Ping penghala berbanding hos VLAN: dasar PBR mana yang terpakai?

VLAN 10 sepatutnya menggunakan VPN dan VLAN 20 menggunakan WAN, jadi ujian pertama ialah ping daripada penghala dengan alamat antara muka VLAN 10 sebagai sumber. Ia berjaya, pembilang route-map meningkat dan semua orang menyimpulkan reka bentuk itu berfungsi. Ia tidak berfungsi. Ping itu dijana secara tempatan, dan trafik yang dijana secara tempatan sampai ke titik pemasangan dasar yang berbeza daripada paket yang tiba pada antara muka VLAN.

Tiga syarat menentukan dasar mana yang benar-benar anda uji: di mana paket dicipta, di mana ia masuk dan apa yang dipadankannya.

Di mana paket masuk menentukan dasar mana yang dijalankan

Route-map antara muka yang dipasang dengan ip policy route-map terpakai pada paket yang tiba pada antara muka itu, seperti yang diterangkan oleh panduan PBR IOS XE. Hos dalam VLAN 10 menghantar permintaannya, bingkai tiba pada subantara muka VLAN dan penghala menilai dasar di situ. Paket penghala sendiri tidak pernah tiba pada antara muka itu, kerana ia dilahirkan di dalam penghala.

Memilih alamat VLAN sebagai sumber mengubah pengepala. Ia tidak mengubah asal.

Mengapa ping dengan sumber masih bukan hos

Alamat sumber penting untuk padanan ACL, dan itulah yang menjadikan ujian ini begitu meyakinkan. Paket sepadan dengan klausa sumber, pembilang meningkat dan output kelihatan betul. Apa yang tidak dapat ditunjukkan oleh ujian ialah antara muka masuk, konteks ketibaan atau sama ada paket hos akan mengambil cabang yang sama.

Ujian yang menghasilkan semula padanan tetapi bukan konteks membuktikan separuh reka bentuk, dan dengan separuh bukti itulah reka bentuk dikeluarkan dengan dasar yang salah.

Bila dasar tempatan ialah jawapan yang betul

Cisco mendokumentasikan ip local policy route-map untuk trafik yang dijana oleh penghala sendiri. Itu skop berasingan, dan itulah alat yang betul apabila keperluan benar-benar melibatkan trafik penghala itu sendiri. Ia bukan langkah yang hilang yang diperlukan oleh setiap reka bentuk pengarahan VLAN. Padanan luas di situ juga boleh menjejaskan sambungan pengurusan dan sokongan, yang merupakan perubahan jauh lebih besar daripada yang kelihatan.

TCP yang dijana secara tempatan mempunyai prasyarat tambahan: ia memerlukan entri destinasi yang berkenaan dalam jadual penghalaan walaupun dasar memilih laluan lain. Keputusan ICMP tidak membuktikan tingkah laku yang sama untuk TCP.

Apa yang perlu diuji pada hos sebagai gantinya

Jalankan ujian daripada hos yang dibenarkan dalam VLAN 10, dengan alamat sumber, destinasi, protokol dan port sebenar. Catat antara muka masuk dan padanan route-map di sebelah keputusan, supaya bukti menamakan dasar yang dijalankan. Kemudian ulangi untuk hos dalam VLAN 20 dan sahkan ia mengambil laluan lain.

Kedua-dua laluan memerlukan next hop yang berfungsi, kebolehcapaian balik dan, jika berkenaan, liputan VPN. PBR memilih keputusan penghantaran; ia tidak mencipta perkhidmatan jauh atau memberi kebenaran kepada aplikasi.

Apa yang boleh dan tidak boleh dibuktikan oleh keputusan

Aliran hos yang berjaya membuktikan dasar itu sepadan dan laluan yang dipilih berfungsi pada masa itu. Ia tidak membuktikan trafik penghala sendiri dihalakan, dan tidak membuktikan aplikasi dibenarkan, kerana itu soalan berbeza dengan bukti berbeza.

Simpan ping dalam rekod sebagai bukti tentang paket tempatan. Kemudian pergi mendapatkan bukti aliran hos, bukannya meluaskan skop dasar sehingga kedua-dua ujian kelihatan sama.