Maršrutizatoriaus ping prieš VLAN prieglobos kompiuterį: kuri PBR politika galioja?

VLAN 10 turėtų naudoti VPN, o VLAN 20 – WAN, todėl pirmasis bandymas yra ping iš maršrutizatoriaus su VLAN 10 sąsajos adresu kaip šaltiniu. Jis pavyksta, route-map skaitikliai didėja ir visi daro išvadą, kad projektas veikia. Jis neveikia. Tas pingas buvo sugeneruotas lokaliai, o lokaliai sugeneruotas srautas pasiekia kitą politikos prijungimo tašką nei paketas, atvykstantis į VLAN sąsają.

Trys sąlygos nusprendžia, kurią politiką iš tikrųjų testuojate: kur paketas sukuriamas, kur jis patenka ir su kuo sutampa.

Vieta, kur paketas patenka, nusprendžia, kuri politika vykdoma

Sąsajos route-map, prijungtas su ip policy route-map, taikomas paketams, atvykstantiems į tą sąsają, kaip aprašo IOS XE PBR vadovas. VLAN 10 prieglobos kompiuteris siunčia savo užklausą, kadras atvyksta į VLAN posąsajį, o maršrutizatorius ten įvertina politiką. Paties maršrutizatoriaus paketas niekada neatvyksta į tą sąsają, nes jis gimė maršrutizatoriuje.

VLAN adreso kaip šaltinio pasirinkimas keičia antraštę. Jis nekeičia kilmės.

Kodėl pingas su šaltiniu vis dar nėra prieglobos kompiuteris

Šaltinio adresas svarbus ACL sutapimui, ir būtent todėl testas toks įtikinamas. Paketas sutampa su šaltinio sąlyga, skaitikliai didėja, o išvestis atrodo teisingai. Testas negali parodyti įvesties sąsajos, atvykimo konteksto ar to, ar prieglobos kompiuterio paketas pasirinktų tą pačią šaką.

Testas, kuris atkartoja sutapimą, bet ne kontekstą, įrodo pusę projekto, o būtent su puse įrodymo projektai paleidžiami su netinkama politika.

Kada vietinė politika yra teisingas atsakymas

Cisco dokumentuoja ip local policy route-map srautui, kurį maršrutizatorius generuoja pats. Tai atskira apimtis ir tinkamas įrankis, kai reikalavimas iš tikrųjų susijęs su paties maršrutizatoriaus srautu. Tai nėra trūkstamas žingsnis, kurio reikia kiekvienam VLAN valdymo projektui. Platus sutapimas ten taip pat gali paveikti valdymo ir pagalbines jungtis, o tai yra daug didesnis pokytis, nei atrodo.

Lokaliai generuojamas TCP turi papildomą išankstinę sąlygą: jam reikia tinkamo paskirties įrašo maršrutizavimo lentelėje net tada, kai politika pasirenka kitą kelią. ICMP rezultatas neįrodo tokio pat elgesio TCP atveju.

Ką vietoj to testuoti prieglobos kompiuteryje

Paleiskite testą iš įgalioto VLAN 10 prieglobos kompiuterio su jo tikruoju šaltinio adresu, paskirties vieta, protokolu ir prievadu. Užrašykite įvesties sąsają ir route-map sutapimą šalia rezultato, kad įrodymas įvardytų politiką, kuri buvo vykdoma. Tada pakartokite su VLAN 20 prieglobos kompiuteriu ir patvirtinkite, kad jis pasirenka kitą kelią.

Abiem keliams reikia veikiančių next hop, grįžtamojo pasiekiamumo ir, jei taikoma, VPN aprėpties. PBR pasirenka perdavimo sprendimą; jis nesukuria nuotolinės paslaugos ir nesuteikia programai leidimo.

Ką rezultatas gali ir ko negali įrodyti

Sėkmingas prieglobos kompiuterio srautas įrodo, kad politika sutapo ir kad pasirinktas kelias tuo metu veikė. Jis neįrodo, kad paties maršrutizatoriaus srautas yra nukreipiamas, ir neįrodo, kad programa buvo įgaliota, nes tai skirtingi klausimai su skirtingais įrodymais.

Išsaugokite pingą įraše kaip įrodymą apie lokalų paketą. Tada eikite gauti prieglobos kompiuterio srauto įrodymo, o ne plėskite politikos apimtį, kol du testai netyčia nepradės atrodyti vienodai.