פינג מהנתב מול מארח VLAN: איזו מדיניות PBR חלה?

VLAN 10 אמור להשתמש ב-VPN ו-VLAN 20 ב-WAN, ולכן הבדיקה הראשונה היא פינג מהנתב עם כתובת הממשק של VLAN 10 כמקור. הוא מצליח, מוני ה-route-map עולים, וכולם מסיקים שהתכנון עובד. הוא לא עובד. הפינג הזה נוצר באופן מקומי, ותעבורה שנוצרת מקומית מגיעה לנקודת חיבור מדיניות שונה מזו של חבילה שנכנסת בממשק ה-VLAN.

שלושה תנאים קובעים איזו מדיניות אתם באמת בודקים: היכן החבילה נוצרת, היכן היא נכנסת ומה היא מתאימה לו.

היכן החבילה נכנסת קובע איזו מדיניות פועלת

route-map של ממשק שמחובר באמצעות ip policy route-map חל על חבילות שנכנסות באותו ממשק, כפי שמתאר מדריך ה-PBR של IOS XE. מארח ב-VLAN 10 שולח את הבקשה שלו, המסגרת מגיעה לממשק המשנה של VLAN, והנתב מעריך את המדיניות שם. החבילה של הנתב עצמו אף פעם לא מגיעה לאותו ממשק, כי היא נולדה בתוך הנתב.

בחירת כתובת ה-VLAN כמקור משנה את הכותרת. היא לא משנה את המקור.

למה הפינג עם מקור עדיין אינו המארח

כתובת המקור חשובה להתאמת ACL, וזה בדיוק מה שהופך את הבדיקה לכל כך משכנעת. החבילה מתאימה לתנאי מקור, המונים עולים, והפלט נראה נכון. מה שהבדיקה לא יכולה להראות הוא ממשק הכניסה, הקשר ההגעה, או אם חבילת מארח הייתה בוחרת באותו ענף.

בדיקה שמשחזרת את ההתאמה אך לא את ההקשר מוכיחה חצי מהתכנון, ועם חצי הוכחה תכנונים יוצאים עם המדיניות הלא נכונה.

מתי מדיניות מקומית היא התשובה הנכונה

Cisco מתעדת ip local policy route-map עבור תעבורה שהנתב עצמו מייצר. זהו היקף נפרד, וזהו הכלי הנכון כאשר הדרישה באמת נוגעת לתעבורה של הנתב עצמו. זה לא שלב חסר שכל תכנון הכוונת VLAN זקוק לו. התאמה רחבה שם יכולה להשפיע גם על חיבורי ניהול ותמיכה, וזה שינוי גדול בהרבה ממה שזה נראה.

ל-TCP שנוצר מקומית יש תנאי מוקדם נוסף: הוא זקוק לרשומת יעד מתאימה בטבלת הניתוב גם כאשר המדיניות בוחרת בנתיב אחר. תוצאת ICMP לא מוכיחה את אותה התנהגות עבור TCP.

מה לבדוק במארח במקום זאת

הריצו את הבדיקה ממארח מורשה ב-VLAN 10, עם כתובת המקור, היעד, הפרוטוקול והפורט האמיתיים שלו. תעדו את ממשק הכניסה ואת התאמת ה-route-map לצד התוצאה, כך שהראיה תציין את המדיניות שהורצה. לאחר מכן חזרו על כך עבור מארח ב-VLAN 20 ואשרו שהוא בוחר בנתיב האחר.

שני הנתיבים זקוקים ל-next hop עובד, לנגישות חזרה, ובמידת הצורך לכיסוי VPN. PBR בוחרת החלטת העברה; היא לא יוצרת את השירות המרוחק ולא מעניקה הרשאה לאפליקציה.

מה התוצאה יכולה להוכיח ומה לא

זרימת מארח מוצלחת מוכיחה שהמדיניות התאימה ושהנתיב הנבחר עבד באותו רגע. היא לא מוכיחה שתעבורת הנתב עצמו מוכוונת, והיא לא מוכיחה שהאפליקציה הייתה מורשית, מפני שאלו שאלות שונות עם ראיות שונות.

שמרו את הפינג ברשומה כראיה על חבילה מקומית. לאחר מכן לכו להשיג את הראיה של זרימת המארח, במקום להרחיב את היקף המדיניות עד ששתי הבדיקות ייראו דומות במקרה.