Limitação de hardware com as ACLs na série N, seguida de um exemplo real:
O cliente encontra o erro listado abaixo enquanto adiciona a lista de acesso.
"Erro encontrado aplicando a ACL ao HW. O limite do HW pode ter excedido."
Não se trata de um erro. Os switches da série N têm os seguintes limites de software ACL:
| Limitações de software ACL (A partir do firmware 6.3.1.8) |
Dell N1500 Série |
Dell N2000 Série |
Dell N3000 Série |
Dell N4000 Série |
| Número máximo de ACLs (qualquer tipo) | 100 | 100 | 100 | 100 |
| Número máximo de regras configuráveis por lista. | 1023 | 1023 | 1023 | 1023 |
| Máximo de regras de ACL por interface e direção (IPv4/L2) | 1023 (entrada) 1023 (saída) |
1023 (entrada) 1023 (saída) |
2048 (entrada) 1023 (saída) |
1023 (entrada) 1023 (saída) |
| Máximo de regras de ACL por interface e direção (IPv6) | 255 (entrada) 125 (saída) |
1023 (entrada) 509 (saída) |
1659 (entrada) 509 (saída) |
635 (entrada) 509 (saída) |
| Máximo de regras de ACL (em todo o sistema) | 3030 | 3914 | 3914 | 3060 |
| Máximo de interfaces VLAN com ACLs aplicadas | 24 | 24 | 24 | 24 |
| Máximo de regras de registros de ACL (em todo o sistema) | 128 | 128 | 128 | 128 |
Faixas de portas (destacadas em VERMELHO) NÃO são compatíveis com a interface de saída (egressão). O único operador de porta compatível com a saída é o operador "eq". Esta é uma limitação do hardware e não pode ser "concertada" por meio de correção de software.
ip access-list PrivateNetOUT
permit tcp any any range 22 23
permit tcp 172.25.242.0 0.0.0.255 any eq telnet
permit tcp 172.25.242.0 0.0.0.255 any eq 22
permit icmp any any
permit tcp 172.28.128.21 0.0.0.0 eq 445 10.10.2.0 0.0.0.255
permit tcp 172.25.53.77 0.0.0.0 any
permit udp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255
permit tcp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255
permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 eq 445
permit udp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 eq 445
permit udp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit udp 172.25.2.81 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp
permit udp 172.25.254.1 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp
permit tcp any 10.10.2.49 0.0.0.0 eq 5160
permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.51 0.0.0.0
permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.43 0.0.0.0
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq 1025
permit udp any 10.10.2.49 0.0.0.0 eq 5160
permit tcp 172.28.128.13 0.0.0.0 eq 1433 any
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq 1025
permit tcp 172.28.129.13 0.0.0.0 10.10.2.0 0.0.0.255 eq 1433
permit tcp 172.28.128.0 0.0.3.255 10.10.2.49 0.0.0.0 eq 1433
permit tcp 172.28.128.124 0.0.0.0 eq ftp-data 10.10.2.0 0.0.0.255