ACE: vlan interface 宛の ping に失敗する

CscTsWebDocs · ‎2014-10-24

2014年10月24日（初版）

TAC SR Collection

主な問題

ACE の vlan interface に対して ping を実行した場合、ping に
失敗する interface が存在する。

client -- [vlan10] -- ACE -- [vlan20] --

例えば、上記のような構成の場合、vlan 10 interface 宛ての ping
は成功し、vlan 20 宛ての通信には失敗する。

原因

この動作は ACE の実装上期待通りの動作になります。

security の観点から、受信した vlan interface から ACE 内を経由して、
異なる vlan interface に到達するような ping は許可していません。

上記例の場合、vlan 20 interface 宛ての ping が ACE 内を経由するため、
ping に失敗しています。

この動作については下記にも記載がございます。

---
For security reasons, the ACE does not allow pings from an interface
on a VLAN on one side of the ACE through the device to an interface
on a different VLAN on the other side of the ACE. For example, you
cannot ping a VIP from a server if the VIP is on a VLAN that is different
from the server VLAN.

http://www.cisco.com/c/en/us/td/docs/interfaces_modules/services_modules
/ace/vA5_1_0/configuration/slb/guide/slbgd/classlb.html#wp1000929
---

解決策

vlan 20 interface 宛ての ping を行うためには、routing table を変更するなどし、
下記のように ACE を経由しない構成に変更し、ping を実行する必要があります。

client -- [vlan10] -- ACE -- [vlan20] <--+
  |                                      |
  +--------------------------------------+