라우터 핑과 VLAN 호스트: 어떤 PBR 정책이 적용되는가?

VLAN 10은 VPN을, VLAN 20은 WAN을 써야 하므로 첫 시험은 VLAN 10 인터페이스 주소를 출발지로 한 라우터의 핑이다. 이는 성공하고 route-map 카운터가 증가하므로 모두가 설계가 작동한다고 결론짓는다. 작동하지 않는다. 그 핑은 로컬에서 생성되었고, 로컬에서 생성된 트래픽은 VLAN 인터페이스로 들어오는 패킷과 다른 정책 연결 지점에 도달한다.

당신이 실제로 어떤 정책을 시험하는지는 세 가지 조건이 결정한다: 패킷이 어디서 생성되는지, 어디로 들어오는지, 무엇과 일치하는지.

패킷이 어디로 들어오는지가 어떤 정책이 실행되는지를 결정한다

ip policy route-map 로 연결한 인터페이스 route-map은 IOS XE PBR 안내서 가 설명하는 대로 그 인터페이스로 들어오는 패킷에 적용된다.VLAN 10의 호스트가 요청을 보내고, 프레임이 VLAN 하위 인터페이스에 도착하며, 라우터는 거기서 정책을 평가한다.라우터 자신의 패킷은 라우터 안에서 태어났기 때문에 그 인터페이스에 결코 도착하지 않는다.

VLAN 주소를 출발지로 고르는 것은 헤더를 바꿀 뿐이다. 기원은 바꾸지 않는다.

출발지가 있는 핑이 여전히 호스트가 아닌 이유

출발지 주소는 ACL 일치에 중요하며, 바로 그것이 이 시험을 그렇게 설득력 있게 만든다. 패킷은 출발지 조건과 일치하고, 카운터가 증가하며, 출력은 올바르게 보인다. 시험이 보여주지 못하는 것은 입력 인터페이스, 도착 맥락, 또는 호스트 패킷이 같은 분기를 택할지 여부다.

일치는 재현하지만 맥락은 재현하지 않는 시험은 설계의 절반만 증명하며, 설계가 잘못된 정책을 달 채 출하되는 것은 바로 이 절반의 증명 때문이다.

로컬 정책이 정답인 경우

Cisco는 라우터가 스스로 생성하는 트래픽을 위해 ip local policy route-map 를 문서화한다. 이는 별도의 범위이며, 요구사항이 정말로 라우터 자신의 트래픽에 관한 것일 때 올바른 도구다. 모든 VLAN 유도 설계에 필요한 빠진 단계가 아니다. 거기서의 넓은 일치는 관리 및 지원 연결에도 영향을 줄 수 있으며, 이는 보이는 것보다 훨씬 큰 변화다.

로컬에서 생성된 TCP에는 정책이 다른 경로를 선택하더라도 라우팅 테이블에 적용 가능한 목적지 항목이 있어야 한다는 추가 전제가 있다.ICMP 결과는 TCP에서 같은 동작을 증명하지 않는다.

대신 호스트에서 시험할 것

VLAN 10의 승인된 호스트에서 실제 출발지 주소, 목적지, 프로토콜, 포트로 시험을 실행하라. 입력 인터페이스와 route-map 일치를 결과 옆에 기록하여 증거가 실행된 정책을 지목하게 하라. 그런 다음 VLAN 20의 호스트에 대해 반복하고 다른 경로를 택하는지 확인하라.

두 경로 모두 작동하는 넥스트 홉, 반환 도달 가능성, 해당되는 경우 VPN 커버리지가 필요하다. PBR은 전달 결정을 고를 뿐, 원격 서비스를 만들거나 애플리케이션에 권한을 부여하지 않는다.

결과가 증명할 수 있는 것과 없는 것

성공한 호스트 흐름은 정책이 일치했고 선택한 경로가 그 순간 작동했음을 증명한다.라우터 자신의 트래픽이 유도된다는 것도, 애플리케이션이 승인되었다는 것도 증명하지 않는데, 서로 다른 질문이고 서로 다른 증거가 필요하기 때문이다.

핑은 로컬 패킷에 관한 증거로 기록에 남겨라. 그리고 두 시험이 우연히 비슷해 보일 때까지 정책 범위를 넓히는 대신 호스트 흐름의 증거를 얻으러 가라.