Ping του δρομολογητή ή ξενιστή VLAN: ποια πολιτική PBR ισχύει;

Το VLAN 10 θα πρέπει να χρησιμοποιεί το VPN και το VLAN 20 το WAN, οπότε η πρώτη δοκιμή είναι ένα ping από τον δρομολογητή με τη διεύθυνση διεπαφής του VLAN 10 ως πηγή. Πετυχαίνει, οι μετρητές του route-map αυξάνονται και όλοι συμπεραίνουν ότι ο σχεδιασμός λειτουργεί. Δεν λειτουργεί. Αυτό το ping δημιουργήθηκε τοπικά, και η τοπικά δημιουργημένη κίνηση φτάνει σε διαφορετικό σημείο προσάρτησης πολιτικής από ένα πακέτο που φτάνει στη διεπαφή VLAN.

Τρεις συνθήκες καθορίζουν ποια πολιτική δοκιμάζετε πραγματικά: πού δημιουργείται το πακέτο, πού εισέρχεται και με τι αντιστοιχεί.

Το σημείο εισόδου του πακέτου καθορίζει ποια πολιτική εκτελείται

Ένα route-map διεπαφής που προσαρτάται με ip policy route-map εφαρμόζεται σε πακέτα που φτάνουν σε αυτή τη διεπαφή, όπως περιγράφει ο οδηγός PBR του IOS XE. Ένας host στο VLAN 10 στέλνει το αίτημά του, το πλαίσιο φτάνει στην υποδιεπαφή VLAN και ο δρομολογητής αξιολογεί την πολιτική εκεί. Το ίδιο το πακέτο του δρομολογητή δεν φτάνει ποτέ σε αυτή τη διεπαφή, επειδή γεννήθηκε μέσα στον δρομολογητή.

Η επιλογή της διεύθυνσης VLAN ως πηγής αλλάζει την κεφαλίδα. Δεν αλλάζει την προέλευση.

Γιατί το ping με πηγή εξακολουθεί να μην είναι ο host

Η διεύθυνση πηγής έχει σημασία για μια αντιστοίχιση ACL, και αυτό ακριβώς κάνει τη δοκιμή τόσο πειστική. Το πακέτο αντιστοιχεί σε μια ρήτρα πηγής, οι μετρητές αυξάνονται και η έξοδος φαίνεται σωστή. Αυτό που δεν μπορεί να δείξει η δοκιμή είναι η διεπαφή εισόδου, το πλαίσιο άφιξης ή αν ένα πακέτο του host θα ακολουθούσε τον ίδιο κλάδο.

Μια δοκιμή που αναπαράγει την αντιστοίχιση αλλά όχι το πλαίσιο αποδεικνύει τη μισή σχεδίαση, και με μισή απόδειξη οι σχεδιάσεις κυκλοφορούν με τη λάθος πολιτική.

Πότε μια τοπική πολιτική είναι η σωστή απάντηση

Η Cisco τεκμηριώνει το ip local policy route-map για κίνηση που δημιουργεί ο ίδιος ο δρομολογητής. Αυτό είναι ξεχωριστό πεδίο, και είναι το σωστό εργαλείο όταν η απαίτηση αφορά πραγματικά την κίνηση του ίδιου του δρομολογητή. Δεν είναι ένα βήμα που λείπει και χρειάζεται κάθε σχεδίαση κατεύθυνσης VLAN. Η ευρεία αντιστοίχιση εκεί μπορεί επίσης να επηρεάσει συνδέσεις διαχείρισης και υποστήριξης, κάτι που είναι πολύ μεγαλύτερη αλλαγή απ’ ό,τι φαίνεται.

Το τοπικά δημιουργημένο TCP έχει μια πρόσθετη προϋπόθεση: χρειάζεται μια εφαρμόσιμη καταχώρηση προορισμού στον πίνακα δρομολόγησης ακόμη και όταν η πολιτική επιλέγει άλλη διαδρομή. Ένα αποτέλεσμα ICMP δεν αποδεικνύει την ίδια συμπεριφορά για το TCP.

Τι να δοκιμάσετε αντ’ αυτού στον host

Εκτελέστε τη δοκιμή από έναν εξουσιοδοτημένο host στο VLAN 10, με την πραγματική διεύθυνση πηγής, τον προορισμό, το πρωτόκολλο και τη θύρα του. Καταγράψτε τη διεπαφή εισόδου και την αντιστοίχιση του route-map δίπλα στο αποτέλεσμα, ώστε η απόδειξη να ονομάζει την πολιτική που εκτελέστηκε. Στη συνέχεια επαναλάβετε για έναν host στο VLAN 20 και επιβεβαιώστε ότι παίρνει την άλλη διαδρομή.

Και οι δύο διαδρομές χρειάζονται λειτουργικά next hop, προσβασιμότητα επιστροφής και, όπου ισχύει, κάλυψη VPN. Το PBR επιλέγει μια απόφαση προώθησης· δεν δημιουργεί την απομακρυσμένη υπηρεσία ούτε δίνει άδεια στην εφαρμογή.

Τι μπορεί και τι δεν μπορεί να αποδείξει το αποτέλεσμα

Μια επιτυχημένη ροή host αποδεικνύει ότι η πολιτική αντιστοίχισε και ότι η επιλεγμένη διαδρομή λειτούργησε εκείνη τη στιγμή. Δεν αποδεικνύει ότι κατευθύνεται η κίνηση του ίδιου του δρομολογητή, ούτε ότι η εφαρμογή ήταν εξουσιοδοτημένη, επειδή αυτά είναι διαφορετικά ερωτήματα με διαφορετικές αποδείξεις.

Κρατήστε το ping στο αρχείο ως απόδειξη για ένα τοπικό πακέτο. Στη συνέχεια πηγαίνετε να πάρετε την απόδειξη της ροής του host, αντί να διευρύνετε το εύρος της πολιτικής μέχρι οι δύο δοκιμές να μοιάζουν τυχαία.