Аппаратные ограничения списков управления доступом (ACL) для коммутаторов N-Series можно проиллюстрировать на реальном примере:
Добавляя список управления доступом, заказчик получил указанное далее сообщение об ошибке.
«Ошибка применения ACL для оборудования. Возможно, превышено аппаратное ограничение».
Это не ошибка. Коммутаторы N-Series имеют следующие программные ограничения ACL:
| Программные ограничения ACL (начиная с микропрограммы версии 6.3.1.8) |
Dell N1500 Series |
Dell N2000 Series |
Dell N3000 Series |
Dell N4000 Series |
| Макс. количество списков управления доступом (любого типа) | 100 | 100 | 100 | 100 |
| Макс. количество настраиваемых правил в каждом списке. | 1023 | 1023 | 1023 | 1023 |
| Макс. количество правил ACL для интерфейса и направления (IPv4/L2) | 1023 (на входе) 1023 (на выходе) |
1023 (на входе) 1023 (на выходе) |
2048 (на входе) 1023 (на выходе) |
1023 (на входе) 1023 (на выходе) |
| Макс. количество правил ACL для интерфейса и направления (IPv6) | 255 (на входе) 125 (на выходе) |
1023 (на входе) 509 (на выходе) |
1659 (на входе) 509 (на выходе) |
635 (на входе) 509 (на выходе) |
| Макс. количество правил ACL (для всей системы) | 3030 | 3914 | 3914 | 3060 |
| Макс. количество интерфейсов VLAN с применяемыми списками ACL | 24 | 24 | 24 | 24 |
| Макс. количество правил регистрации ACL (для всей системы) | 128 | 128 | 128 | 128 |
Диапазоны портов, выделенные красным цветом, не поддерживаются на выходных интерфейсах. Единственный оператор порта, поддерживаемый на выходе, — оператор eq. Это аппаратное ограничение, которое нельзя «исправить» путем исправления программы.
ip access-list PrivateNetOUT
permit tcp any any range 22 23
permit tcp 172.25.242.0 0.0.0.255 any eq telnet
permit tcp 172.25.242.0 0.0.0.255 any eq 22
permit icmp any any
permit tcp 172.28.128.21 0.0.0.0 eq 445 10.10.2.0 0.0.0.255
permit tcp 172.25.53.77 0.0.0.0 any
permit udp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255
permit tcp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255
permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 eq 445
permit udp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 eq 445
permit udp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139
permit udp 172.25.2.81 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp
permit udp 172.25.254.1 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp
permit tcp any 10.10.2.49 0.0.0.0 eq 5160
permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.51 0.0.0.0
permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.43 0.0.0.0
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp-data
permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp
permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq 1025
permit udp any 10.10.2.49 0.0.0.0 eq 5160
permit tcp 172.28.128.13 0.0.0.0 eq 1433 any
permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq 1025
permit tcp 172.28.129.13 0.0.0.0 10.10.2.0 0.0.0.255 eq 1433
permit tcp 172.28.128.0 0.0.3.255 10.10.2.49 0.0.0.0 eq 1433
permit tcp 172.28.128.124 0.0.0.0 eq ftp-data 10.10.2.0 0.0.0.255