Router ping vagy VLAN-gazdagép: melyik PBR-házirend érvényes?

A VLAN 10-nek a VPN-t, a VLAN 20-nak a WAN-t kell használnia, ezért az első teszt egy ping a routerről, a VLAN 10 interfészcíme mint forrás. Sikerül, a route-map számlálói nőnek, és mindenki arra jut, hogy a terv működik. Nem működik. Ez a ping helyben generálódott, és a helyben generált forgalom más házirend-csatolási pontot ér el, mint a VLAN-interfészen érkező csomag.

Három feltétel dönti el, melyik házirendet teszteli valójában: hol keletkezik a csomag, hol lép be és mivel egyezik.

A csomag belépési helye dönti el, melyik házirend fut

Az ip policy route-map-tal csatolt interfész route-map az adott interfészen érkező csomagokra vonatkozik, ahogy az IOS XE PBR útmutató leírja. A VLAN 10 gazdagépe elküldi a kérését, a keret megérkezik a VLAN-alinterfészre, és a router ott értékeli a házirendet. A router saját csomagja soha nem érkezik meg erre az interfészre, mert a routerben született.

A VLAN-cím forrásként való választása megváltoztatja a fejlécet. Nem változtatja meg az eredetet.

Miért nem a gazdagép még mindig a forrással rendelkező ping

A forráscím számít az ACL-egyezésnél, és éppen ez teszi a tesztet olyan meggyőzővé. A csomag egyezik egy forrásklauzulával, a számlálók nőnek, és a kimenet helyesnek tűnik. Amit a teszt nem tud megmutatni, az a belépő interfész, az érkezési kontextus vagy az, hogy egy gazdagép-csomag ugyanazt az ágat választaná-e.

Egy teszt, amely az egyezést, de nem a kontextust reprodukálja, a terv felét bizonyítja, és fél bizonyítékkal mennek ki a tervek a rossz házirenddel.

Mikor a helyi házirend a helyes válasz

A Cisco dokumentálja az ip local policy route-map-et a router által maga generált forgalomra. Ez külön hatókör, és ez a helyes eszköz, amikor a követelmény valóban a router saját forgalmára vonatkozik. Ez nem hiányzó lépés, amelyre minden VLAN-irányítási tervnek szüksége van. Az ottani széles egyeztetés a felügyeleti és támogató kapcsolatokat is érintheti, ami sokkal nagyobb változás, mint amilyennek látszik.

A helyben generált TCP-nek további előfeltétele van: szüksége van egy alkalmazható célbejegyzésre az útválasztási táblában akkor is, amikor a házirend más útvonalat választ. Az ICMP-eredmény nem bizonyítja ugyanazt a viselkedést a TCP esetében.

Mit teszteljen inkább a gazdagépen

Futtassa a tesztet egy engedélyezett VLAN 10-es gazdagépről, annak valódi forráscímével, céljával, protokolljával és portjával. Jegyezze fel a belépő interfészt és a route-map egyezését az eredmény mellé, hogy a bizonyíték megnevezze a lefutott házirendet. Ezután ismételje meg egy VLAN 20-as gazdagéppel, és erősítse meg, hogy a másik útvonalat választja.

Mindkét útvonalnak működő next hopra, visszafelé elérhetőségre és, ahol alkalmazható, VPN-lefedettségre van szüksége. A PBR egy továbbítási döntést választ; nem hozza létre a távoli szolgáltatást, és nem ad engedélyt az alkalmazásnak.

Mit bizonyíthat és mit nem az eredmény

A sikeres gazdagép-folyamat bizonyítja, hogy a házirend egyezett, és a választott útvonal abban a pillanatban működött. Nem bizonyítja, hogy a router saját forgalma irányított, és nem bizonyítja, hogy az alkalmazás engedélyezett volt, mert ezek különböző kérdések különböző bizonyítékokkal.

Tartsa meg a pinget a feljegyzésben egy helyi csomagra vonatkozó bizonyítékként. Ezután menjen el a gazdagép-folyamat bizonyítékáért, ahelyett hogy kiterjesztené a házirend hatókörét, amíg a két teszt véletlenül hasonlóvá nem válik.