N7K的ACL数量是否会影响设备性能

[dinosaur0606]

当前设备为cisco的N7K，请教一下，在PBR中引用的acl，该acl的数量是否有限制？acl的数量多少是否会影响到设备的性能？是否有相关的参数文档之类的？比如该型号设备acl数量上限是多少，引用pbr中acl数量应该设置在什么范围内

[Rps-Cheers]

1.设备支持的ACL条目是有限制的。ACL也是设备支持的性能的一部分。

The maximum number of supported IP ACL entries is 64,000 for devices without an XL line card and 128,000 for devices with an XL line card.

这些说明通常来配置文档中会有limitation的说明。例如如上说明就在如下链接中：

https://www.cisco.com/c/en/us/td/docs/switches/datacenter/nexus7000/sw/security/config/cisco_nexus7000_security_config_guide_8x/configuring_ip_acls.html

正常的情况，即便在企业中的一般需求，也不至于会消耗Nexus7K多少性能，所以如果类似于几百条的ACL的条目的配置需求，就无需担心了。

[ilay]

n9k上有个show hardware capacity 可以查看部分资源的分配情况，n7k大概率也有这个命令吧？

如果是应用到接口的acl应该会受到各个板卡特性的限制，应用于route-map的acl应该没什么太多限制

route-map中单个条目可以写的acl数量最大是63，这个在写match ip addess之后敲问号就可以看到提示消息

n9k-1(config-route-map)# match ip address ?
WORD IP access-list name (for use in route-maps for PBR only) (Max Size 63)
prefix-list Match entries of prefix-lists

n9k-1(config-route-map)# end

route-map的条目数取值范围是0-65535，步进大小是10.数量应该够用了。

n9k-1(config)# route-map aa ?
<CR>
<0-65535> Sequence to insert to/delete from existing route-map entry
*Default value is 10
deny Route map denies set operations
permit Route map permits set operations

n9k-1(config)#

[littlebearlove]

大部分企业级别的ACL使用是不会影响的设备性能/达到限制的。计算到达限制的ACL条目数量比较复杂，因为不同写法的ACL（加端口号，不加端口号）对于TCAM的写入大小是有区别的。