Router ping'i ile VLAN ana bilgisayarı: hangi PBR ilkesi geçerli?

VLAN 10 VPN'i, VLAN 20 ise WAN'ı kullanmalıdır, bu yüzden ilk test VLAN 10'un arayüz adresini kaynak alan router ping'idir. Başarılı olur, route-map sayaçları artar ve herkes tasarımın çalıştığı sonucuna varır. Çalışmaz. O ping yerel olarak üretildi ve yerel olarak üretilen trafik, VLAN arayüzüne gelen bir paketten farklı bir ilke bağlantı noktasına ulaşır.

Gerçekte hangi ilkeyi test ettiğinizi üç koşul belirler: paketin nerede oluşturulduğu, nereye girdiği ve neyle eşleştiği.

Paketin nereye girdiği hangi ilkenin çalıştığını belirler

ip policy route-map ile bağlanan arayüz route-map'i o arayüze gelen paketlere uygulanır, IOS XE PBR kılavuzunun açıkladığı gibi. VLAN 10'daki ana bilgisayar isteğini gönderir, çerçeve VLAN alt arayüzüne gelir ve router ilkeyi orada değerlendirir. Router'ın kendi paketi o arayüze asla gelmez, çünkü router içinde doğmuştur.

VLAN adresini kaynak olarak seçmek başlığı değiştirir. Kökeni değiştirmez.

Kaynaklı ping neden hâlâ ana bilgisayar değil

Kaynak adresi bir ACL eşleşmesi için önemlidir ve testi bu kadar ikna edici yapan tam da budur. Paket bir kaynak koşuluyla eşleşir, sayaçlar artar ve çıktı doğru görünür. Testin gösteremediği şey giriş arayüzü, varış bağlamı veya ana bilgisayar paketinin aynı dalı seçip seçmeyeceğidir.

Eşleşmeyi yeniden üreten ama bağlamı üretmeyen bir test tasarımın yarısını kanıtlar ve tasarımlar tam da yarım kanıtla yanlış ilkeyle yayına çıkar.

Yerel bir ilke ne zaman doğru cevaptır

Cisco, router'ın kendisinin ürettiği trafik için ip local policy route-map belgesini sunar. Bu ayrı bir kapsamdır ve gereksinim gerçekten router'ın kendi trafiğiyle ilgili olduğunda doğru araçtır. Her VLAN yönlendirme tasarımının ihtiyaç duyduğu eksik bir adım değildir. Oradaki geniş eşleşme yönetim ve destek bağlantılarını da etkileyebilir, bu da göründüğünden çok daha büyük bir değişikliktir.

Yerel olarak üretilen TCP'nin ek bir önkoşulu vardır: ilke başka bir yol seçse bile yönlendirme tablosunda uygulanabilir bir hedef girdisine ihtiyaç duyar. ICMP sonucu TCP için aynı davranışı kanıtlamaz.

Bunun yerine ana bilgisayarda ne test edilmeli

Testi VLAN 10'daki yetkili bir ana bilgisayardan gerçek kaynak adresi, hedefi, protokolü ve bağlantı noktasıyla çalıştırın. Giriş arayüzünü ve route-map eşleşmesini sonucun yanına kaydedin, böylece kanıt çalışan ilkeyi adlandırsın. Ardından VLAN 20'deki ana bilgisayar için yineleyin ve diğer yolu seçtiğini doğrulayın.

Her iki yol da çalışan next hop, geri dönüş erişilebilirliği ve uygulanabildiğinde VPN kapsamı gerektirir. PBR bir iletme kararı seçer; uzak hizmeti oluşturmaz veya uygulamaya izin vermez.

Sonuç neyi kanıtlayabilir ve neyi kanıtlayamaz

Başarılı bir ana bilgisayar akışı ilkenin eşleştiğini ve seçilen yolun o anda çalıştığını kanıtlar. Router'ın kendi trafiğinin yönlendirildiğini kanıtlamaz ve uygulamanın yetkilendirildiğini de kanıtlamaz, çünkü bunlar farklı kanıtlara sahip farklı sorulardır.

Ping'i kayıtta yerel bir pakete ilişkin kanıt olarak saklayın. Ardından ana bilgisayar akışının kanıtını almaya gidin, iki test tesadüfen birbirine benzeyene kadar ilkenin kapsamını genişletmek yerine.