Router-Ping vs. VLAN-Host: Wéi eng PBR-Politik gëllt?
E Ping, deen de Router schéckt, ass kee Pak vun engem VLAN-Host, och wann dës Interface als Quell déngt. Test de Flux vum Host, ier s du de Geltungsberäich vun der Politik erweiderst.
VLAN 10 soll d’VPN benotzen an VLAN 20 soll de WAN benotzen, also ass den éischten Test e Ping vum Router mat der Interfaceadress vu VLAN 10 als Quell. Et klappt, d’Route-Map-Zähler stigen, an alle schléisst, datt den Design funktionéiert. Et ass net esou. Dee Ping gouf lokal generéiert, a lokal generéierte Verkéier erreecht eng aner Politik-Anbindung wéi e Pak, deen op der VLAN-Interface ukënnt.
Dräi Konditiounen entscheeden, wéi eng Politik s du wierklech test: wou de Pak entsteet, wou en era kënnt a wourop en passt.
Wou de Pak era kënnt, entscheet, wéi eng Politik leeft
Eng Interface-Route-Map, déi mat ip policy route-map ugehaang ass, gëllt fir Pak, déi op dëser Interface ukënnt, wéi den IOS XE PBR-Leitfueden beschreift. En Host a VLAN 10 schéckt seng Ufro, de Frame kënnt op der VLAN-Subinterface un, an de Router evaluéiert d’Politik do. Dem Router säin eegene Pak kënnt ni op där Interface un, well en am Router entstanen ass.
D’VLAN-Adress als Quell ze wielen, ännert den Header. Et ännert net den Ursprong.
Firwat de Ping mat Quell nach ëmmer net den Host ass
D’Quelladress ass wichteg fir eng ACL-Korrespondenz, an dat ass genee, wat den Test esou iwwerzeegend mécht. De Pak entsprécht enger Quellklausel, d’Zähler stigen, an d’Ausgab gesäit richteg aus. Wat den Test net weise kann, ass d’Ingress-Interface, den Arrivée-Kontext oder ob en Hostpak déiselwecht Branche géif huelen.
En Test, deen d’Korrespondenz, awer net de Kontext reproduzéiert, beweist d’Halschent vum Design, an et ass mat engem Hallefbeweis, wéi Designen erausgoen, mat der falscher Politik ugehaangen.
Wéini eng lokal Politik déi richteg Äntwert ass
Cisco dokumentéiert ip local policy route-map fir Verkéier, deen de Router selwer generéiert. Dat ass en eegene Geltungsberäich, an et ass dat richtegt Instrument, wann d’Ufuerderung wierklech de Verkéier vum Router selwer betrëfft. Et ass kee fehlende Schrëtt, deen all VLAN-Stéierungsdesign brauch. Eng breet Korrespondenz kann do och Management- a Supportverbindunge betreffen, wat eng vill méi grouss Ännerung ass, wéi et ausgesäit.
Lokal generéierten TCP huet eng zousätzlech Viraussetzung: en brauch en uwennbaren Zilentry an der Routingtabell, och wann d’Politik en anere Wee auswielt. En ICMP-Resultat beweist net déiselwecht Verhalen fir TCP.
Wat s du amplaz um Host test solls
Fuhr den Test vun engem autoriséierten Host a VLAN 10 aus, mat senger richteger Quelladress, Zil, Protokoll a Port. Registréier d’Ingress-Interface an d’Route-Map-Korrespondenz nieft dem Resultat, sou datt d’Beweis d’Politik nennt, déi gelaf ass. Widderhuel et duerno fir en Host a VLAN 20 a bestäteg, datt en deen anere Wee hëlt.
Béid Weeër brauchen funktionéierend Next Hops, Retour-Erreechbarkeet a, wou zoutreffend, VPN-Abdeckung. PBR wielt eng Weiterleitungsentscheedung; et erstellt net de Remoteservice an et gëtt der Applikatioun keng Autorisatioun.
Wat d’Resultat beweise kann an wat net
En erfollegräichen Host-Flux beweist, datt d’Politik entsprach huet an datt de gewielte Wee an deem Moment funktionéiert huet. Et beweist net, datt dem Router säi eigenen Verkéier gesteiert gëtt, an et beweist net, datt d’Applikatioun autoriséiert war, well dat aner Froen mat aneren Beweiser sinn.
Behal de Ping am Protokoll als Beweis iwwer e lokale Pak. Da gees de Beweis fir de Host-Flux sichen, amplaz de Geltungsberäich vun der Politik ze erweideren, bis déi zwee Tester zoufälleg gläich ausgesinn.