Router pinqi və VLAN hostu: hansı PBR siyasəti tətbiq olunur?
Routerin göndərdiyi pinq VLAN hostundan gələn paket deyil, hətta həmin interfeys mənbə olsa belə. Siyasətin əhatəsini genişləndirməzdən əvvəl hostun axınını yoxlayın.
VLAN 10 VPN, VLAN 20 isə WAN istifadə etməlidir, ona görə də ilk sınaq VLAN 10 interfeys ünvanının mənbə kimi göstərildiyi router pinqidir. Uğurlu olur, route-map sayğacları artır və hamı dizaynın işlədiyi qənaətinə gəlir. İşləmir. Bu pinq lokal olaraq yaradılıb və lokal yaradılan trafik VLAN interfeysinə gələn paketdən fərqli siyasət bağlama nöqtəsinə çatır.
Həqiqətən hansı siyasəti sınaqdan keçirdiyinizi üç şərt müəyyən edir: paket harada yaradılır, hara daxil olur və nə ilə uyğunlaşır.
Paketin daxil olduğu yer hansı siyasətin işləyəcəyini müəyyən edir
ip policy route-map ilə əlavə edilmiş interfeys route-map həmin interfeysə gələn paketlərə tətbiq olunur, IOS XE PBR təlimatı təsvir etdiyi kimi. VLAN 10 hostu sorğusunu göndərir, kadr VLAN alt interfeysinə gəlir və router siyasəti orada qiymətləndirir. Routerin öz paketi heç vaxt həmin interfeysə gəlmir, çünki o, routerdə doğulub.
VLAN ünvanını mənbə seçmək başlığı dəyişir. Mənşəyi dəyişmir.
Mənbəli pinq hələ də host deyil, niyə
Mənbə ünvanı ACL uyğunluğu üçün vacibdir və sınağı məhz buna görə bu qədər inandırıcı edir. Paket mənbə şərtinə uyğun gəlir, sayğaclar artır və çıxış düzgün görünür. Sınağın göstərə bilmədiyi şey giriş interfeysi, gəliş konteksti və ya host paketinin eyni qolu seçəcəyidir.
Uyğunluğu təkrarlayan, lakin konteksti təkrarlamayan sınaq dizaynın yarısını sübut edir və yarım sübutla dizaynlar səhv siyasətlə istehsala çıxır.
Lokal siyasət nə vaxt düzgün cavabdır
Cisco routerin özünün yaratdığı trafik üçün ip local policy route-map sənədləşdirir. Bu ayrı əhatədir və tələb həqiqətən routerin öz trafikinə aid olduqda düzgün alətdir. Bu, hər VLAN yönləndirmə dizaynının ehtiyac duyduğu çatışmayan addım deyil. Orada geniş uyğunluq idarəetmə və köməkçi bağlantılara da təsir edə bilər ki, bu göründüyündən qat-qat böyük dəyişiklikdir.
Lokal yaradılan TCP-nin əlavə ilkin şərti var: siyasət başqa yol seçsə də, ona marşrutlaşdırma cədvəlində tətbiq olunan təyinat yazısı lazımdır. ICMP nəticəsi TCP üçün eyni davranışı sübut etmir.
Əvəzində hostda nəyi sınamaq lazımdır
Sınağı VLAN 10-dakı səlahiyyətli hostdan onun real mənbə ünvanı, təyinatı, protokolu və portu ilə işə salın. Nəticənin yanında giriş interfeysini və route-map uyğunluğunu qeyd edin ki, sübut işləyən siyasətin adını çəksin. Sonra VLAN 20 hostu üçün təkrarlayın və onun digər yolu seçdiyini təsdiqləyin.
Hər iki yol işlək next hop, geri çatımlılıq və tətbiq olunduqda VPN əhatəsi tələb edir. PBR ötürmə qərarı seçir; o, uzaq xidməti yaratmır və tətbiqə icazə vermir.
Nəticə nəyi sübut edə bilər və nəyi bilməz
Uğurlu host axını siyasətin uyğunlaşdığını və seçilən yolun o anda işlədiyini sübut edir. O, routerin öz trafikinin yönləndirildiyini sübut etmir və tətbiqin səlahiyyətli olduğunu da sübut etmir, çünki bunlar fərqli sübutlara malik fərqli suallardır.
Pinqi qeyddə lokal paket haqqında sübut kimi saxlayın. Sonra iki sınaq təsadüfən eyni görünənə qədər siyasətin əhatəsini genişləndirmək əvəzinə host axınının sübutunu almağa gedin.