Série N e as limitações de hardware ACL

Limitação de hardware com as ACLs na série N, seguida de um exemplo real:

O cliente encontra o erro listado abaixo enquanto adiciona a lista de acesso.

"Erro encontrado aplicando a ACL ao HW. O limite do HW pode ter excedido."

Não se trata de um erro. Os switches da série N têm os seguintes limites de software ACL:

Faixas de portas (destacadas em VERMELHO) NÃO são compatíveis com a interface de saída (egressão). O único operador de porta compatível com a saída é o operador "eq". Esta é uma limitação do hardware e não pode ser "concertada" por meio de correção de software.

ip access-list PrivateNetOUT

permit tcp any any range 22 23

permit tcp 172.25.242.0 0.0.0.255 any eq telnet

permit tcp 172.25.242.0 0.0.0.255 any eq 22

permit icmp any any

permit tcp 172.28.128.21 0.0.0.0 eq 445 10.10.2.0 0.0.0.255

permit tcp 172.25.53.77 0.0.0.0 any

permit udp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255

permit tcp 172.28.128.21 0.0.0.0 range 135 139 10.10.2.0 0.0.0.255            

permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 eq 445

permit udp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139

permit tcp 172.28.129.63 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139

permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 eq 445

permit udp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139

permit tcp 172.28.129.64 0.0.0.0 10.10.2.0 0.0.0.255 range 135 139

permit udp 172.25.2.81 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp

permit udp 172.25.254.1 0.0.0.0 10.10.2.0 0.0.0.255 eq ntp

permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp-data

permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq ftp

permit tcp any 10.10.2.49 0.0.0.0 eq 5160

permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.51 0.0.0.0

permit tcp 172.28.128.124 0.0.0.0 eq 1025 10.10.2.43 0.0.0.0

permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp-data

permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq ftp

permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp-data

permit tcp 172.28.128.124 0.0.0.0 10.10.2.52 0.0.0.0 eq ftp

permit tcp 172.28.128.124 0.0.0.0 10.10.2.43 0.0.0.0 eq 1025

permit udp any 10.10.2.49 0.0.0.0 eq 5160

permit tcp 172.28.128.13 0.0.0.0 eq 1433 any

permit tcp 172.28.128.124 0.0.0.0 10.10.2.51 0.0.0.0 eq 1025

permit tcp 172.28.129.13 0.0.0.0 10.10.2.0 0.0.0.255 eq 1433

permit tcp 172.28.128.0 0.0.3.255 10.10.2.49 0.0.0.0 eq 1433           

permit tcp 172.28.128.124 0.0.0.0 eq ftp-data 10.10.2.0 0.0.0.255