پینگ روتر در برابر میزبان VLAN: کدام سیاست PBR اعمال می‌شود؟

VLAN 10 باید از VPN استفاده کند و VLAN 20 از WAN، بنابراین نخستین آزمایش، پینگی از روتر با نشانی رابط VLAN 10 به‌عنوان مبدأ است. موفق می‌شود، شمارنده‌های route-map افزایش می‌یابند و همه نتیجه می‌گیرند که طراحی کار می‌کند. اما کار نمی‌کند. آن پینگ به‌صورت محلی تولید شده بود، و ترافیک تولیدشده محلی به نقطه اتصال سیاستی متفاوت از بسته‌ای می‌رسد که روی رابط VLAN وارد می‌شود.

سه شرط تعیین می‌کند واقعاً کدام سیاست را آزمایش می‌کنید: بسته کجا ایجاد می‌شود، از کجا وارد می‌شود و با چه چیزی مطابقت دارد.

اینکه بسته از کجا وارد می‌شود تعیین می‌کند کدام سیاست اجرا شود

route-map رابطی که با ip policy route-map متصل شده برای بسته‌هایی اعمال می‌شود که به آن رابط می‌رسند، همان‌گونه که راهنمای PBR در IOS XE توضیح می‌دهد. میزبان در VLAN 10 درخواست خود را می‌فرستد، فریم به زیررابط VLAN می‌رسد و روتر سیاست را همان‌جا ارزیابی می‌کند. بسته خود روتر هرگز به آن رابط نمی‌رسد، چون در داخل روتر زاده شده است.

انتخاب نشانی VLAN به‌عنوان مبدأ سرآیند را تغییر می‌دهد. اما خاستگاه را تغییر نمی‌دهد.

چرا پینگ با مبدأ هنوز میزبان نیست

نشانی مبدأ برای تطبیق ACL اهمیت دارد، و همین است که آزمایش را این‌قدر قانع‌کننده می‌کند. بسته با یک شرط مبدأ مطابقت می‌کند، شمارنده‌ها بالا می‌روند و خروجی درست به نظر می‌رسد. آنچه آزمایش نمی‌تواند نشان دهد رابط ورودی، بافت ورود، یا اینکه بسته میزبان همان شاخه را می‌گیرد یا نه است.

آزمایشی که تطبیق را بازتولید می‌کند اما بافت را نه، نیمی از طراحی را اثبات می‌کند، و طرح‌ها با همین نیم دلیل با سیاست نادرست عرضه می‌شوند.

چه زمانی سیاست محلی پاسخ درست است

Cisco ip local policy route-map را برای ترافیکی مستند می‌کند که خود روتر تولید می‌کند. این دامنه‌ای جداگانه است و ابزار درست زمانی است که نیاز واقعاً به ترافیک خود روتر مربوط باشد. این یک گام جاافتاده نیست که هر طراحی هدایت VLAN به آن نیاز داشته باشد. تطبیق گسترده در آنجا می‌تواند بر اتصال‌های مدیریت و پشتیبانی هم اثر بگذارد، که تغییری بسیار بزرگ‌تر از آنچه به نظر می‌رسد است.

TCP تولیدشده محلی یک پیش‌نیاز اضافی دارد: حتی وقتی سیاست مسیر دیگری را انتخاب می‌کند، به یک ورودی مقصد قابل‌اعمال در جدول مسیریابی نیاز دارد. نتیجه ICMP همان رفتار را برای TCP اثبات نمی‌کند.

در عوض روی میزبان چه چیزی را آزمایش کنیم

آزمایش را از میزبانی مجاز در VLAN 10، با نشانی مبدأ واقعی، مقصد، پروتکل و درگاه آن اجرا کنید. رابط ورودی و تطبیق route-map را کنار نتیجه ثبت کنید تا شواهد نام سیاستی را که اجرا شده ببرد. سپس آن را برای میزبانی در VLAN 20 تکرار کنید و تأیید کنید که مسیر دیگر را می‌گیرد.

هر دو مسیر به next hop سالم، دسترسی برگشت و در صورت لزوم پوشش VPN نیاز دارند. PBR یک تصمیم ارسال را انتخاب می‌کند؛ سرویس دور را ایجاد نمی‌کند و به برنامه اجازه نمی‌دهد.

نتیجه چه چیزی را می‌تواند و چه چیزی را نمی‌تواند اثبات کند

جریان موفق میزبان اثبات می‌کند که سیاست مطابقت داشت و مسیر انتخاب‌شده در آن لحظه کار می‌کرد. اما اثبات نمی‌کند که ترافیک خود روتر هدایت می‌شود، و اثبات نمی‌کند که برنامه مجاز بوده، چون این‌ها پرسش‌های متفاوتی با شواهد متفاوت‌اند.

پینگ را در سابقه به‌عنوان شاهدی درباره یک بسته محلی نگه دارید. سپس بروید شاهد جریان میزبان را بگیرید، به‌جای اینکه دامنه سیاست را تا زمانی که دو آزمایش تصادفاً شبیه هم شوند گسترش دهید.