Ping routera a host VLAN: która polityka PBR obowiązuje?

VLAN 10 powinien korzystać z VPN, a VLAN 20 z WAN, więc pierwszy test to ping z routera ze źródłowym adresem interfejsu VLAN 10. Udaje się, liczniki route-map rosną i wszyscy wnioskują, że projekt działa. Nie działa. Ten ping został wygenerowany lokalnie, a ruch generowany lokalnie dociera do innego punktu przyłączenia polityki niż pakiet przychodzący na interfejs VLAN.

Trzy warunki decydują, którą politykę naprawdę testujesz: gdzie powstaje pakiet, gdzie wchodzi i z czym się dopasowuje.

Miejsce wejścia pakietu decyduje, która polityka zostanie uruchomiona

Route-map interfejsu dołączony przez ip policy route-map dotyczy pakietów przychodzących na ten interfejs, jak opisuje przewodnik PBR IOS XE. Host w VLAN 10 wysyła żądanie, ramka dociera na podinterfejs VLAN, a router ocenia tam politykę. Własny pakiet routera nigdy nie dociera na ten interfejs, ponieważ powstał w routerze.

Wybór adresu VLAN jako źródła zmienia nagłówek. Nie zmienia pochodzenia.

Dlaczego ping ze źródłem wciąż nie jest hostem

Adres źródłowy ma znaczenie dla dopasowania ACL i właśnie dlatego test jest tak przekonujący. Pakiet pasuje do klauzuli źródła, liczniki rosną, a wynik wygląda poprawnie. Test nie może pokazać interfejsu wejściowego, kontekstu przybycia ani tego, czy pakiet hosta wybrałby tę samą gałąź.

Test, który odtwarza dopasowanie, ale nie kontekst, dowodzi połowy projektu, a właśnie z połową dowodu projekty trafiają do produkcji z niewłaściwą polityką.

Kiedy polityka lokalna jest właściwą odpowiedzią

Cisco dokumentuje ip local policy route-map dla ruchu generowanego przez sam router. To odrębny zakres i właściwe narzędzie, gdy wymaganie rzeczywiście dotyczy ruchu samego routera. To nie brakujący krok, którego potrzebuje każdy projekt sterowania VLAN. Szerokie dopasowanie może tam też wpływać na połączenia zarządzające i pomocnicze, co jest znacznie większą zmianą, niż się wydaje.

Lokalnie generowany TCP ma dodatkowy warunek wstępny: potrzebuje odpowiedniego wpisu docelowego w tabeli routingu, nawet gdy polityka wybiera inną ścieżkę. Wynik ICMP nie dowodzi tego samego zachowania dla TCP.

Co zamiast tego przetestować na hoście

Uruchom test z autoryzowanego hosta w VLAN 10, z jego rzeczywistym adresem źródłowym, miejscem docelowym, protokołem i portem. Zapisz interfejs wejściowy i dopasowanie route-map obok wyniku, aby dowód wskazywał politykę, która zadziałała. Następnie powtórz dla hosta w VLAN 20 i potwierdź, że wybiera inną ścieżkę.

Obie ścieżki wymagają działających next hopów, osiągalności powrotnej i, jeśli dotyczy, pokrycia VPN. PBR wybiera decyzję przekazywania; nie tworzy usługi zdalnej ani nie przyznaje aplikacji uprawnień.

Co wynik może, a czego nie może dowieść

Udany przepływ hosta dowodzi, że polityka pasowała, a wybrana ścieżka działała w tej chwili. Nie dowodzi, że ruch samego routera jest kierowany, ani nie dowodzi, że aplikacja była autoryzowana, ponieważ to inne pytania z innymi dowodami.

Zachowaj ping w zapisie jako dowód dotyczący pakietu lokalnego. Potem idź po dowód przepływu hosta, zamiast rozszerzać zakres polityki, aż dwa testy przypadkiem zaczną wyglądać tak samo.