राउटर पिङ बनाम VLAN होस्ट: कुन PBR नीति लागू हुन्छ?

VLAN 10 ले VPN प्रयोग गर्नुपर्छ र VLAN 20 ले WAN प्रयोग गर्नुपर्छ, त्यसैले पहिलो परीक्षण VLAN 10 को इन्टरफेस ठेगानालाई स्रोत बनाएर राउटरबाट गरिएको पिङ हो। त्यो सफल हुन्छ, route-map काउन्टरहरू बढ्छन् र सबैले डिजाइन काम गर्छ भनी निष्कर्ष निकाल्छन्। त्यो काम गर्दैन। त्यो पिङ स्थानीय रूपमा उत्पन्न भएको थियो, र स्थानीय रूपमा उत्पन्न ट्राफिक VLAN इन्टरफेसमा आउने प्याकेटभन्दा नीतिको अर्को संलग्नता बिन्दुमा पुग्छ।

तीन सर्तहरूले तपाईं वास्तवमै कुन नीति परीक्षण गर्दै हुनुहुन्छ भनी निर्धारण गर्छन्: प्याकेट कहाँ बन्छ, त्यो कहाँ प्रवेश गर्छ र केसँग मेल खान्छ।

प्याकेट कहाँ प्रवेश गर्छ भन्नेले कुन नीति चल्छ निर्धारण गर्छ

ip policy route-map सँग जोडिएको इन्टरफेस route-map त्यो इन्टरफेसमा आउने प्याकेटमा लागू हुन्छ, जसरी IOS XE PBR गाइड वर्णन गर्छ। VLAN 10 को होस्टले आफ्नो अनुरोध पठाउँछ, फ्रेम VLAN उपइन्टरफेसमा आउँछ र राउटरले त्यहाँ नीतिको मूल्याङ्कन गर्छ। राउटरको आफ्नै प्याकेट त्यो इन्टरफेसमा कहिल्यै आउँदैन, किनकि त्यो राउटरमा जन्मेको थियो।

VLAN ठेगानालाई स्रोत छान्दा हेडर बदलिन्छ। यसले मूल स्थान बदल्दैन।

स्रोत भएको पिङ अझै होस्ट किन होइन

स्रोत ठेगाना ACL मेलका लागि महत्त्वपूर्ण हुन्छ, र यसैले यो परीक्षण यति विश्वासिलो देखिन्छ। प्याकेट स्रोत सर्तसँग मेल खान्छ, काउन्टरहरू बढ्छन् र आउटपुट सही देखिन्छ। परीक्षणले देखाउन नसक्ने कुरा प्रवेश इन्टरफेस, आगमनको सन्दर्भ वा होस्टको प्याकेटले त्यही शाखा लिन्छ कि भन्ने हो।

मेल दोहोर्याउने तर सन्दर्भ नदोहोर्याउने परीक्षणले डिजाइनको आधा भाग प्रमाणित गर्छ, र आधा प्रमाणसँगै डिजाइनहरू गलत नीतिसहित बाहिर जान्छन्।

स्थानीय नीति कहिले सही उत्तर हो

Cisco ले ip local policy route-map को दस्तावेजीकरण राउटरले आफैं उत्पन्न गर्ने ट्राफिकका लागि गर्छ। त्यो छुट्टै दायरा हो, र आवश्यकता साँच्चै राउटरको आफ्नै ट्राफिकसँग सम्बन्धित हुँदा त्यो सही उपकरण हो। यो हरेक VLAN-स्टेयरिङ डिजाइनलाई आवश्यक पर्ने छुटेको चरण होइन। त्यहाँ व्यापक मेलले व्यवस्थापन र सहायक जडानहरूलाई पनि असर गर्न सक्छ, जुन देखिनेभन्दा धेरै ठूलो परिवर्तन हो।

स्थानीय रूपमा उत्पन्न TCP सँग एउटा थप पूर्वसर्त हुन्छ: नीतिले अर्को मार्ग छान्दा पनि यसलाई राउटिङ तालिकामा लागू गन्तव्य प्रविष्टि चाहिन्छ। ICMP नतिजाले TCP का लागि त्यही व्यवहार प्रमाणित गर्दैन।

यसको सट्टा होस्टमा के परीक्षण गर्ने

परीक्षण VLAN 10 को अधिकृत होस्टबाट उसको वास्तविक स्रोत ठेगाना, गन्तव्य, प्रोटोकल र पोर्टसहित चलाउनुहोस्। प्रवेश इन्टरफेस र route-map मेललाई नतिजासँगै अभिलेख गर्नुहोस्, ताकि प्रमाणले चलेको नीतिको नाम लिन्छ। त्यसपछि VLAN 20 को होस्टका लागि दोहोर्याउनुहोस् र उसले अर्को मार्ग लिन्छ भनी पुष्टि गर्नुहोस्।

दुवै मार्गलाई काम गर्ने next hop, फर्कने पहुँच र लागू हुने ठाउँमा VPN कभरेज चाहिन्छ। PBR ले अग्रेषण निर्णय छान्छ; यसले टाढाको सेवा बनाउँदैन र अनुप्रयोगलाई अनुमति दिँदैन।

नतिजाले के प्रमाणित गर्न सक्छ र के सक्दैन

सफल होस्ट प्रवाहले नीति मिल्यो र छानिएको मार्ग त्यस क्षणमा काम गर्यो भनी प्रमाणित गर्छ। यसले राउटरको आफ्नै ट्राफिक निर्देशित भइरहेको छ भनी प्रमाणित गर्दैन, र अनुप्रयोग अधिकृत थियो भनी पनि प्रमाणित गर्दैन, किनकि यी फरक प्रश्नहरू हुन् र तिनका प्रमाण फरक हुन्छन्।

पिङलाई अभिलेखमा स्थानीय प्याकेटको प्रमाणका रूपमा राख्नुहोस्। त्यसपछि होस्ट-प्रवाहको प्रमाण लिन जानुहोस्, बरु नीतिको दायरा नबढाउनुहोस् जबसम्म दुई परीक्षण संयोगवश एउटै देखिँदैनन्।