Ping từ router và host VLAN: chính sách PBR nào áp dụng?

VLAN 10 nên dùng VPN và VLAN 20 nên dùng WAN, vì vậy thử nghiệm đầu tiên là ping từ router với địa chỉ giao diện VLAN 10 làm nguồn. Nó thành công, bộ đếm route-map tăng lên và mọi người kết luận thiết kế hoạt động. Nó không hoạt động. Ping đó được tạo cục bộ, và lưu lượng tạo cục bộ đến một điểm gắn chính sách khác với gói tin đến trên giao diện VLAN.

Ba điều kiện quyết định chính sách bạn thực sự đang kiểm tra: gói tin được tạo ở đâu, nó vào ở đâu và khớp với gì.

Nơi gói tin đi vào quyết định chính sách nào chạy

Route-map giao diện được gắn bằng ip policy route-map áp dụng cho gói tin đến trên giao diện đó, như hướng dẫn PBR của IOS XE mô tả. Host trong VLAN 10 gửi yêu cầu, khung đến giao diện con VLAN và router đánh giá chính sách tại đó. Gói tin của chính router không bao giờ đến giao diện đó, vì nó sinh ra trong router.

Chọn địa chỉ VLAN làm nguồn thay đổi phần đầu. Nó không thay đổi nguồn gốc.

Vì sao ping có nguồn vẫn không phải host

Địa chỉ nguồn quan trọng với việc khớp ACL, và đó chính là điều khiến thử nghiệm thuyết phục đến vậy. Gói tin khớp một điều khoản nguồn, bộ đếm tăng lên và đầu ra trông đúng. Điều thử nghiệm không thể cho thấy là giao diện vào, bối cảnh đến, hay liệu gói tin của host có đi cùng nhánh đó không.

Một thử nghiệm tái tạo sự khớp nhưng không tái tạo bối cảnh chỉ chứng minh một nửa thiết kế, và chính với nửa bằng chứng đó các thiết kế ra đời với chính sách sai.

Khi nào chính sách cục bộ là câu trả lời đúng

Cisco ghi nhận ip local policy route-map cho lưu lượng mà router tự tạo ra. Đó là phạm vi riêng, và là công cụ đúng khi yêu cầu thực sự liên quan đến lưu lượng của chính router. Đó không phải bước còn thiếu mà mọi thiết kế điều hướng VLAN đều cần. Việc khớp rộng ở đó cũng có thể ảnh hưởng đến kết nối quản lý và hỗ trợ, một thay đổi lớn hơn nhiều so với vẻ ngoài.

TCP tạo cục bộ có điều kiện tiên quyết bổ sung: nó cần một mục đích đến áp dụng được trong bảng định tuyến ngay cả khi chính sách chọn đường khác. Kết quả ICMP không chứng minh cùng hành vi cho TCP.

Thay vào đó nên kiểm tra gì trên host

Chạy thử nghiệm từ một host được cấp quyền trong VLAN 10, với địa chỉ nguồn, đích, giao thức và cổng thực của nó. Ghi lại giao diện vào và sự khớp route-map bên cạnh kết quả, để bằng chứng nêu tên chính sách đã chạy. Sau đó lặp lại với host trong VLAN 20 và xác nhận nó đi đường khác.

Cả hai đường cần next hop hoạt động, khả năng tiếp cận trở về và, khi áp dụng, độ phủ VPN. PBR chọn một quyết định chuyển tiếp; nó không tạo dịch vụ từ xa hay cấp quyền cho ứng dụng.

Kết quả có thể và không thể chứng minh điều gì

Một luồng host thành công chứng minh chính sách đã khớp và đường đã chọn hoạt động tại thời điểm đó. Nó không chứng minh lưu lượng của chính router được điều hướng, và không chứng minh ứng dụng được cấp quyền, vì đó là những câu hỏi khác nhau với bằng chứng khác nhau.

Giữ ping trong hồ sơ như bằng chứng về một gói tin cục bộ. Sau đó đi lấy bằng chứng luồng host, thay vì mở rộng phạm vi chính sách cho đến khi hai thử nghiệm tình cờ trông giống nhau.