我有一个 N3K-C3064PQ-10GX，我的上游有 2 个 10g LACP 上行链路，我的接入交换机有 2 个 10G LACP 下行链路，我有 2 个 acl，其中一个已应用于 UPLINK 输入，其中一个已已应用于下行链路输入，每个访问列表都有大约 30-50 行用于控制数据包，因为我需要将特定流量丢弃到某些前缀，并且它们的两端都允许 IP 任何任何，所以我阅读了 3064 数据表，它显示它支持 2k 入口和 1k 出口 acl，我的网络上有大约 15g bps 和 4-5m pps，所以我想确保继续使用 acl 是否安全？我不需要担心 cpu 的使用情况？因为 iread 其他问题，看来我应该检查缓冲区而不是 cpu，谢谢，
关系访问列表性能
网络工程
cisco-nx-os
2022-02-15 10:44:30
1个回答
ACL 通常使用 TCAM 设备（三元内容可寻址存储器）实现，其中所有条目都以线速同时实时检查。在某些设备上，在端口上激活 ACL 会对端口的延迟产生微小的影响，但 ACL 条目/行的数量无关紧要。
物理上受限的 TCAM 大小是可检查的 ACL 条目硬限制的原因。CPU 仅在您记录（拒绝）命中时使用，因此 CPU 负载取决于记录频率。