Ping i ruterit kundër hostit VLAN: cila politikë PBR zbatohet?
Një ping që dërgon ruteri nuk është paketë nga një host VLAN, edhe kur ai ndërfaqe është burimi. Testoni rrjedhën e hostit përpara se të zgjeroni shtrirjen e politikës.
VLAN 10 duhet të përdorë VPN dhe VLAN 20 duhet të përdorë WAN, prandaj testi i parë është një ping nga ruteri me adresën e ndërfaqes së VLAN 10 si burim. Ai kalon, numëruesit e route-map rriten dhe të gjithë përfundojnë se dizajni funksionon. Nuk funksionon. Ai ping u gjenerua lokalisht, dhe trafiku i gjeneruar lokalisht arrin një pikë tjetër lidhjeje të politikës sesa një paketë që mbërrin në ndërfaqen VLAN.
Tre kushte vendosin cilën politikë po testoni vërtet: ku krijohet paketa, ku hyn dhe me çfarë përputhet.
Vendi ku hyn paketa vendos cila politikë ekzekutohet
Një route-map ndërfaqeje e lidhur me ip policy route-map zbatohet për paketat që mbërrijnë në atë ndërfaqe, siç përshkruan udhëzuesi PBR i IOS XE. Një host në VLAN 10 dërgon kërkesën e tij, korniza mbërrin në nënndërfaqen VLAN dhe ruteri vlerëson politikën atje. Paketa e vetë ruterit nuk mbërrin kurrë në atë ndërfaqe, sepse lindi brenda ruterit.
Zgjedhja e adresës VLAN si burim ndryshon kryet. Nuk ndryshon origjinën.
Pse ping-u me burim ende nuk është hosti
Adresa e burimit ka rëndësi për një përputhje ACL, dhe pikërisht kjo e bën testin kaq bindës. Paketa përputhet me një klauzolë burimi, numëruesit rriten dhe dalja duket e saktë. Ajo që testi nuk mund të tregojë është ndërfaqja hyrëse, konteksti i mbërritjes ose nëse një paketë e hostit do të merrte të njëjtën degë.
Një test që riprodhon përputhjen por jo kontekstin vërteton gjysmën e dizajnit, dhe me gjysmë prove dizajnet dalin me politikën e gabuar.
Kur një politikë lokale është përgjigja e saktë
Cisco dokumenton ip local policy route-map për trafikun që ruteri gjeneron vetë. Kjo është një shtrirje e veçantë, dhe është mjeti i saktë kur kërkesa ka të bëjë vërtet me trafikun e vetë ruterit. Nuk është një hap që mungon dhe që i duhet çdo dizajni të drejtimit të VLAN. Përputhja e gjerë atje mund të prekë edhe lidhjet e menaxhimit dhe të mbështetjes, që është një ndryshim shumë më i madh sesa duket.
TCP i gjeneruar lokalisht ka një parakusht shtesë: i duhet një zë destinacioni i zbatueshëm në tabelën e rrugëzimit edhe kur politika zgjedh një rrugë tjetër. Një rezultat ICMP nuk vërteton të njëjtën sjellje për TCP.
Çfarë të testoni në host në vend të kësaj
Ekzekutoni testin nga një host i autorizuar në VLAN 10, me adresën e tij reale të burimit, destinacionin, protokollin dhe portin. Regjistroni ndërfaqen hyrëse dhe përputhjen e route-map pranë rezultatit, që prova të emërtojë politikën që u ekzekutua. Më pas përsëriteni për një host në VLAN 20 dhe konfirmoni se merr rrugën tjetër.
Të dyja rrugët kërkojnë next hop funksionalë, arritshmëri kthimi dhe, kur zbatohet, mbulim VPN. PBR zgjedh një vendim përcjelljeje; nuk krijon shërbimin në distancë dhe nuk i jep leje aplikacionit.
Çfarë mund dhe çfarë nuk mund të provojë rezultati
Një rrjedhë e suksesshme hosti provon se politika përputhej dhe rruga e zgjedhur funksionoi në atë moment. Nuk provon se trafiku i vetë ruterit drejtohet, dhe nuk provon se aplikacioni ishte i autorizuar, sepse këto janë pyetje të ndryshme me prova të ndryshme.
Mbajeni ping-un në regjistër si provë për një paketë lokale. Më pas shkoni të merrni provën e rrjedhës së hostit, në vend që të zgjeroni shtrirjen e politikës derisa dy testet të duken rastësisht njësoj.