG.

9500H#show platform software fed active acl policy 530     <-- use the acl-grp ID 
########################################################
#########                             ##################
########     Printing Policy Infos     #################
#########                             ##################
########################################################

INTERFACE: Vlan10
MAC 0000.0000.0000
########################################################
    intfinfo: 0x7fa15802a5d8
    Interface handle: 0xf1000024
    Interface Type: Vlan                                   <-- Interface type is the Vlan, not a specific interface 
    if-id: 0x0000000000420010                              <-- the Vlan IF_ID matches Vlan 10
------------
Direction: Input                                           <-- VACL in the input direction
Protocol Type:IPv4
    Policy Intface Handle: 0x44000001
    Policy Handle: 0x29000090

########################################################
#########                             ##################
########       Policy information      #################
#########                             ##################
########################################################
Policy handle       : 0x29000090
Policy name         : VACL                                 <-- the VACL policy is named 'VACL'
ID                  : 530
Protocol            : [3] IPV4
Feature             : [23] AAL_FEATURE_VACL                <-- ASIC feature is VACL 
Number of ACLs      : 2                                    <-- 2 ACL used in the VACL: "TEST & ELSE"

########################################################
## Complete policy ACL information
########################################################
Acl number : 1
=====================================
Acl handle : 0xa6000090
Acl flags : 0x00000001
Number of ACEs : 4
  Ace handle [1] : 0x87000107
  Ace handle [2] : 0x30000108
  Ace handle [3] : 0x73000109
  Ace handle [4] : 0xb700010a

Acl number : 2
=====================================
Acl handle : 0x0f000091
Acl flags : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x5800010b

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0x44000001
Policy handle         : 0x29000090
ID                    : 530                                <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [1] Ingress                        <-- Ingress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------
Direction:  Output
Protocol Type:IPv4
    Policy Intface Handle: 0xac000002
    Policy Handle: 0x31000091

########################################################
#########                             ##################
########        Policy information     #################
#########                             ##################
########################################################
Policy handle        : 0x31000091
Policy name          : VACL
ID                   : 530
Protocol             : [3] IPV4
Feature              : [23] AAL_FEATURE_VACL
Number of ACLs       : 2

########################################################
## Complete policy ACL information
########################################################
Acl number    : 1
=====================================
Acl handle      : 0xe0000092
Acl flags       : 0x00000001
Number of ACEs  : 4
  Ace handle [1] : 0xf500010c
  Ace handle [2] : 0xd800010d
  Ace handle [3] : 0x4c00010e
  Ace handle [4] : 0x0600010f

Acl number    : 2
=====================================
Acl handle      : 0x14000093
Acl flags       : 0x00000001
Number of ACEs : 1
  Ace handle [1] : 0x8e000110

Interface(s):
        Vlan10
########################################################
#########                             ##################
########  Policy instance information  #################
#########                             ##################
########################################################
Policy intf handle    : 0xac000002
Policy handle         : 0x31000091
ID                    : 530                               <-- 530 is the acl group ID
Protocol              : [3] IPV4
Feature               : [23] AAL_FEATURE_VACL
Direction             : [2] Egress                        <-- Egress VACL direction 
Number of ACLs        : 2
Number of VMRs        : 4------------

Confirme que VACL funciona.

• La resolución de problemas es el mismo escenario que las secciones PACL y RACl. Consulte estas secciones para obtener detalles sobre la prueba de ping.
• Ping de 10.1.1.3 a 10.1.1.2 denegado por la política ACL aplicada. 
• Verifique el comando platform drop.

9500H#show platform software fed active acl counters hardware | inc VACL Drop
Ingress IPv4 VACL Drop              (0x23000006):         1011 frames      <-- Hardware level command displays drops against VACL 
<...snip...>

Situación hipotética 5. ACL de grupo/cliente (DACL)

Las ACL de grupo/cliente se aplican dinámicamente a un grupo de usuarios o cliente en función de su identidad. A veces también se denominan DACL.

• Límite de seguridad: Cliente (nivel de interfaz de cliente)
• Adjunto: por interfaz de cliente
• Dirección: solo entrada
• Tipos de ACL compatibles: ACL MAC y ACL IP (estándar o ampliada)

Configuración de GACL

Cat9400#show run interface gigabitEthernet 2/0/1 
Building configuration...

Current configuration : 419 bytes
!
interface GigabitEthernet2/0/1
 switchport access vlan 10
 switchport mode access
 switchport voice vlan 5
 ip access-group ACL-ALLOW in                     <-- This is the pre-authenticated ACL (deny ip any any). Validation is done for the post-auth ACL
 authentication periodic
 authentication timer reauthenticate server
 access-session control-direction in
 access-session port-control auto
 no snmp trap link-status
 mab
 dot1x pae authenticator
 spanning-tree portfast
 service-policy type control subscriber ISE_Gi2/0/1
end

Cat9400#show access-session interface gigabitEthernet 2/0/1 details 
            Interface:  GigabitEthernet2/0/1
               IIF-ID:  0x1765EB2C                <-- The IF_ID used in this example is dynamic 
          MAC Address:  000a.aaaa.aaaa            <-- The client MAC
         IPv6 Address:  Unknown
         IPv4 Address:  10.10.10.10
            User-Name:  00-0A-AA-AA-AA-AA
               Status:  Authorized                <-- Authorized client
               Domain:  VOICE
       Oper host mode:  multi-auth
     Oper control dir:  in
      Session timeout:  300s (server), Remaining: 182s
       Timeout action:  Reauthenticate
    Common Session ID:  27B17A0A000003F499620261
      Acct Session ID:  0x000003e7
               Handle:  0x590003ea
       Current Policy:  ISE_Gi2/0/1


Server Policies:
              ACS ACL:  xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e  <-- The ACL pushed from ISE server 


Method status list:
       Method           State
        dot1x           Stopped
          mab           Authc Success                                      <-- Authenticated via MAB (Mac authentication bypass)

Cat9400#show ip access-lists xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e
Extended IP access list xACSACLx-IP-MAB-FULL-ACCESS-GOOD-59fb6e5e
    1 permit ip any any                                                   <-- ISE pushed a permit ip any any 

Verificar GACL

ID de CG de grupo enlazado al if-id.

Cat9400#show platform software fed active acl interface 0x1765EB2C                 <-- The IF_ID from the access-session output
########################################################
########                              ##################
#######    Printing Interface Infos    #################
########                              ##################
########################################################

INTERFACE: Client MAC 000a.aaaa.aaaa                                              <-- Client MAC matches the access-session output
MAC 000a.aaaa.aaaa
########################################################
    intfinfo: 0x7f104820cae8
    Interface handle: 0x5a000110
    Interface Type: Group                                                          <-- This is a group identity type policy 
    IIF ID: 0x1765eb2c                                             
    Input IPv4: Policy Handle: 0x9d00011e
        Policy Name: ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: <-- DACL name matches 
             CG ID: 127760                                                         <-- The ACL group ID                     
       CGM Feature: [35] acl-grp 
        Bind Order: 0

Información de ACL asociada con el ID de GC del grupo.

Cat9400#show platform software fed active acl info acl-grp-cgid 127760                            <-- the CG ID for this DACL 
########################################################
#########                             ##################
########      Printing CG Entries      #################
#########                             ##################
########################################################
===================================
ACL CG (acl-grp/127760): ACL-ALLOW:xACSACLx-IP-MAB-FULL-ACCESS-59fb6e5e: type: IPv4  <-- Group ID & ACL name are correct 
Total Ref count 1
---------------------------------
1 CGACL                                                                                            <-- 1  GACL (group ACL) is applied 
---------------------------------
  region reg_id: 1
    subregion subr_id: 0
      GCE#:1 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000                                           <-- Permits IP any any as seen in software 
        ipv4_dst: value = 0x00000000, mask = 0x00000000
      GCE#:10 #flds: 2 l4:N matchall:N deny:N
        Result: 0x04000000
        ipv4_src: value = 0x00000000, mask = 0x00000000
        ipv4_dst: value = 0x00000000, mask = 0x00000000

Situación hipotética 6. Registro ACL

El software del dispositivo puede proporcionar mensajes syslog sobre los paquetes permitidos o denegados por una lista de acceso IP estándar. Cualquier paquete que coincida con la ACL hace que se envíe un mensaje de registro informativo sobre el paquete a la consola. El nivel de mensajes registrados en la consola es controlado por los comandos de la consola logging que controlan los mensajes de Syslog.

• Los mensajes de registro de ACL no son compatibles con las ACL utilizadas con Unicast Reverse Path Forwarding (uRPF). Sólo es compatible con RACL.

• El registro ACL en la dirección de salida no es compatible con los paquetes que se generan desde el plano de control del dispositivo.

• El ruteo se realiza en el hardware y en el software de registro, por lo que si una gran cantidad de paquetes coinciden con una ACE permit o deny que contiene una palabra clave de registro, el software no puede coincidir con la velocidad de procesamiento del hardware y no se pueden registrar todos los paquetes.
• El primer paquete que acciona la ACL provoca un mensaje de registro de inmediato, y los paquetes subsiguientes se recopilan en intervalos de 5 minutos antes de que aparezcan o se registren. El mensaje de registro incluye el número de la lista de acceso, si el paquete fue permitido o denegado, la dirección IP de origen del paquete y el número de paquetes de ese origen permitidos o denegados en el intervalo de 5 minutos anterior.
• Consulte la Guía de Configuración de Seguridad adecuada, Cisco IOS XE, como se indica en la sección Información Relacionada para obtener detalles completos sobre el comportamiento y las restricciones del registro de ACL.

Ejemplo de registro PACL:

Este ejemplo muestra un caso negativo, donde el tipo de ACL y la palabra clave log no funcionan juntos.

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log             <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface twentyFiveGigE 1/0/1
9500H(config-if)#ip access-group TEST in           <-- apply logged ACL 
Switch Port ACLs are not supported for LOG!        <-- message indicates this is an unsupported combination 

Ejemplo de Log RACL (Denegar):

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log            <-- Log keyword applied to ACE entry 
    20 deny ip host 10.1.1.3 any log 

9500H(config)#interface vlan 10
9500H(config-if)#ip access-group TEST in          <-- ACL applied to SVI

### Orginate ICMP from 10.1.1.3 to 10.1.1.2 (denied by ACE) ###
C9300#ping 10.1.1.2 source vlan 10 repeat 110
Type escape sequence to abort.
Sending 10, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.3
..........
Success rate is 0 percent (0/110)

9500H#show access-list TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log
    20 deny ip host 10.1.1.3 any log (110 matches)  <-- Matches increment in show access-list command 

9500H#show platform software fed active acl counters hardware | inc RACL
Ingress IPv4 RACL Drop          (0xed000007):            0 frames
Ingress IPv4 RACL Drop and Log  (0x93000009):          110 frames   <-- Aggregate command shows hits on the RACL Drop and Log 

%SEC-6-IPACCESSLOGDP: list TEST denied icmp 10.1.1.3 -> 10.1.1.2 (8/0), 10 packets  <-- Syslog message is produced 

Ejemplo de Log RACL (Permit):
Cuando se utiliza una sentencia de registro para una sentencia permit, los aciertos del contador de software muestran el doble del número de paquetes enviados.

C9300#ping 10.1.1.2 source vlan 10 repeat 5          <-- 5 ICMP Requests are sent 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.2, timeout is 2 seconds:
Packet sent with a source address of 10.1.1.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

9500H#show access-lists TEST
Extended IP access list TEST
    10 permit ip host 10.1.1.1 any log (10 matches)  <-- Hit counter shows 10 
    20 deny ip host 10.1.1.3 any log (115 matches)

Troubleshoot

Estadísticas de ACL

Al resolver un problema de ACL, es esencial entender cómo y dónde el dispositivo mide las estadísticas de ACL.  

• Las estadísticas de ACL se recopilan en un nivel agregado, no por nivel ACE.
• El hardware no tiene la capacidad de permitir por ACE o por estadísticas de ACL.
• Se recopilan estadísticas tales como Denegación, Registro y paquetes reenviados de CPU.
• Las estadísticas de los paquetes MAC, IPv4 e IPv6 se recopilan por separado.
• show platform software fed switch active acl counters hardware  se puede utilizar para mostrar estadísticas agregadas.

Borrado de Estadísticas ACL

Cuando se resuelve un problema de ACL, puede ser útil borrar los diversos contadores de ACL para obtener nuevos recuentos de línea de base.

• Estos comandos le permiten borrar las estadísticas del contador ACL de software y hardware.
• Cuando se resuelven los eventos de coincidencia/acierto de ACL, se recomienda borrar la ACL relevante para las coincidencias de línea base que son recientes o relevantes.

clear platform software fed active acl counters hardware (clears the hardware matched counters)
clear ip access-list counters <acl_name> (clears the software matched counters - IPv4)
clear ipv6 access-list counters <acl_name> (clears the software matched counters - IPv6)

¿Qué sucede cuando se agota el TCAM de ACL?

• Las ACL siempre se aplican en el TCAM de hardware. Si TCAM ya está siendo utilizado por ACL previamente configuradas, las nuevas ACL no obtienen los recursos de ACL necesarios para programar.

• Si se agrega una ACL después de agotar TCAM, se descartan todos los paquetes para la interfaz a la que está conectada.

• La acción de mantener una ACL en el software se denomina Descarga.
• Cuando los recursos están disponibles, el switch automáticamente intenta programar las ACL en el hardware. Si es exitoso, las ACL se envían al hardware y los paquetes comienzan a reenviarse.
• La acción de programar una ACL controlada por software en TCAM se denomina Recarga.

• PACL, VACL, RACL y GACL pueden descargarse/recargarse independientemente entre sí.

Agotamiento de ACL TCAM

• La interfaz a la que se aplica la ACL recién agregada comienza a descartar paquetes hasta que los recursos de hardware estén disponibles.
• Los clientes GACL se colocan en el estado UnAuth.

Agotamiento de VCU

• Una vez superado el límite de L4OP o fuera de las VCU, el software realiza la expansión de ACL y crea nuevas entradas ACE para realizar una acción equivalente sin utilizar las VCU.
• Una vez que esto sucede, TCAM puede agotarse a partir de estas entradas agregadas.

Errores de Syslog ACL

Si se queda sin un recurso de ACL de seguridad determinado, el sistema genera mensajes SYSLOG (los valores pueden variar según la interfaz, la VLAN, la etiqueta, etc.).

Escenarios sin recursos y acciones de recuperación

Verificar la escalabilidad ACL

Esta sección trata sobre los comandos para determinar la escala ACL y la utilización TCAM.

Resumen de la lista de acceso FMAN:

Identifique las ACL configuradas y el recuento total de ACE por ACL.

9500H#show platform software access-list f0 summary
Access-list                          Index        Num Ref        Num ACEs
--------------------------------------------------------------------------
TEST                                 1            1              2        <-- ACL TEST contains 2 ACE entries 
ELSE                                 2            1              1
DENY                                 3            0              1

Uso de ACL:

9500H#show platform software fed active acl usage
########################################################
########                              ##################
#######      Printing Usage Infos      #################
########                              ##################
########################################################
##### ACE Software VMR max:196608 used:283 <-- Value/Mask/Result entry usage 
########################################################
==================================================================================================
Feature Type           ACL Type        Dir              Name                    Entries Used
VACL                   IPV4            Ingress          VACL                    4
<-- Type of ACL Feature, type of ACL, Direction ACL applied, name of ACL, and number of TCAM entries consumed 
==================================================================================================
Feature Type           ACL Type        Dir             Name                     Entries Used
RACL                   IPV4            Ingress         TEST                     5

Uso de TCAM (17.x):

El comando de uso TCAM tiene diferencias significativas entre los trenes 16.x y 17.x.

9500H#show platform hardware fed active fwd-asic resource tcam utilization
Codes: EM - Exact_Match, I - Input, O - Output, IO - Input & Output, NA - Not Applicable

CAM Utilization for ASIC [0]
 Table                   Subtype     Dir      Max     Used    %Used       V4       V6    MPLS   Other
 ------------------------------------------------------------------------------------------------------
 Security ACL Ipv4       TCAM        I        7168       16    0.22%      16        0       0        0
 Security ACL Non Ipv4   TCAM        I        5120       76    1.48%        0       36       0       40
 Security ACL Ipv4       TCAM       O        7168       18    0.25%       18        0       0        0
 Security ACL Non Ipv4   TCAM        O        8192       27    0.33%        0       22       0        5
<...snip...>

<-- Percentage used and other counters about ACL consumption 
<-- Dir = ACL direction (Input/Output ACl)

Uso de TCAM (16.x):

El comando de uso TCAM tiene diferencias significativas entre los trenes 16.x y 17.x.

C9300#show platform hardware fed switch active fwd-asic resource tcam utilization
CAM Utilization for ASIC [0]
 Table                                               Max Values      Used Values
--------------------------------------------------------------------------------
 Security Access Control Entries                       5120          126 <-- Total used of the Maximum 
<...snip...>

Plantilla SDM personalizada (reasignación TCAM)

Con Cisco IOS XE Bengaluru 17.4.1, puede configurar una plantilla SDM personalizada para las funciones ACL mediante el sdm prefer custom aclcomando.

9500H#show sdm prefer
Showing SDM Template Info

This is the Core template.                                                                   <-- Core SDM template in use 
  Security Ingress IPv4 Access Control Entries*:         7168  (current) - 7168  (proposed)  <-- IPv4 ACL maximum TCAM available
  Security Ingress Non-IPv4 Access Control Entries*:     5120  (current) - 5120  (proposed)
  Security Egress IPv4 Access Control Entries*:          7168  (current) - 7168  (proposed)
  Security Egress Non-IPv4 Access Control Entries*:      8192  (current) - 8192  (proposed)
  <...snip...>

9500H#show sdm prefer custom user-input
Custom Template Feature Values are not modified                                              <-- No customization to SDM 

• 9500H(config)#sdm prefer custom acl
  9500H(config-sdm-acl)#acl-ingress 26 priority 1 <— aplique un nuevo valor de 26 K. (prioridad descrita en la guía de configuración)
  9500H(config-sdm-acl)#acl-egress 20 priority 2
  9500H(config-sdm-acl)#exit
   show sdm prefer custom Utilícelo para ver los valores propuestos y sdm prefer custom commit para aplicar 'ver los cambios' a través de esta CLI.
• Verifique los cambios en el perfil de SDM.
• 9500H#show sdm prefer custom
  

Visualización de la información de plantilla de SDM:

Esta es la plantilla personalizada con sus detalles.
Entradas de control de acceso de seguridad de entrada*: 12288 (actual) - 26624 (propuesta) <— Uso actual y propuesto (26 000 propuestas)
Entradas de control de acceso de seguridad de salida*: 15360 (actual) - 20480 (propuesta)


9500H#show sdm prefer custom user-input

ENTRADA DE USUARIO DE FUNCIÓN ACL
Valores de entrada de usuario
==========================

ESCALA DE PRIORIDAD DE NOMBRE DE FUNCIÓN
--------------------------------------------------------------------------
Entradas de control de acceso de seguridad de entrada: 1 26*1024 <— Modificado por la entrada del usuario a 26 x 1024 (26 K)
Entradas de control de acceso de seguridad de salida: 2 20*1024 <— Modificado por la entrada del usuario a 20 x 1024 (20 000)

• Aplicar cambios al perfil de SDM.
• 9500H(config)#sdm prefer custom commit
  Los cambios en las preferencias de SDM en ejecución se almacenan y surten efecto en la próxima recarga. <— Una vez recargado, el TCAM de ACL se asigna a un valor personalizado.


Lectura adicional:

Orden de procesamiento de ACL:

Las ACL se procesan en este orden de origen a destino.

ACL programadas en una pila:

• Las ACL que no están basadas en puertos (por ejemplo, VACL, RACL) se aplican al tráfico en cualquier switch y se programan en todos los switches de la pila.

• Las ACL basadas en puerto se aplican solamente al tráfico en un puerto y se programan solamente en el switch que posee la interfaz.

• Las ACL son programadas por el switch activo y posteriormente se aplican a los switches miembros.

• Las mismas reglas se aplican a otras opciones de redundancia, como ISSU/SVL.


Expansión de ACL:

• La expansión de ACL se produce cuando el dispositivo se queda sin L4OPs, Lables o VCUs. El dispositivo debe crear múltiples ACE equivalentes para lograr la misma lógica y para agotar rápidamente TCAM.
• ### Los L4OP están a escala y se crea esta ACL ##
  9500H(config)#ip access-list extended TEST
  9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any gt 150 <— coincide con los puertos 151 y superiores
  
  
  ### Debe expandirse en varias ACE que no utilicen un L4OP ###
  9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 151
  9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 152
  9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 153
  9500H(config-ext-nacl)#permit tcp 10.0.0.0 0.255.255.255 any eq 154
  ...y más....

Consumo de TCAM y uso compartido de etiquetas:

• Una etiqueta hace referencia a cada política ACL internamente.

• Cuando se aplica una política de ACL (ACL de seguridad como GACL, PACL, VACL, RACL) a varias interfaces o VLAN, utiliza la misma etiqueta.

• La ACL de entrada/salida utiliza espacios de etiqueta diferentes.

• IPv4, IPv6 y MAC ACL utilizan otros espacios de etiquetas.

• La misma PACL se aplica a la entrada de la interfaz A y a la salida de la interfaz A. Hay dos instancias del PACL en el TCAM, cada una con una etiqueta única para Ingreso y Egreso.

• Si el mismo PACL con un L4OP se aplica a múltiples interfaces de ingreso que existen en cada núcleo, hay dos instancias del mismo PACL programadas en TCAM, una por cada núcleo.

Descripción de VMR:

Una ACE se programa internamente en TCAM como un 'VMR', también conocido como valor, máscara, resultado. Cada entrada ACE puede consumir VMR y VCU.

Escalabilidad de ACL:

Los recursos de ACL de seguridad están dedicados a las ACL de seguridad. No se comparten con otras funciones.

Información Relacionada

• Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9200)
• Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9300)
• Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9400)
• Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9500)
• Guía de configuración de seguridad, Cisco IOS XE Amsterdam 17.3.x (switches Catalyst 9600)
• Guía de configuración de administración del sistema, Cisco IOS XE Bengaluru 17.4.x (switches Catalyst 9500)
• Soporte técnico y descargas de Cisco

Comandos Debug y Trace