Пинг рутера наспрам VLAN хоста: која PBR политика важи?
Пинг који рутер шаље није пакет са VLAN хоста, чак и када је адреса тог интерфејса наведена као извор. Тестирајте ток хоста пре него што проширите обим политике.
VLAN 10 треба да користи VPN, а VLAN 20 WAN, па је први тест пинг са рутера са адресом интерфејса VLAN 10 као извором. Успева, бројачи route-map расту и сви закључе да дизајн ради. Не ради. Тај пинг је генерисан локално, а локално генерисан саобраћај долази до друге тачке прикључка политике него пакет који пристиже на интерфејс VLAN.
Три услова одлучују коју политику заправо тестирате: где пакет настаје, где улази и чему одговара.
Где пакет улази одлучује која се политика извршава
Route-map интерфејса приложена са ip policy route-map примењује се на пакете који пристижу на тај интерфејс, како описује водич за PBR у IOS XE. Хост у VLAN 10 шаље свој захтев, оквир пристиже на подинтерфејс VLAN и рутер тамо процењује политику. Сопствени пакет рутера никада не пристиже на тај интерфејс јер је настао у рутеру.
Избор адресе VLAN као извора мења заглавље. Не мења порекло.
Зашто пинг са извором још увек није хост
Изворна адреса је важна за подударање са ACL-ом и управо то тест чини тако уверљивим. Пакет одговара клаузули извора, бројачи расту и излаз изгледа исправно. Тест не може да покаже улазни интерфејс, контекст доласка ни да ли би пакет хоста изабрао исту грану.
Тест који репродукује подударање, али не контекст, доказује пола дизајна, а управо се са пола доказа дизајни пуштају у погон са погрешном политиком.
Када је локална политика прави одговор
Cisco документује ip local policy route-map за саобраћај који рутер сам генерише. То је одвојен обим и прави алат када се захтев заиста односи на саобраћај самог рутера. То није корак који недостаје и који треба сваком дизајну управљања VLAN-ом. Широко подударање тамо може утицати и на управљачке и помоћне везе, што је много већа промена него што изгледа.
Локално генерисани TCP има додатни предуслов: потребан му је применљив одредни унос у табели рутирања чак и када политика изабере други пут. Резултат ICMP-а не доказује исто понашање за TCP.
Шта уместо тога тестирати на хосту
Покрените тест са овлашћеног хоста у VLAN 10, са његовом стварном изворном адресом, одредиштем, протоколом и портом. Забележите улазни интерфејс и подударање route-map поред резултата, како би доказ именовао политику која се извршила. Затим поновите за хост у VLAN 20 и потврдите да бира други пут.
Оба пута требају исправне next hop-ове, повратну доступност и, где је применљиво, покривеност VPN-ом. PBR бира одлуку о прослеђивању; не ствара удаљену услугу нити даје апликацији дозволу.
Шта резултат може, а шта не може да докаже
Успешан ток хоста доказује да се политика подударала и да је изабрани пут у том тренутку радио. Не доказује да је саобраћај самог рутера усмерен, нити да је апликација била овлашћена, јер су то различита питања са различитим доказима.
Задржите пинг у запису као доказ о локалном пакету. Затим идите по доказ тока хоста, уместо да проширите обим политике док два теста случајно не почну да изгледају исто.