Пінг маршрутызатара супраць хоста VLAN: якая палітыка PBR дзейнічае?

VLAN 10 павінен выкарыстоўваць VPN, а VLAN 20 — WAN, таму першая праверка — гэта пінг з маршрутызатара з адрасам інтэрфейсу VLAN 10 у якасці крыніцы. Ён праходзіць, лічыльнікі route-map растуць, і ўсе робяць выснову, што праект працуе. Ён не працуе. Гэты пінг быў згенераваны лакальна, а лакальна згенераваны трафік трапляе ў іншую кропку далучэння палітыкі, чым пакет, які прыходзіць на інтэрфейс VLAN.

Тры ўмовы вызначаюць, якую палітыку вы насамрэч правяраеце: дзе ствараецца пакет, дзе ён уваходзіць і чаму адпавядае.

Кропка ўваходу пакета вызначае, якая палітыка выконваецца

Route-map інтэрфейсу, далучаная з дапамогай ip policy route-map, ужываецца да пакетаў, якія прыходзяць на гэты інтэрфейс, як апісвае кіраўніцтва па PBR для IOS XE. Хост у VLAN 10 адпраўляе запыт, кадр прыходзіць на субынтэрфейс VLAN, і маршрутызатар ацэньвае палітыку там. Уласны пакет маршрутызатара ніколі не прыходзіць на гэты інтэрфейс, бо ён нарадзіўся ў маршрутызатары.

Выбар адраса VLAN у якасці крыніцы змяняе загаловак. Ён не змяняе паходжанне.

Чаму пінг з крыніцай усё яшчэ не хост

Адрас крыніцы важны для супадзення з ACL, і менавіта гэта робіць праверку такой пераканаўчай. Пакет супадае з умовай крыніцы, лічыльнікі растуць, і вывад выглядае правільным. Праверка не можа паказаць уваходны інтэрфейс, кантэкст з’яўлення або тое, ці выбраў бы пакет хоста тую ж галіну.

Праверка, якая ўзнаўляе супадзенне, але не кантэкст, даказвае палову праекта, і менавіта з паловай доказу праекты выходзяць у працу з няправільнай палітыкай.

Калі лакальная палітыка — правільны адказ

Cisco дакументуе ip local policy route-map для трафіку, які маршрутызатар генеруе сам. Гэта асобная вобласць, і гэта правільны інструмент, калі патрабаванне сапраўды датычыцца ўласнага трафіку маршрутызатара. Гэта не адсутны крок, які патрэбны кожнаму праекту кіравання VLAN. Шырокае супадзенне там таксама можа закрануць кіраўнічыя і дапаможныя злучэнні, што з’яўляецца значна большай зменай, чым здаецца.

Лакальна згенераваны TCP мае дадатковую ўмову: яму патрэбны прыдатны запіс прызначэння ў табліцы маршрутызацыі, нават калі палітыка выбірае іншы шлях. Вынік ICMP не даказвае такой жа паводзіны для TCP.

Што замест гэтага правяраць на хосце

Запусціце праверку з аўтарызаванага хоста ў VLAN 10, з ягоным рэальным адрасам крыніцы, прызначэннем, пратаколам і портам. Запішыце ўваходны інтэрфейс і супадзенне route-map побач з вынікам, каб доказ называў палітыку, якая выканалася. Затым паўтарыце для хоста ў VLAN 20 і пацвердзіце, што ён выбірае іншы шлях.

Абодва шляхі патрабуюць працоўных next hop, зваротнай дасягальнасці і, дзе датычна, пакрыцця VPN. PBR выбірае рашэнне аб перасылцы; ён не стварае аддаленую службу і не дае праграме дазвол.

Што вынік можа і чаго не можа даказаць

Паспяховы паток хоста даказвае, што палітыка супала і выбраны шлях працаваў у той момант. Ён не даказвае, што трафік самога маршрутызатара накіроўваецца, і не даказвае, што праграма была аўтарызавана, бо гэта розныя пытанні з рознымі доказамі.

Захавайце пінг у запісе як доказ пра лакальны пакет. Затым ідзіце па доказ патоку хоста, замест таго каб пашыраць вобласць палітыкі, пакуль дзве праверкі выпадкова не стануць падобнымі.