Ping ng router kumpara sa host ng VLAN: aling patakaran ng PBR ang nalalapat?

Dapat gamitin ng VLAN 10 ang VPN at ng VLAN 20 ang WAN, kaya ang unang pagsubok ay ping mula sa router na may address ng interface ng VLAN 10 bilang pinagmulan. Nagtagumpay ito, tumataas ang mga counter ng route-map at napagpasyahan ng lahat na gumagana ang disenyo. Hindi ito gumagana. Ang ping na iyon ay nabuo nang lokal, at ang trapikong nabuo nang lokal ay umaabot sa ibang attachment point ng patakaran kaysa sa packet na dumarating sa interface ng VLAN.

Tatlong kondisyon ang nagtatakda kung aling patakaran ang tunay mong sinusubukan: saan nilikha ang packet, saan ito pumapasok at ano ang tinatugmaan nito.

Kung saan pumapasok ang packet ang nagtatakda kung aling patakaran ang tumatakbo

Ang route-map ng interface na ikinabit gamit ang ip policy route-map ay nalalapat sa mga packet na dumarating sa interface na iyon, gaya ng inilalarawan ng gabay sa PBR ng IOS XE. Ang host sa VLAN 10 ay nagpapadala ng kahilingan nito, dumarating ang frame sa subinterface ng VLAN at sinusuri ng router ang patakaran doon. Ang sariling packet ng router ay hindi kailanman dumarating sa interface na iyon, dahil isinilang ito sa router.

Ang pagpili ng address ng VLAN bilang pinagmulan ay nagbabago sa header. Hindi nito binabago ang pinagmulan.

Bakit ang ping na may pinagmulan ay hindi pa rin ang host

Mahalaga ang address ng pinagmulan sa tugma ng ACL, at iyon ang dahilan kung bakit nakakumbinsi ang pagsubok. Tumutugma ang packet sa isang sugnay ng pinagmulan, tumataas ang mga counter at mukhang tama ang output. Ang hindi maipapakita ng pagsubok ay ang ingress interface, ang konteksto ng pagdating o kung kukuha ba ng parehong sangay ang packet ng host.

Ang pagsubok na nagreproduk ng tugma ngunit hindi ang konteksto ay nagpapatunay ng kalahati ng disenyo, at sa kalahating patunay lumalabas ang mga disenyo na may maling patakaran.

Kailan ang lokal na patakaran ang tamang sagot

Idinodokumento ng Cisco ang ip local policy route-map para sa trapikong nililikha ng router mismo. Iyon ay hiwalay na saklaw, at iyon ang tamang kasangkapan kapag ang pangangailangan ay tunay na tungkol sa sariling trapiko ng router. Hindi ito nawawalang hakbang na kailangan ng bawat disenyo ng pagpapadala ng VLAN. Ang malawak na tugma doon ay maaari ring makaapekto sa mga koneksyon sa pamamahala at suporta, na isang pagbabagong mas malaki kaysa sa tila.

Ang TCP na nabuo nang lokal ay may karagdagang paunang kundisyon: kailangan nito ng naaangkop na entry ng destinasyon sa routing table kahit na pumili ang patakaran ng ibang landas. Ang resulta ng ICMP ay hindi nagpapatunay ng parehong pag-uugali para sa TCP.

Ano ang dapat subukan sa host sa halip

Patakbuhin ang pagsubok mula sa awtorisadong host sa VLAN 10, kasama ang tunay nitong address ng pinagmulan, destinasyon, protocol at port. Itala ang ingress interface at ang tugma ng route-map sa tabi ng resulta, upang pangalanan ng ebidensiya ang patakarang tumakbo. Pagkatapos ay ulitin para sa host sa VLAN 20 at kumpirmahin na kumukuha ito ng kabilang landas.

Ang dalawang landas ay nangangailangan ng gumaganang next hop, kakayahang maabot pabalik at, kung naaangkop, saklaw ng VPN. Pumipili ang PBR ng desisyon sa pagpapasa; hindi ito lumilikha ng malayong serbisyo at hindi nagbibigay ng pahintulot sa aplikasyon.

Ano ang maaari at hindi maipapatunay ng resulta

Ang matagumpay na daloy ng host ay nagpapatunay na tumugma ang patakaran at gumana ang piniling landas sa sandaling iyon. Hindi nito napatutunayan na ang sariling trapiko ng router ay pinapadala, at hindi nito napatutunayan na ang aplikasyon ay awtorisado, dahil magkaibang tanong iyon na may magkaibang ebidensiya.

Itago ang ping sa talaan bilang ebidensiya tungkol sa lokal na packet. Pagkatapos ay kunin ang ebidensiya ng daloy ng host, sa halip na palawakin ang saklaw ng patakaran hanggang sa magkahawig ang dalawang pagsubok.