नीति-आधारित रूटिंग (PBR), मुख्य उद्देश्य के रूप में (भाग 2)

प्रस्तावना।

जैसा कि उन्होंने पहले लेख की टिप्पणियों में कहा था, वे दूसरे लेख तक नहीं पहुँच सकते, क्योंकि वे पानी में दिखते थे। वह बहुत लंबे समय तक अधूरी रही। अब मैंने थोड़ा सा ध्यान दिया, मुझे केवल पहले भाग के लिए विवरणों और इच्छाओं को व्यक्त करना पड़ा। लेकिन मुझे लगता है कि लेख की इस निरंतरता के कारण ब्याज अभी भी होगा, हालांकि यह व्यक्त किया गया था कि पीबीआर एक भोज और पस्त विषय है। अन्य मामलों में, मैं सहमत हूं, लेकिन अगले लेख को लिखने के लिए, आपको अभी भी वही पूरा करना होगा जो आपने पहले शुरू किया था ।

लेख की निरंतरता में कौन रुचि रखते हैं? बिल्ली में आपका स्वागत है।

योजना से परिचित।

पीबीआर के साथ खुद को परिचित करने के लिए, मैंने एक वर्चुअल ऑफिस आरेख को स्केच किया। इसमें 3 राउटर, एक स्विच, 2 सर्वर और एक प्रतीकात्मक ग्राहक शामिल हैं, जो एक व्यक्ति में उपयोगकर्ता पीसी का प्रतिनिधित्व करता है:
1. हमारे कार्यालय का रूटर (आर 1)।
2. प्राथमिक प्रदाता (ISP1) का राउटर।
3. स्टैंडबाय प्रदाता राउटर (ISP2)।
4. मेल सर्वर (मेल)
5. प्रॉक्सी सर्वर (प्रॉक्सी)
6. स्विच (ws1)
7. ग्राहक (पीसी)

इसके अलावा, मैंने आरेख में दूरस्थ कार्यालय को प्रदर्शित नहीं किया, लेकिन लेख में इसे निहित किया जाएगा।
और इसलिए सर्किट का एक आसान विवरण। हमारे पास उपयोगकर्ताओं का एक नेटवर्क है, 192.168.0.0/27 उन्हें आंतरिक मेल, इंटरनेट और अन्य जैसी सेवाओं की आवश्यकता है जो हमारी योजना में तय नहीं हैं। सर्वर हमारे नेटवर्क 192.168.0.32/29 (2 सर्वर, एक आंतरिक मेल सर्वर और एक प्रॉक्सी सर्वर आरेख में दिखाए गए हैं) पर रहेंगे। खैर, बाहरी नेटवर्क (मैं ग्रे नेटवर्क लेगा, जिसका अर्थ है उनके नीचे सफेद)। कुल हमें निम्न पता योजना मिलती है।


प्रारंभिक डेटा, हमने अब प्रदर्शित किया है, हम उपकरण के कॉन्फ़िगरेशन पर आगे बढ़ेंगे, पहले मैं वर्चुअल ऑफिस के उपकरणों को कॉन्फ़िगर करूंगा, क्योंकि वे कहते हैं कि "क्या काम करेगा" (मैं पीबीआर के बारे में लेख की तरह पूर्ण कॉन्फ़िगरेशन नहीं दूंगा)। कॉन्फ़िगरेशन में स्रोत डेटा स्थानांतरित करते समय, हमें यह मिलता है:

R1#sh run | b int
interface Tunnel1
description ### tunnel over ISP1 ###
ip address 192.168.1.1 255.255.255.252
tunnel source 10.1.1.2
tunnel destination 10.0.0.2
!
interface Tunnel2
description ### tunnel over ISP2 ###
ip address 192.168.2.1 255.255.255.252
tunnel source 10.2.2.2
tunnel destination 10.0.0.2
!
interface GigabitEthernet0/0
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/0.10
description ### client network ###
encapsulation dot1Q 10
ip address 192.168.0.1 255.255.255.224
!
interface GigabitEthernet0/0.20
description ### servers network ###
encapsulation dot1Q 20
ip address 192.168.0.33 255.255.255.224
!
interface GigabitEthernet0/0.30
description ### proxy out int ####
encapsulation dot1Q 30
ip address 192.168.0.65 255.255.255.252
!
interface GigabitEthernet0/1
no ip address
duplex auto
speed auto
!
interface GigabitEthernet0/1.40
description ### ISP1 p-to-p ###
encapsulation dot1Q 40
ip address 10.1.1.2 255.255.255.252
!
interface GigabitEthernet0/1.50
description ### ISP2 p-to-p ###
encapsulation dot1Q 50
ip address 10.2.2.2 255.255.255.252


Ws1 स्विच कॉन्फ़िगरेशन, मैं नहीं दूंगा। आइए एक शब्द लेते हैं, जो अपने vlan के सभी पोर्ट्स, मोड्स ट्रंक में, केवल वांछित vlan के माध्यम से चलते हैं। आप सर्वर के बारे में भी यही कह सकते हैं, वे कॉन्फ़िगर किए गए हैं और सही ढंग से अपने कार्य को पूरा करते हैं।

स्थिति जब आपको बस लचीली रूटिंग की आवश्यकता होती है।

इसलिए यहां हमारे पास एक वर्चुअल ऑफिस है, और हम उपयोगकर्ताओं को नियंत्रित करना चाहते हैं, ट्रैफ़िक की गणना करना आदि। इसके लिए हमारे पास एक प्रॉक्सी सर्वर है (इसके बाद केवल प्रॉक्सी), इसलिए हमें उपयोगकर्ता नेटवर्क से प्रॉक्सी तक ट्रैफ़िक को लपेटने की आवश्यकता है। एक समस्या है, हम समाधान के लिए आगे बढ़ते हैं।
पहले आपको एक नेटवर्क चुनने की आवश्यकता है जिसके लिए हम एक राउटिंग मैप "ड्रा" करेंगे।
यह एसीएल के माध्यम से 2 तरीकों से किया जा सकता है, या तार्किक इंटरफ़ेस से गुजरने वाले ट्रैफ़िक को चिह्नित करने (लागू करने) के लिए, हम इसे पोरसी को निर्देशित करते हैं।
नक्शा इस तरह से बनाएं:

access-list 101 permit ip 192.168.0.0 0.0.0.31 any
!
route-map client permit 5
match ip address 101
set ip next-hop 192.168.0.35

या तो इस तरह:
route-map clientif permit 5
match interface GigabitEthernet0/0.10
set ip next-hop 192.168.0.35

एक और तरीका है, पैरामीटर, मैच को लागू किए बिना, सेट पैरामीटर के साथ कार्ड को बस इंटरफ़ेस पर लटका दिया जाता है, लेकिन मैं 100 प्रतिशत कार्य क्षमता के बारे में सुनिश्चित नहीं हूं, और यह परिणामों से भरा हुआ है, इसे लागू करना (सैद्धांतिक रूप से), जो रुचि रखते हैं, आप देखने की कोशिश कर सकते हैं।

परिणामस्वरूप हमें क्या मिलता है। सभी क्लाइंट ट्रैफ़िक हमारे प्रॉक्सी पर जाएंगे, और फिर प्रॉक्सी पहले ही अपनी रूटिंग टेबल के साथ परामर्श करने के बारे में सोचेंगे जहां ट्रैफ़िक भेजना है। इस तस्वीर के साथ, हम एक छोटी सी बारीकियों है। ग्राहक (एमयूए) एक अतिरिक्त हॉप (प्रॉक्सी) के माध्यम से मेल सर्वर (एमटीए) का उपयोग करते हैं, और यह पहले से ही सेवाएं प्रदान करने की एक संभावित अतिरिक्त समस्या है, विशेष रूप से, एक पसीना सेवा। आखिरकार, प्रॉक्सी प्रशासक, उदाहरण के लिए, न केवल सर्वर को अधिभारित कर सकते हैं, बल्कि कार्यात्मक सेटिंग्स को भी अक्षम कर सकते हैं, और सर्वर पर केले के हार्डवेयर टूटने, और भाग्य के रूप में यह आपके स्थान से बाहर है और राउटर तक कोई पहुंच नहीं है। सामान्य तौर पर, यह पूरी तरह से सही नहीं है, इस अतिरिक्त हॉप को प्राप्त करना बेहतर है। यह भी कई तरीकों से किया जाता है:

1. जिस तरह से यह आईपी ​​नेक्स्ट-हॉप के बजाय रजिस्टर करना है, आईपी ​​डिफॉल्ट नेक्स्ट-हॉप । इस प्रकार, कार्ड मेल के लिए काम नहीं करेगा, क्योंकि हमारे पास नेटवर्क पर वैश्विक रूटिंग तालिका में है जो सीधे कनेक्शन है ।

2. हमारी सहायक शीट को फिर से लिखने का एक तरीका
access-list 101 deny ip 192.168.0.0 0.0.0.31 host 192.168.0.34
access-list 101 permit ip 192.168.0.0 0.0.0.31 any
स्वाभाविक रूप से, यहां आप उदाहरण के लिए संशोधित कर सकते हैं, ताकि हमारे पास क्लाइंट को सीधे प्रॉक्सी की भागीदारी के बिना सर्वर तक पहुंच प्राप्त हो, इसके बजाय:
access-list 101 deny ip 192.168.0.0 0.0.0.31 host 192.168.0.34
लिखने
access-list 101 deny ip 192.168.0.0 0.0.0.31 192.168.0.34 0.0.0.31

या बंदरगाहों के साथ एक नक्शा बनाएं। यानी उदाहरण के लिए, आप RDP के माध्यम से प्रॉक्सी पर पहुंच को नियंत्रित करना चाहते हैं, लेकिन मेल पोर्ट पर क्लाइंट सीधे चले गए, फिर हम इस तरह से शीट खींचते हैं:

access-list 101 deny tcp 192.168.0.0 0.0.0.31 host 192.168.0.34 eq smtp
access-list 101 permit ip 192.168.0.0 0.0.0.31 any

आईपी ​​लोकेल पॉलिसी के बारे में।

और इसलिए हमारे पास 2 प्रदाता हैं। पहले, आइए प्रदाताओं के साथ अपने राउटर के संचार को कॉन्फ़िगर करें। सबसे पहले, हम ड्रा करेंगे, ताकि राउटर पर इंटरफेस अपने गेटवे के माध्यम से प्रतिक्रिया करें, यह रूटिंग लूप से बचने के लिए है, अर्थात। जहां से पैकेट हमारे राउटर के पास आया था, वह वहां से चला जाएगा। जिस चित्र को हम इस तरह से देखना चाहते हैं वह इस प्रकार है: हमारे पास इंटरनेट गेटवे 10.1.1.1 में से एक है, यह राउटर पर डिफ़ॉल्ट मार्ग के रूप में पंजीकृत है। यदि आप इंटरनेट से 10.2.2.2 पर एक राउटर पर पहुंचने की कोशिश करते हैं, तो पैकेट उस तक पहुंच जाएगा, लेकिन जवाब में, यह 10.1.1.1 गेटवे के माध्यम से भेज देगा क्योंकि इसमें एक डिफ़ॉल्ट मार्ग है। और वहां चैनल "झूठ" कर सकता है और बस प्रदाता को 10.2.2.0/30 नेटवर्क के बारे में उपकरण नहीं पता होगा, या देरी बड़ी है। हम निम्नलिखित कदम उठाते हैं:
एक। हम प्रदाता के 2 स्वतंत्र नेटवर्क के लिए 2 शीट लिखते हैं।
access-list 105 permit ip 10.1.1.0 0.0.0.3 any
access-list 106 permit ip 10.2.2.0 0.0.0.3 any
ख। एक रूटिंग मैप बनाएं
route-map r1 permit 10
match ip address 105
set ip next-hop 10.1.1.1

route-map r1 permit 15
match ip address 106
set ip next-hop 10.2.2.1

में। हम अपने कार्ड को राउटर की स्थानीय नीति पर लागू करते हैं।
ip local policy route-map r1

यह ध्यान देने योग्य है कि कार्ड को आईपी ​​स्थानीय नीति पर लागू करते समय ट्रैफ़िक का पुनर्निर्देशन होगा जो राउटर पर ही उत्पन्न होता है और ट्रैफ़िक जो कि मैप के मार्ग के प्रसंस्करण के अंतर्गत नहीं आता है, राउटर की वैश्विक नीति के अनुसार कार्य करेगा। हमारे पास राउटर पर अन्य नेटवर्क भी हैं जो केवल राउटर से सीधे जुड़े हुए नेटवर्क के बीच संवाद करते हैं, ताकि अन्य नेटवर्कों में भी एक डिफ़ॉल्ट गेटवे हो, बस इस तरह की लाइन जोड़ें
route-map r1 permit 30
set ip next-hop 192.168.1.2
यह माना जाता है कि यह हॉप एक दूरस्थ कार्यालय में स्थित है, जिसके साथ आपको शेष नेटवर्क के साथ यातायात का आदान-प्रदान करने की आवश्यकता है। चूंकि हमारे पास 2 प्रदाताओं के माध्यम से 2 सुरंग हैं, इसलिए मुख्य सुरंग में गिरावट के मामले में आरक्षण करना उचित है। यह SLA का उपयोग करके किया जाता है ।
यह पर्याप्त मात्रा में वर्णित किया गया था और न केवल हब्र पर, मैं इस क्षण को छोड़ देता हूं।

nat और pbr के बारे में थोड़ा सा

फिलहाल, हम विचार करेंगे कि हमारी आंतरिक रूटिंग का आयोजन किया गया है, कम से कम हमारे उपयोगकर्ता प्रॉक्सी से गुजरते हैं, वे प्रॉक्सी को दरकिनार करते हुए इंटरनेट पर सर्वर नेटवर्क का उपयोग करते हैं।
लेकिन अगर हम इस स्थिति में छोड़ देते हैं, तो काम पर आने वाले उपयोगकर्ता, नेटवर्क पर अपने पसंदीदा संसाधनों को पढ़ना चाहते हैं, उनके मेल की जांच करेंगे, लेकिन उनके पास इंटरनेट नहीं है, तो वे सुनिश्चित करते हैं कि नेटवर्क पर व्यक्तिगत संसाधनों के अलावा, काम करने के लिए आवश्यक हैं। तो तुरंत एक चीख उठेगी।
इससे बचने के लिए, हमें मामले को अंत तक पूरा करना चाहिए। हम लेते हैं, हम प्रदाताओं के सफेद पते में प्रॉक्सी पते का अनुवाद करते हैं।

ip nat source route-map proxy1 interface GigabitEthernet0/1.40
ip nat source route-map proxy2 interface GigabitEthernet0/1.50

और फिर "बाबक" और अनुवाद काम नहीं करता है, नेट और लोकेल पॉलिसी काम नहीं करेगी, क्योंकि पते के अनुवाद के लिए, आपको वैश्विक रूटिंग तालिका में एक मार्ग की आवश्यकता है। यानी 2 प्रदाताओं को डिफ़ॉल्ट मार्गों को पंजीकृत करने की आवश्यकता है, किसी ने रद्द नहीं किया है। खैर, हम यहां ट्रैकिंग को तेज करते हैं।

तंत्र की छोटी छोटी चीजें और सूक्ष्मता।

राउटर के प्रोसेसर लोड का वर्णन करने के लिए टिप्पणियों में पिछले भाग में, प्रश्न और इच्छाएं फिसल गईं। मैं कहूंगा कि वह थोड़ा खाता है और दृश्य भार को नोटिस नहीं करता है। उदाहरण के लिए, 4948e katalist पर, जब 3 gigs के क्षेत्र में PBR के माध्यम से रूटिंग किया जाता है, तो व्यावहारिक रूप से कोई लोड नहीं होता है। और जब से लोडिंग का विषय सामने आया है। मैं कहूंगा कि PBR संस्करण 12.0 से cef (सिस्को एक्सप्रेस फॉरवार्डिंग) तकनीक का समर्थन करता है, यह डिफ़ॉल्ट रूप से सक्षम है, PBR के लिए cef को बंद करने के लिए, यह इंटरफ़ेस पर आईपी मार्ग-कैश पॉलिसी कमांड देने के लिए पर्याप्त है जो कार्ड को धारण करता है (स्वाभाविक रूप से भौतिक और sinterface पर नहीं)। जिसमें तेजी से स्विच करना शामिल है जो कैश में मार्गों को संग्रहीत करता है और प्रोसेसर को बहुत अधिक लोड नहीं करता है, लेकिन सी फास्ट-स्विचिंग सेट आईपी डिफ़ॉल्ट अगले-हॉप कमांड का समर्थन नहीं करता है।
इसके लिए, मुझे लगता है कि यह प्रयोग करने लायक नहीं है, और सीफ़ का उपयोग करें ।
खैर, विवरण और विवरण के बिना, मैं यह कहूंगा कि pbr बाहर काम कर सकता है या नहीं इस तरह के आदेशों के साथ मार्ग-मानचित्र सभी या मानचित्र के नाम के साथ ही सबसे महत्वपूर्ण डेटा के रूप में प्रदर्शित होता है:
पॉलिसी रूटिंग मैच: 76013668 पैकेट, 3726692270 बाइट्स

डिबग आईपी पॉलिसी यहां हम यह नहीं भूलते कि आप सीपीयू डाउनलोड करके राउटर डाल सकते हैं
नीति रूड कीवर्ड, इसका मतलब है कि पैकेट को खींचे गए नक्शे के अनुसार छोड़ दिया गया है,
और नीति को अस्वीकार कर दिया गया - जब पैकेट वैश्विक तालिका के अनुसार चला गया, तो रिवर्स स्थिति को सामान्य करना।

मारियो द्वारा पोस्ट किया गया