Ping usmjerivača nasuprot hostu VLAN: koja politika PBR vrijedi?

VLAN 10 trebao bi koristiti VPN, a VLAN 20 WAN, pa je prvi test ping s usmjerivača s adresom sučelja VLAN 10 kao izvorom. Uspije, brojači route-map rastu i svi zaključe da dizajn radi. Ne radi. Taj ping generiran je lokalno, a lokalno generirani promet dolazi do druge točke priključka politike nego paket koji pristiže na sučelje VLAN.

Tri uvjeta odlučuju koju politiku zapravo testirate: gdje paket nastaje, gdje ulazi i čemu odgovara.

Gdje paket ulazi odlučuje koja se politika izvršava

Route-map sučelja priložen s ip policy route-map primjenjuje se na pakete koji pristižu na to sučelje, kako opisuje vodič za PBR u IOS XE. Host u VLAN 10 šalje svoj zahtjev, okvir pristiže na podsučelje VLAN i usmjerivač tamo procjenjuje politiku. Vlastiti paket usmjerivača nikada ne pristiže na to sučelje jer je nastao u usmjerivaču.

Odabir adrese VLAN kao izvora mijenja zaglavlje. Ne mijenja podrijetlo.

Zašto ping s izvorom još uvijek nije host

Izvorna adresa važna je za podudaranje ACL-a i upravo to test čini tako uvjerljivim. Paket odgovara klauzuli izvora, brojači rastu i izlaz izgleda ispravno. Test ne može pokazati ulazno sučelje, kontekst dolaska ni bi li paket hosta odabrao istu granu.

Test koji reproducira podudaranje, ali ne kontekst, dokazuje pola dizajna, a upravo se s pola dokaza dizajni puštaju u pogon s pogrešnom politikom.

Kada je lokalna politika pravi odgovor

Cisco dokumentira ip local policy route-map za promet koji usmjerivač sam generira. To je odvojen opseg i pravi alat kada se zahtjev doista odnosi na promet samog usmjerivača. To nije korak koji nedostaje i koji treba svaki dizajn upravljanja VLAN-om. Široko podudaranje tamo može utjecati i na upravljačke i pomoćne veze, što je mnogo veća promjena nego što se čini.

Lokalno generirani TCP ima dodatni preduvjet: potreban mu je primjenjiv odredišni unos u tablici usmjeravanja čak i kad politika odabere drugi put. Rezultat ICMP-a ne dokazuje isto ponašanje za TCP.

Što umjesto toga testirati na hostu

Pokrenite test s ovlaštenog hosta u VLAN 10, s njegovom stvarnom izvornom adresom, odredištem, protokolom i portom. Zabilježite ulazno sučelje i podudaranje route-map uz rezultat, kako bi dokaz imenovao politiku koja se izvršila. Zatim ponovite za host u VLAN 20 i potvrdite da odabire drugi put.

Oba puta trebaju ispravne next hopove, povratnu dostupnost i, gdje je primjenjivo, pokrivenost VPN-om. PBR odabire odluku o prosljeđivanju; ne stvara udaljenu uslugu ni dodjeljuje aplikaciji dopuštenje.

Što rezultat može, a što ne može dokazati

Uspješan tok hosta dokazuje da se politika podudarala i da je odabrani put u tom trenutku radio. Ne dokazuje da je promet samog usmjerivača usmjeren, niti da je aplikacija bila ovlaštena, jer su to različita pitanja s različitim dokazima.

Zadržite ping u zapisu kao dokaz o lokalnom paketu. Zatim idite po dokaz toka hosta, umjesto da proširite opseg politike dok dva testa slučajno ne počnu izgledati isto.