ปิงจากเราเตอร์กับโฮสต์ VLAN: นโยบาย PBR ใดใช้บังคับ?

VLAN 10 ควรใช้ VPN และ VLAN 20 ควรใช้ WAN ดังนั้นการทดสอบแรกคือปิงจากเราเตอร์โดยใช้ที่อยู่ส่วนติดต่อของ VLAN 10 เป็นต้นทาง สำเร็จ ตัวนับ route-map เพิ่มขึ้น และทุกคนสรุปว่าการออกแบบใช้งานได้ ไม่ได้เป็นเช่นนั้น ปิงนั้นถูกสร้างขึ้นภายในเครื่อง และทราฟฟิกที่สร้างภายในเครื่องไปถึงจุดเชื่อมต่อนโยบายที่แตกต่างจากแพ็กเก็ตที่มาถึงส่วนติดต่อ VLAN

สามเงื่อนไขตัดสินว่าคุณกำลังทดสอบนโยบายใดจริง ๆ: แพ็กเก็ตถูกสร้างที่ใด เข้าไปที่ใด และตรงกับอะไร

ตำแหน่งที่แพ็กเก็ตเข้าตัดสินว่านโยบายใดทำงาน

route-map ของส่วนติดต่อที่ผูกด้วย ip policy route-map ใช้กับแพ็กเก็ตที่มาถึงส่วนติดต่อนั้น ตามที่ คู่มือ PBR ของ IOS XE อธิบาย โฮสต์ใน VLAN 10 ส่งคำขอ เฟรมมาถึงส่วนติดต่อย่อย VLAN และเราเตอร์ประเมินนโยบายที่นั่น แพ็กเก็ตของเราเตอร์เองไม่เคยมาถึงส่วนติดต่อนั้น เพราะมันเกิดในเราเตอร์

การเลือกที่อยู่ VLAN เป็นต้นทางเปลี่ยนส่วนหัว ไม่เปลี่ยนจุดกำเนิด

ทำไมปิงที่มีต้นทางยังไม่ใช่โฮสต์

ที่อยู่ต้นทางมีความสำคัญต่อการตรงกันของ ACL และนั่นคือสิ่งที่ทำให้การทดสอบน่าเชื่อถือ ปิงตรงกับเงื่อนไขต้นทาง ตัวนับเพิ่มขึ้น และเอาต์พุตดูถูกต้อง สิ่งที่การทดสอบแสดงไม่ได้คือส่วนติดต่อขาเข้า บริบทการมาถึง หรือว่าแพ็กเก็ตของโฮสต์จะเลือกสาขาเดียวกันหรือไม่

การทดสอบที่ทำซ้ำการตรงกันแต่ไม่ทำซ้ำบริบทพิสูจน์เพียงครึ่งเดียวของการออกแบบ และด้วยหลักฐานเพียงครึ่งเดียว การออกแบบจึงออกไปพร้อมนโยบายที่ผิด

เมื่อใดนโยบายภายในเครื่องจึงเป็นคำตอบที่ถูกต้อง

Cisco จัดทำเอกสาร ip local policy route-map สำหรับทราฟฟิกที่เราเตอร์สร้างเอง นั่นเป็นขอบเขตแยกต่างหาก และเป็นเครื่องมือที่ถูกต้องเมื่อข้อกำหนดเกี่ยวข้องกับทราฟฟิกของเราเตอร์เองจริง ๆ ไม่ใช่ขั้นตอนที่ขาดหายซึ่งการออกแบบการกำหนดเส้นทาง VLAN ทุกแบบต้องการ การตรงกันแบบกว้างที่นั่นอาจส่งผลต่อการเชื่อมต่อเพื่อการจัดการและสนับสนุนด้วย ซึ่งเป็นการเปลี่ยนแปลงที่ใหญ่กว่าที่เห็นมาก

TCP ที่สร้างภายในเครื่องมีเงื่อนไขเบื้องต้นเพิ่มเติม: ต้องมีรายการปลายทางที่ใช้ได้ในตารางเส้นทางแม้นโยบายจะเลือกเส้นทางอื่น ผลลัพธ์ ICMP ไม่ได้พิสูจน์พฤติกรรมเดียวกันสำหรับ TCP

สิ่งที่ควรทดสอบบนโฮสต์แทน

รันการทดสอบจากโฮสต์ที่ได้รับอนุญาตใน VLAN 10 ด้วยที่อยู่ต้นทาง ปลายทาง โปรโตคอล และพอร์ตจริง บันทึกส่วนติดต่อขาเข้าและการตรงกันของ route-map ไว้ข้างผลลัพธ์ เพื่อให้หลักฐานระบุนโยบายที่ทำงาน จากนั้นทำซ้ำกับโฮสต์ใน VLAN 20 และยืนยันว่าเลือกเส้นทางอื่น

ทั้งสองเส้นทางต้องมี next hop ที่ทำงานได้ การเข้าถึงย้อนกลับ และเมื่อเกี่ยวข้อง ความครอบคลุม VPN PBR เลือกการตัดสินใจส่งต่อ ไม่ได้สร้างบริการระยะไกลหรือให้สิทธิ์แอปพลิเคชัน

ผลลัพธ์พิสูจน์ได้และพิสูจน์ไม่ได้อะไร

การไหลของโฮสต์ที่สำเร็จพิสูจน์ว่านโยบายตรงกันและเส้นทางที่เลือกทำงานในขณะนั้น ไม่ได้พิสูจน์ว่าทราฟฟิกของเราเตอร์เองถูกกำหนดเส้นทาง และไม่ได้พิสูจน์ว่าแอปพลิเคชันได้รับอนุญาต เพราะเป็นคำถามที่ต่างกันพร้อมหลักฐานที่ต่างกัน

เก็บปิงไว้ในบันทึกเป็นหลักฐานเกี่ยวกับแพ็กเก็ตภายในเครื่อง จากนั้นไปเก็บหลักฐานการไหลของโฮสต์ แทนที่จะขยายขอบเขตนโยบายจนการทดสอบทั้งสองดูคล้ายกันโดยบังเอิญ