Ping z routera verzus hostiteľ VLAN: ktorá politika PBR platí?
Ping odoslaný routerom nie je paket od hostiteľa VLAN, ani keď je ako zdroj použitá adresa tohto rozhrania. Otestujte tok hostiteľa, skôr než rozšírite rozsah politiky.
VLAN 10 by mala používať VPN a VLAN 20 WAN, takže prvým testom je ping z routera so zdrojovou adresou rozhrania VLAN 10. Vyhovie, počítadlá route-map rastú a všetci usúdia, že návrh funguje. Nefunguje. Tento ping bol vygenerovaný lokálne a lokálne generovaná prevádzka dorazí k inému bodu pripojenia politiky než paket prichádzajúci na rozhranie VLAN.
Tri podmienky rozhodujú, ktorú politiku skutočne testujete: kde paket vzniká, kde vstupuje a čomu zodpovedá.
Miesto vstupu paketu rozhoduje, ktorá politika sa spustí
Route-map rozhrania pripojená pomocou ip policy route-map platí pre pakety prichádzajúce na toto rozhranie, ako popisuje sprievodca PBR pre IOS XE. Hostiteľ vo VLAN 10 odošle svoju požiadavku, rámec dorazí na podrozhranie VLAN a router tam politiku vyhodnotí. Vlastný paket routera na toto rozhranie nikdy nedorazí, pretože vznikol v routeri.
Voľba adresy VLAN ako zdroja mení hlavičku. Nemení pôvod.
Prečo ping so zdrojom stále nie je hostiteľ
Zdrojová adresa je dôležitá pre zhodu ACL, a práve preto je test taký presvedčivý. Paket zodpovedá klauzule zdroja, počítadlá rastú a výstup vyzerá správne. Test nemôže ukázať vstupné rozhranie, kontext príchodu ani to, či by paket hostiteľa zvolil rovnakú vetvu.
Test, ktorý reprodukuje zhodu, ale nie kontext, dokazuje polovicu návrhu, a práve s polovičným dôkazom sa návrhy dostávajú do prevádzky so zlou politikou.
Kedy je lokálna politika správnou odpoveďou
Cisco dokumentuje ip local policy route-map pre prevádzku, ktorú router sám generuje. To je samostatný rozsah a správny nástroj, keď sa požiadavka skutočne týka prevádzky samotného routera. Nie je to chýbajúci krok, ktorý by potreboval každý návrh riadenia VLAN. Široká zhoda tam môže ovplyvniť aj správu a podporné pripojenia, čo je omnoho väčšia zmena, než sa zdá.
Lokálne generovaný TCP má ďalší predpoklad: potrebuje použiteľnú položku cieľa v smerovacej tabuľke, aj keď politika volí inú cestu. Výsledok ICMP nedokazuje rovnaké správanie pre TCP.
Čo namiesto toho otestovať na hostiteľovi
Spusťte test z autorizovaného hostiteľa vo VLAN 10 s jeho skutočnou zdrojovou adresou, cieľom, protokolom a portom. Zaznamenajte vstupné rozhranie a zhodu route-map vedľa výsledku, aby dôkaz pomenoval politiku, ktorá bežala. Potom postup zopakujte pre hostiteľa vo VLAN 20 a overte, že volí druhú cestu.
Obe cesty potrebujú funkčný next hop, spätnú dostupnosť a prípadne pokrytie VPN. PBR volí rozhodnutie o preposielaní; nevytvára vzdialenú službu ani neudeľuje aplikácii oprávnenie.
Čo výsledok môže a nemôže dokázať
Úspešný tok hostiteľa dokazuje, že politika zodpovedala a že zvolená cesta v danej chvíli fungovala. Nedokazuje, že je prevádzka samotného routera smerovaná, ani že aplikácia bola autorizovaná, pretože to sú iné otázky s inými dôkazmi.
Zachovajte ping v zázname ako dôkaz o lokálnom pakete. Potom choďte získať dôkaz toku hostiteľa, namiesto rozširovania rozsahu politiky, kým dva testy nezačnú vyzerať rovnako.