Пинг од рутерот наспроти хост VLAN: која политика PBR важи?

VLAN 10 треба да го користи VPN, а VLAN 20 WAN, па првиот тест е пинг од рутерот со адресата на интерфејсот VLAN 10 како извор. Успева, бројачите на route-map се зголемуваат и сите заклучуваат дека дизајнот работи. Не работи. Тој пинг беше генериран локално, а локално генерираниот сообраќај стигнува до друга точка на прикачување на политиката отколку пакет што пристигнува на интерфејсот VLAN.

Три услови одлучуваат која политика всушност ја тестирате: каде се создава пакетот, каде влегува и на што се совпаѓа.

Местото каде пакетот влегува одлучува која политика се извршува

Route-map на интерфејс прикачена со ip policy route-map се применува на пакети што пристигнуваат на тој интерфејс, како што опишува упатството за PBR на IOS XE. Хост во VLAN 10 ја испраќа својата барања, рамката пристигнува на подинтерфејсот VLAN и рутерот ја оценува политиката таму. Сопствениот пакет на рутерот никогаш не пристигнува на тој интерфејс, зашто е роден во рутерот.

Изборот на адресата на VLAN како извор ја менува заглавјето. Не го менува потеклото.

Зошто пингот со извор се уште не е хостот

Адресата на изворот е важна за совпаѓање со ACL и токму тоа го прави тестот толку убедлив. Пакетот се совпаѓа со клаузула за извор, бројачите се зголемуваат и излезот изгледа точно. Тестот не може да го покаже влезниот интерфејс, контекстот на пристигнување или дали пакет на хостот би ја избрал истата гранка.

Тест што го репродуцира совпаѓањето, но не контекстот, докажува половина од дизајнот, и токму со половина доказ дизајните излегуваат со погрешна политика.

Кога локалната политика е точниот одговор

Cisco документира ip local policy route-map за сообраќај што рутерот сам го генерира. Тоа е одделен опсег и правилната алатка кога барањето навистина се однесува на сопствениот сообраќај на рутерот. Тоа не е чекор што недостасува и што му е потребен на секој дизајн за управување со VLAN. Широкото совпаѓање таму може да влијае и на управувачките и помошните врски, што е многу поголема промена отколку што изгледа.

Локално генерираниот TCP има дополнителен предуслов: му треба применлив запис за одредиште во табелата за рутирање, дури и кога политиката избира друг пат. Резултатот од ICMP не го докажува истото однесување за TCP.

Што наместо тоа да тестирате на хостот

Стартувајте го тестот од овластен хост во VLAN 10, со неговата вистинска адреса на извор, одредиште, протокол и порта. Запишете го влезниот интерфејс и совпаѓањето на route-map покрај резултатот, за доказот да ја именува политиката што се извршила. Потоа повторете за хост во VLAN 20 и потврдете дека го избира другиот пат.

Двата пата бараат исправни next hop, повратна достапност и, каде што е применливо, покриеност со VPN. PBR избира одлука за препраќање; не ја создава оддалечената услуга и не ѝ дава дозвола на апликацијата.

Што резултатот може и што не може да докаже

Успешен тек на хост докажува дека политиката се совпаднала и дека избраниот пат работел во тој момент. Не докажува дека сообраќајот на самиот рутер се насочува, и не докажува дека апликацијата била овластена, зашто тоа се различни прашања со различни докази.

Зачувајте го пингот во записот како доказ за локален пакет. Потоа одете да го земете доказот за текот на хостот, наместо да го проширите опсегот на политиката додека двата теста случајно не заликуваат.