S5500系列交换机硬件ACL实现机制说明

1、硬件ACL资源

S5500中各类规则存在于一个全局TCAM表中，分为16个slice（每个slice有256个entry），每个slice在匹配过程中只能生成一个动作，最终动作由16个slice中最高优先级slice动作指定。

（1）单个slice匹配能力不足时，可以使用奇偶数slice进行double匹配

（2）每种匹配组合对相同slice（double）内所有entry生效

（3）每个slice（double）内仅能按照index从小到大命中一条entry

（4）可以命中不同slice（double）内的不同entry

（5）出现冲突动作时，以slice index大的entry为准

报文匹配流程说明如下：

第一步：根据报文类型、端口当前下发配置自动获取报文信息

第二步：生成key，在16个slice中并行查找，每slice中最低位置优先匹配，如有匹配则该slice终止查找

第三步：根据匹配位置，得到动作内容

第四步：根据动作中统计及Meter索引，执行相应动作

第五步：动作冲突检查。如各slice间动作不冲突，则取所有动作，如冲突则取序号大的slice动作。但Drop、Redirect动作除外，Drop和Redirect动作享有最高优先级，而不管slice序号。H3C软件平台通过强制冲突处理，保证用户下发配置先下发先生效。

2、规则优先级（端口>VLAN>全局）

由于系统中各类规则匹配优先级不同，定义顺序如下图。

说明：

（1）同颜色规则类型可共用slice，就是可存在覆盖关系；不同颜色规则类型不存在覆盖关系。

（2）相同类型内部按照先下发先生效排序。

（3）不同端口下发相同内容POLICY，可以共享一条硬件ENTRY资源，带有CAR、ACCOUNT动作的POLICY除外。