Maršrutētāja ping pret VLAN saimnieku: kura PBR politika ir spēkā?
Ping, ko sūta maršrutētājs, nav pakete no VLAN saimnieka, pat ja šīs saskarnes adrese ir norādīta kā avots. Pārbaudiet saimnieka plūsmu, pirms paplašināt politikas darbības jomu.
VLAN 10 jāizmanto VPN, bet VLAN 20 — WAN, tāpēc pirmais tests ir ping no maršrutētāja ar VLAN 10 saskarnes adresi kā avotu. Tas izdodas, route-map skaitītāji pieaug, un visi secina, ka projekts darbojas. Tas nedarbojas. Šis pings tika ģenerēts lokāli, un lokāli ģenerētais trafiks sasniedz citu politikas piesaistes punktu nekā pakete, kas ierodas VLAN saskarnē.
Trīs nosacījumi nosaka, kuru politiku jūs patiešām testējat: kur pakete tiek izveidota, kur tā iekļūst un kam tā atbilst.
Vieta, kur pakete iekļūst, nosaka, kura politika tiek izpildīta
Saskarnes route-map, kas pievienota ar ip policy route-map, attiecas uz paketēm, kas ierodas šajā saskarnē, kā apraksta IOS XE PBR rokasgrāmata. VLAN 10 saimnieks nosūta savu pieprasījumu, kadrs ierodas VLAN apakšsaskarnē, un maršrutētājs tur novērtē politiku. Paša maršrutētāja pakete nekad neierodas šajā saskarnē, jo tā radās maršrutētājā.
VLAN adreses kā avota izvēle maina galveni. Tā nemaina izcelsmi.
Kāpēc pings ar avotu joprojām nav saimnieks
Avota adrese ir svarīga ACL atbilstībai, un tieši tas padara testu tik pārliecinošu. Pakete atbilst avota klauzulai, skaitītāji pieaug, un izvade izskatās pareiza. Tests nevar parādīt ieejas saskarni, ierašanās kontekstu vai to, vai saimnieka pakete izvēlētos to pašu atzaru.
Tests, kas atkārto atbilstību, bet ne kontekstu, pierāda pusi projekta, un tieši ar pus pierādījumu projekti tiek nodoti ražošanā ar nepareizu politiku.
Kad lokālā politika ir pareizā atbilde
Cisco dokumentē ip local policy route-map trafikam, ko maršrutētājs ģenerē pats. Tā ir atsevišķa joma, un tas ir pareizais rīks, kad prasība patiešām attiecas uz paša maršrutētāja trafiku. Tas nav trūkstošs solis, kas vajadzīgs katram VLAN vadības projektam. Plaša atbilstība tur var ietekmēt arī pārvaldības un atbalsta savienojumus, kas ir daudz lielākas izmaiņas, nekā šķiet.
Lokāli ģenerētam TCP ir papildu priekšnosacījums: tam nepieciešams piemērots galamērķa ieraksts maršrutēšanas tabulā pat tad, kad politika izvēlas citu ceļu. ICMP rezultāts nepierāda tādu pašu uzvedību TCP.
Ko tā vietā testēt saimniekā
Palaidiet testu no autorizēta VLAN 10 saimnieka ar tā reālo avota adresi, galamērķi, protokolu un portu. Ierakstiet ieejas saskarni un route-map atbilstību blakus rezultātam, lai pierādījums nosauktu politiku, kas tika izpildīta. Pēc tam atkārtojiet ar VLAN 20 saimnieku un apstipriniet, ka tas izvēlas otru ceļu.
Abiem ceļiem vajadzīgi strādājoši next hop, atgriešanās sasniedzamība un, ja piemērojams, VPN pārklājums. PBR izvēlas pārsūtīšanas lēmumu; tas neizveido attālo pakalpojumu un nepiešķir lietojumprogrammai atļauju.
Ko rezultāts var un ko nevar pierādīt
Veiksmīga saimnieka plūsma pierāda, ka politika atbilda un ka izvēlētais ceļš tajā brīdī darbojās. Tā nepierāda, ka paša maršrutētāja trafiks tiek virzīts, un nepierāda, ka lietojumprogramma bija autorizēta, jo tie ir citi jautājumi ar citiem pierādījumiem.
Saglabājiet ping ierakstā kā pierādījumu par lokālu paketi. Pēc tam dodieties iegūt saimnieka plūsmas pierādījumu, nevis paplašiniet politikas jomu, līdz abi testi nejauši sāk izskatīties vienādi.