Ping tar-router kontra host VLAN: liema politika PBR tapplika?

VLAN 10 għandu juża l-VPN u VLAN 20 għandu juża l-WAN, għalhekk l-ewwel test huwa ping mir-router bl-indirizz tal-interface ta’ VLAN 10 bħala sors. Jirnexxi, il-kontaturi tar-route-map jiżdiedu u kulħadd jikkonkludi li d-disinn jaħdem. Ma jaħdimx. Dak il-ping ġie ġġenerat lokalment, u t-traffiku ġġenerat lokalment jilħaq punt ta’ konnessjoni tal-politika differenti minn pakkett li jasal fuq l-interface VLAN.

Tliet kundizzjonijiet jiddeċiedu liema politika qed tittestja tassew: fejn jinħoloq il-pakkett, fejn jidħol u ma’ xiex jaqbel.

Fejn jidħol il-pakkett jiddeċiedi liema politika tiġi esegwita

Route-map tal-interface imwaħħal b’ip policy route-map japplika għal pakketti li jaslu fuq dak l-interface, kif jiddeskrivi l-gwida PBR tal-IOS XE. Host f’VLAN 10 jibgħat it-talba tiegħu, il-qafas jasal fuq is-subinterface VLAN u r-router jevalwa l-politika hemm. Il-pakkett tar-router innifsu qatt ma jasal fuq dak l-interface, għax twieled fir-router.

L-għażla tal-indirizz VLAN bħala sors tbiddel il-header. Ma tbiddilx l-oriġini.

Għaliex il-ping bis-sors għadu mhuwiex il-host

L-indirizz tas-sors huwa importanti għal qbil ACL, u dan huwa eżattament dak li jagħmel it-test daqstant konvinċenti. Il-pakkett jaqbel ma’ klawżola tas-sors, il-kontaturi jiżdiedu u l-output jidher korrett. Dak li t-test ma jistax juri huwa l-interface tad-dħul, il-kuntest tal-wasla jew jekk pakkett tal-host jieħux l-istess fergħa.

Test li jirriproduċi l-qbil imma mhux il-kuntest jipprova nofs id-disinn, u b’nofs prova d-disinji joħorġu bil-politika ħażina.

Meta politika lokali hija t-tweġiba t-tajba

Cisco tiddokumenta ip local policy route-map għat-traffiku li r-router jiġġenera hu stess. Dak huwa ambitu separat, u huwa l-għodda t-tajba meta r-rekwiżit tassew jikkonċerna t-traffiku tar-router innifsu. Mhuwiex pass nieqes li jeħtieġ kull disinn ta’ tmexxija VLAN. Qbil wiesa’ hemmhekk jista’ wkoll jaffettwa konnessjonijiet ta’ ġestjoni u appoġġ, li huwa bidla ħafna akbar milli tidher.

TCP iġġenerat lokalment għandu prekundizzjoni addizzjonali: jeħtieġ entrata tad-destinazzjoni applikabbli fit-tabella tal-routing anki meta l-politika tagħżel triq oħra. Riżultat ICMP ma jippruvax l-istess imġiba għat-TCP.

X’tittestja fuq il-host minflok

Mexxi t-test minn host awtorizzat f’VLAN 10, bl-indirizz tas-sors reali tiegħu, id-destinazzjoni, il-protokoll u l-port. Irreġistra l-interface tad-dħul u l-qbil tar-route-map ħdejn ir-riżultat, sabiex l-evidenza ssemmi l-politika li ġiet esegwita. Imbagħad irrepeti għal host f’VLAN 20 u kkonferma li jieħu t-triq l-oħra.

Iż-żewġ toroq jeħtieġu next hop li jaħdmu, aċċessibilità tar-ritorn u, fejn applikabbli, kopertura VPN. PBR jagħżel deċiżjoni ta’ forwarding; ma joħloqx is-servizz remot u ma jagħtix permess lill-applikazzjoni.

X’jista’ u x’ma jistax jipprova r-riżultat

Fluss ta’ host li jirnexxi jipprova li l-politika qablet u li t-triq magħżula ħadmet f’dak il-mument. Ma jippruvax li t-traffiku tar-router innifsu qed jiġi direzzjonat, u ma jippruvax li l-applikazzjoni kienet awtorizzata, għax dawn huma mistoqsijiet differenti b’evidenza differenti.

Żomm il-ping fir-reġistru bħala evidenza dwar pakkett lokali. Imbagħad mur ġib l-evidenza tal-fluss tal-host, minflok ma twessa’ l-ambitu tal-politika sakemm iż-żewġ testijiet jidhru l-istess.