Routerraren pinga eta VLAN ostalaria: zein PBR politika aplikatzen da?
Routerrak bidalitako ping bat ez da VLAN ostalari baten paketea, interfaze hori iturri izan arren. Egiaztatu ostalariaren fluxua politika zabaldu aurretik.
VLAN 10ek VPN erabili beharko luke eta VLAN 20ek WAN, beraz lehen proba routerretik egindako ping bat da, VLAN 10eko interfaze helbidea iturri gisa duena. Lortu egiten da, route-map kontagailuak handitzen dira eta denek diseinua funtzionatzen duela ondorioztatzen dute. Ez du funtzionatzen. Ping hori lokalki sortu zen, eta lokalki sortutako trafikoak VLAN interfazean iristen den pakete batek baino politika-loturako puntu desberdin batera iristen da.
Hiru baldintzak erabakitzen dute zein politika ari zaren probatzen: paketea non sortzen den, non sartzen den eta zerekin bat egiten duen.
Paketea non sartzen den erabakitzen du zein politika exekutatzen den
Interface route-map bat ip policy route-map erabiliz lotuta, interfaze horretara iristen diren paketeei aplikatzen zaie, IOS XE PBR gidak deskribatzen duen bezala. VLAN 10eko ostalari batek bere eskaera bidaltzen du, trama VLAN azpiinterfazera iristen da eta routerrak politika han ebaluatzen du. Routerraren beraren paketea ez da inoiz interfaze horretara iristen, routerrean sortu zelako.
VLAN helbidea iturri gisa aukeratzeak goiburua aldatzen du. Ez du jatorria aldatzen.
Zergatik iturridun pinga oraindik ez den ostalaria
Iturri helbidea garrantzitsua da ACL bat etortzeko, eta horixe da proba hain sinesgarria egiten duena. Paketeak iturri klausula batekin bat egiten du, kontagailuak handitzen dira eta irteerak zuzena dirudi. Proba ez da gai erakusteko zein den sarrera interfazea, iriste testuingurua edo ostalari pakete batek adar bera hartuko lukeen.
Bat etortzea baina testuingurua erreproduzitzen ez dituen proba batek diseinuaren erdia frogatzen du, eta erdi frogapen batekin bidaltzen dira diseinuak politika okerrarekin lotuta.
Noiz da politika lokala erantzun zuzena
Ciscok ip local policy route-map dokumentatzen du routerrak berak sortzen duen trafikorako. Hori bereizi gabeko esparru bat da, eta tresna egokia da baldintza routerraren beraren trafikoari buruzkoa denean. Ez da VLAN bideratze diseinu guztiek behar duten falta den urrats bat. Han bat etortze zabal batek kudeaketa eta laguntza konexioei ere eragin diezaieke, itxuraz baino aldaketa askoz handiagoa dena.
Lokalki sortutako TCPk aurretiazko baldintza bat du: helmuga sarrera aplikagarri bat behar du bideratze taulan, politikak beste bide bat hautatzen duenean ere. ICMP emaitza batek ez du TCPrako portaera bera frogatzen.
Zer probatu ostalarian horren ordez
Exekutatu proba VLAN 10eko ostalari baimendu batetik, bere benetako iturri helbidea, helmuga, protokoloa eta portua erabiliz. Erregistratu sarrera interfazea eta route-maparen bat etortzea emaitzarekin batera, ebidentziak exekutatu zen politika izenda dezan. Ondoren errepikatu VLAN 20eko ostalari batekin eta egiaztatu beste bidea hartzen duela.
Bi bideek next hop funtzionalak, itzulerako irisgarritasuna eta, dagokionean, VPN estaldura behar dituzte. PBRk aurreratze erabaki bat hautatzen du; ez du urruneko zerbitzua sortzen ez eta aplikazioari baimenik ematen.
Zer froga dezakeen emaitzak eta zer ez
Ostalariko fluxu arrakastatsu batek frogatzen du politikak bat egin zuela eta hautatutako bideak une horretan funtzionatu zuela. Ez du frogatzen routerraren beraren trafikoa gidatzen denik, ez eta aplikazioa baimenduta zegoenik, galdera desberdinak direlako eta ebidentzia desberdinak dituztelako.
Gorde pinga erregistroan pakete lokal bati buruzko ebidentzia gisa. Ondoren joan ostalariaren fluxuaren ebidentziaren bila, politika zabaldu beharrean bi probek antzeko itxura izan dezaten arte.