Router pingi va VLAN xosti: qaysi PBR siyosati amal qiladi?
Router yuborgan ping VLAN xostidan kelgan paket emas, hatto o‘sha interfeys manzili manba sifatida ko‘rsatilgan bo‘lsa ham. Siyosat doirasini kengaytirishdan oldin xost oqimini sinab ko‘ring.
VLAN 10 VPN, VLAN 20 esa WAN ishlatishi kerak, shuning uchun birinchi sinov — VLAN 10 interfeys manzili manba sifatida ko‘rsatilgan routerdan ping. U muvaffaqiyatli o‘tadi, route-map hisoblagichlari oshadi va hamma loyiha ishlaydi degan xulosaga keladi. U ishlamaydi. Bu ping lokal ravishda yaratilgan, lokal yaratilgan trafik esa VLAN interfeysiga keladigan paketdan boshqa siyosat biriktirish nuqtasiga yetadi.
Siz aslida qaysi siyosatni sinayotganingizni uch shart hal qiladi: paket qayerda yaratiladi, qayerda kiradi va nimaga mos keladi.
Paket kirgan joy qaysi siyosat bajarilishini hal qiladi
ip policy route-map bilan biriktirilgan interfeys route-map o‘sha interfeysga keladigan paketlarga qo‘llaniladi, buni IOS XE PBR qo‘llanmasi tavsiflaydi. VLAN 10 xosti so‘rovini yuboradi, kadr VLAN subinterfeysiga keladi va router siyosatni shu yerda baholaydi. Routerning o‘z paketi bu interfeysga hech qachon kelmaydi, chunki u routerda tug‘ilgan.
VLAN manzilini manba sifatida tanlash sarlavhani o‘zgartiradi. U kelib chiqishni o‘zgartirmaydi.
Nega manbaga ega ping hali ham xost emas
Manba manzili ACL mosligi uchun muhim va aynan shu sinovni bunchalik ishonchli qiladi. Paket manba shartiga mos keladi, hisoblagichlar oshadi va chiqish to‘g‘ri ko‘rinadi. Sinov kirish interfeysini, kelish kontekstini yoki xost paketi o‘sha shoxobchani tanlaydimi-yo‘qmi ko‘rsata olmaydi.
Moslikni, lekin kontekstni qayta tiklaydigan sinov loyihaning yarmini isbotlaydi va aynan yarim dalil bilan loyihalar noto‘g‘ri siyosat bilan ishga chiqadi.
Qachon lokal siyosat to‘g‘ri javob bo‘ladi
Cisco router o‘zi yaratadigan trafik uchun ip local policy route-map hujjatlashtiradi. Bu alohida doira va talab haqiqatan routerning o‘z trafigiga tegishli bo‘lganda to‘g‘ri vosita. Bu har bir VLAN boshqaruv loyihasiga kerak bo‘ladigan yetishmayotgan qadam emas. U yerda keng moslik boshqaruv va yordamchi ulanishlarga ham ta’sir qilishi mumkin, bu ko‘rinadiganidan ancha katta o‘zgarish.
Lokal yaratilgan TCP qo‘shimcha shartga ega: siyosat boshqa yo‘lni tanlasa ham, unga marshrutlash jadvalida mos keladigan manzil yozuvi kerak. ICMP natijasi TCP uchun bir xil xatti-harakatni isbotlamaydi.
Buning o‘rniga xostda nimani sinash kerak
Sinovni VLAN 10 dagi ruxsat etilgan xostdan uning haqiqiy manba manzili, manzili, protokoli va porti bilan ishga tushiring. Kirish interfeysi va route-map mosligini natija yoniga yozib qo‘ying, dalil bajarilgan siyosatni nomlasin. Keyin VLAN 20 xosti uchun takrorlang va u boshqa yo‘lni tanlashini tasdiqlang.
Ikkala yo‘l ham ishlaydigan next hop, qaytish yetib boruvchanligi va zarur bo‘lsa VPN qamrovini talab qiladi. PBR uzatish qarorini tanlaydi; u masofaviy xizmatni yaratmaydi va ilovaga ruxsat bermaydi.
Natija nimani isbotlay oladi va nimani isbotlay olmaydi
Muvaffaqiyatli xost oqimi siyosat mos kelganini va tanlangan yo‘l o‘sha paytda ishlaganini isbotlaydi. U routerning o‘z trafigi yo‘naltirilayotganini isbotlamaydi va ilova ruxsat etilganini ham isbotlamaydi, chunki bular turli dalillarga ega turli savollardir.
Pingni yozuvda lokal paket haqidagi dalil sifatida saqlang. Keyin ikkala sinov tasodifan o‘xshash bo‘lguncha siyosat doirasini kengaytirish o‘rniga xost oqimining dalilini olishga boring.