Ping router versus host VLAN: kebijakan PBR mana yang berlaku?

VLAN 10 harus menggunakan VPN dan VLAN 20 harus menggunakan WAN, jadi uji pertama adalah ping dari router dengan alamat antarmuka VLAN 10 sebagai sumber. Berhasil, penghitung route-map bertambah, dan semua orang menyimpulkan desainnya bekerja. Tidak. Ping itu dibuat secara lokal, dan lalu lintas yang dibuat secara lokal mencapai titik pemasangan kebijakan yang berbeda dari paket yang tiba di antarmuka VLAN.

Tiga kondisi menentukan kebijakan mana yang benar-benar Anda uji: di mana paket dibuat, di mana ia masuk, dan apa yang cocok dengannya.

Di mana paket masuk menentukan kebijakan mana yang berjalan

Route-map antarmuka yang dipasang dengan ip policy route-map berlaku untuk paket yang tiba di antarmuka itu, seperti yang dijelaskan panduan PBR IOS XE. Host di VLAN 10 mengirim permintaannya, frame tiba di subantarmuka VLAN, dan router mengevaluasi kebijakan di sana. Paket milik router sendiri tidak pernah tiba di antarmuka itu, karena lahir di dalam router.

Memilih alamat VLAN sebagai sumber mengubah header. Itu tidak mengubah asal.

Mengapa ping dengan sumber tetap bukan host

Alamat sumber penting untuk kecocokan ACL, dan itulah yang membuat uji ini begitu meyakinkan. Paket cocok dengan klausa sumber, penghitung bertambah, dan keluaran terlihat benar. Yang tidak dapat ditunjukkan uji ini adalah antarmuka masuk, konteks kedatangan, atau apakah paket host akan mengambil cabang yang sama.

Uji yang mereproduksi kecocokan tetapi bukan konteks membuktikan separuh desain, dan dengan separuh bukti itulah desain dirilis dengan kebijakan yang salah.

Kapan kebijakan lokal adalah jawaban yang tepat

Cisco mendokumentasikan ip local policy route-map untuk lalu lintas yang dihasilkan router sendiri. Itu cakupan terpisah, dan itu alat yang tepat ketika persyaratannya benar-benar menyangkut lalu lintas router itu sendiri. Itu bukan langkah yang hilang yang dibutuhkan setiap desain pengarahan VLAN. Kecocokan luas di sana juga dapat memengaruhi koneksi manajemen dan pendukung, yang merupakan perubahan jauh lebih besar daripada kelihatannya.

TCP yang dibuat secara lokal memiliki prasyarat tambahan: ia memerlukan entri tujuan yang berlaku di tabel perutean bahkan ketika kebijakan memilih jalur lain. Hasil ICMP tidak membuktikan perilaku yang sama untuk TCP.

Apa yang harus diuji pada host sebagai gantinya

Jalankan uji dari host resmi di VLAN 10, dengan alamat sumber, tujuan, protokol, dan porta aslinya. Catat antarmuka masuk dan kecocokan route-map di samping hasilnya, agar bukti menyebutkan kebijakan yang berjalan. Lalu ulangi untuk host di VLAN 20 dan pastikan ia mengambil jalur lain.

Kedua jalur membutuhkan next hop yang berfungsi, keterjangkauan balik, dan bila berlaku cakupan VPN. PBR memilih keputusan penerusan; ia tidak membuat layanan jarak jauh atau memberi izin aplikasi.

Apa yang bisa dan tidak bisa dibuktikan hasilnya

Alur host yang berhasil membuktikan bahwa kebijakan cocok dan jalur yang dipilih bekerja saat itu. Itu tidak membuktikan bahwa lalu lintas router sendiri diarahkan, dan tidak membuktikan bahwa aplikasi diizinkan, karena itu pertanyaan berbeda dengan bukti berbeda.

Simpan ping dalam catatan sebagai bukti tentang paket lokal. Lalu pergilah mengambil bukti alur host, alih-alih memperluas cakupan kebijakan sampai kedua uji tampak sama.