Роутердин пинги жана VLAN хосту: кайсы PBR саясаты колдонулат?

VLAN 10 VPN колдонушу керек, VLAN 20 WAN колдонушу керек, ошондуктан биринчи текшерүү — VLAN 10 интерфейсинин дареги булак катары көрсөтүлгөн роутерден пинг. Ал ийгиликтүү өтөт, route-map эсептегичтери өсөт жана баары долбоор иштеп жатат деп жыйынтык чыгарат. Ал иштебейт. Бул пинг локалдуу түрдө жаралган, ал эми локалдуу жаралган трафик VLAN интерфейсине келген пакеттен башка саясат бекитилүү чекитине жетет.

Сиз чындыгында кайсы саясатты текшерип жатканыңызды үч шарт аныктайт: пакет кайда жаралат, кайда кирет жана эмнеге туура келет.

Пакет кирген жер кайсы саясат аткарыларын аныктайт

ip policy route-map менен бекитилген интерфейс route-map ошол интерфейске келген пакеттерге колдонулат, муну IOS XE PBR колдонмосу сүрөттөйт. VLAN 10 хостундагы система сурам жөнөтөт, кадр VLAN кошумча интерфейсине келет жана роутер саясатты ошол жерде баалайт. Роутердин өз пакети бул интерфейске эч качан келбейт, анткени ал роутерде төрөлгөн.

VLAN дарегин булак катары тандоо аталышын өзгөртөт. Ал келип чыгышын өзгөртпөйт.

Эмне үчүн булагы бар пинг дагы эле хост эмес

Булак дареги ACL дал келиши үчүн маанилүү, жана дал ушул текшерүүнү ушунчалык ишенимдүү кылат. Пакет булак шартына туура келет, эсептегичтер өсөт жана чыгарылыш туура көрүнөт. Текшерүү кирүү интерфейсин, келүү контекстин же хост пакети ошол эле бутакты тандайбы же жокпу көрсөтө албайт.

Дал келишти, бирок контекстти кайталабаган текшерүү долбоордун жарымын далилдейт, жана дал жарым далил менен долбоорлор туура эмес саясат менен өндүрүшкө чыгат.

Кайсы учурда локалдык саясат туура жооп болот

Cisco роутер өзү жараткан трафик үчүн ip local policy route-map документтейт. Бул өзүнчө камтылыш жана талап чындыгында роутердин өз трафигине тиешелүү болгондо туура курал. Бул ар бир VLAN башкаруу долбооруна керек болгон жетишпеген кадам эмес. Ал жерде кең дал келүү башкаруу жана жардамчы туташууларга да таасир этиши мүмкүн, бул көрүнгөндөн алда канча чоң өзгөрүү.

Локалдуу жаралган TCP кошумча алдын ала шартка ээ: саясат башка жолду тандаса да, ага маршруттоо таблицасында колдонулуучу багыт жазуусу керек. ICMP натыйжасы TCP үчүн ошол эле жүрүм-турумду далилдебейт.

Анын ордуна хостто эмнени текшерүү керек

Текшерүүнү VLAN 10 ичиндеги уруксат берилген хосттон анын чыныгы булак дареги, багыты, протоколу жана порту менен иштетиңиз. Кирүү интерфейсин жана route-map дал келишин натыйжанын жанына жазыңыз, далил аткарылган саясатты аташ үчүн. Андан кийин VLAN 20 хосту үчүн кайталап, анын экинчи жолду тандаарын ырастаңыз.

Эки жолго тең иштеген next hop, кайтарымдуу жеткиликтүүлүк жана тиешелүү болсо VPN камтуусу керек. PBR өткөрүп берүү чечимин тандайт; ал алыскы кызматты түзбөйт жана колдонмого уруксат бербейт.

Натыйжа эмнени далилдей алат жана эмнени далилдей албайт

Ийгиликтүү хост агымы саясат дал келгенин жана тандалган жол ошол учурда иштегенин далилдейт. Ал роутердин өз трафиги багытталып жатканын далилдебейт жана колдонмо уруксат берилгенин далилдебейт, анткени бул ар башка далилдери бар ар башка суроолор.

Пингди жазууда локалдык пакет жөнүндө далил катары сактаңыз. Андан кийин эки текшерүү кокустан окшош болгонго чейин саясаттын камтылышын кеңейтүүнүн ордуна хост агымынын далилин алууга барыңыз.