Ruuteri ping vs VLAN-host: milline PBR-poliitika kehtib?

VLAN 10 peaks kasutama VPN-i ja VLAN 20 WAN-i, seega esimene test on ping ruuterist, mille allikaks on VLAN 10 liidese aadress. See õnnestub, route-map loendurid suurenevad ja kõik järeldavad, et disain töötab. See ei tööta. See ping genereeriti lokaalselt ja lokaalselt genereeritud liiklus jõuab teise poliitika kinnituspunkti kui VLAN-liidesele saabuv pakett.

Kolm tingimust otsustavad, millist poliitikat te tegelikult testite: kus pakett luuakse, kus see siseneb ja millega see sobib.

Koht, kus pakett siseneb, otsustab, milline poliitika käivitub

Liidese route-map, mis on lisatud käsuga ip policy route-map, kehtib sellele liidesele saabuvate pakettide kohta, nagu kirjeldab IOS XE PBR juhend. VLAN 10 host saadab oma päringu, kaader saabub VLAN-i alamliidesele ja ruuter hindab poliitikat seal. Ruuteri enda pakett ei saabu sellele liidesele kunagi, sest see sündis ruuteris.

VLAN-aadressi allikana valimine muudab päist. See ei muuda päritolu.

Miks allikaga ping ei ole ikka veel host

Allikaaadress on ACL-i sobivuse jaoks oluline ja just see teeb testi nii veenvaks. Pakett vastab allikaklauslile, loendurid suurenevad ja väljund näeb õige välja. Test ei saa näidata sisendliidest, saabumise konteksti ega seda, kas hosti pakett valiks sama haru.

Test, mis taastoodab sobivuse, kuid mitte konteksti, tõestab pool disaini, ja just poole tõestusega lähevad disainid tootmisse vale poliitikaga.

Millal on lokaalne poliitika õige vastus

Cisco dokumenteerib ip local policy route-map liikluse jaoks, mida ruuter ise genereerib. See on eraldi ulatus ja õige tööriist, kui nõue puudutab tõesti ruuteri enda liiklust. See ei ole puuduv samm, mida iga VLAN-i juhtimise disain vajab. Lai sobivus võib seal mõjutada ka haldus- ja tugiühendusi, mis on palju suurem muudatus, kui tundub.

Lokaalselt genereeritud TCP-l on täiendav eeltingimus: see vajab marsruutimistabelis kohaldatavat sihtkoha kirjet ka siis, kui poliitika valib teise tee. ICMP tulemus ei tõesta TCP puhul sama käitumist.

Mida selle asemel hostil testida

Käivitage test volitatud VLAN 10 hostist selle tegeliku allikaaadressi, sihtkoha, protokolli ja pordiga. Registreerige sisendliides ja route-map sobivus tulemuse kõrvale, et tõend nimetaks poliitika, mis käivitus. Seejärel korrake VLAN 20 hostiga ja kinnitage, et see valib teise tee.

Mõlemad teed vajavad töötavaid next hop-e, tagasitee kättesaadavust ja vajaduse korral VPN-i katvust. PBR valib edastusotsuse; see ei loo kaugteenust ega anna rakendusele luba.

Mida tulemus võib ja ei või tõestada

Edukas hosti voog tõestab, et poliitika sobis ja valitud tee töötas sel hetkel. See ei tõesta, et ruuteri enda liiklust juhitakse, ega seda, et rakendus oli volitatud, sest need on erinevad küsimused erinevate tõenditega.

Hoidke ping kirjes tõendina lokaalse paketi kohta. Seejärel minge hankima hosti voo tõendit, selle asemel et laiendada poliitika ulatust, kuni kaks testi juhtumisi sarnaseks muutuvad.