ASA-failback: wat werklik beweeg wanneer die roete terugkeer
As die roete na die primere pad terugkeer, het ou vloeie nie noodwendig beweeg nie. Kyk saam na die uplink, die tonnel, die verbindingstabel en die programresultaat.
Op 'n ASA met twee uplinks is failback nie die omgekeerde van failover nie. Die roete na die eweknie verander, en die platform moet dan drie afsonderlike toestandmasjiene versoen: die roetetabel, die IKE- en IPsec-sekuriteitsassosiasies en die verbindingstabel. Elkeen kan agter die ander aan sleep, en dit is juis daardie vertraging wat mense gewoonlik beskryf as 'n tonnel wat nie wil terugkom nie.
Wat failback werklik verander
Die roetesoektog is die sigbare deel. Wanneer die gemoniteerde objek herstel, keer die gemoniteerde roete na die eweknie se buitenste adres terug, en die volgende pakkie wat die ASA stuur, volg weer die primere skakel. Alles daarna hang daarvan af of die bestaande toestand met die nuwe pad saamstem.
ARP en NAT is die stil afhanklikhede. 'n Nuwe volgende sprong het 'n oplosbare poort en 'n vertaling nodig wat nog by die verre kant pas, anders gaan die eerste pakkies na failback nergens heen en lyk die roete fyn terwyl niks werk nie.
Vier blikke op een tydlyn
Teken dieselfde vier dinge voor, tydens en na die oorgang aan, want 'n enkele momentopname kan jou nie se watter laag beweeg het nie.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
'n Roete wat nooit verander het nie en 'n roete wat verander het terwyl 'n ouer verbinding sy aanstuur-besluit behou het, lewer dieselfde klagte en heeltemal verskillende bewyse.
Waarom ou verbindings op die rugsteunpad bly
Die ASA breek nie 'n vloei af net omdat 'n roete verander het nie. Gevestigde verbindings behou die aanstuur-besluit waarmee hulle geskep is, en die platform bied afsonderlike beheermaatreels vir hoe lank dit toegelaat word: floating-connection-tydsperking en connection holddown. Cisco se ASA 9.24 connection-settings guide behandel hulle as afsonderlike vrae, en dit is presies hoe hulle optree. Die een beheer die voortbestaan van 'n bestaande vloei; die ander beheer wanneer nuwe vloei die voorkeurpad mag gebruik.
Lees die effektiewe waardes vir jou weergawe voordat jy een van die twee verander. Om hulle te verlaag sluit sessies wat mense nog gebruik. Om hulle te verhoog laat failback lyk asof dit nooit gebeur het nie, want nuwe verbindings bly vir daardie duur die ou pad neem.
'n Tonnel herbemeester nie sleutels omdat 'n roete teruggekeer het nie
IPsec-sekuriteitsassosiasies dra hul eie onderhandelde leeftyd, en hulle oorleef die roeteverandering wat hulle gedra het. 'n Tonnel kan dus deur 'n failback bly staan terwyl sy buitenste adressering nie meer by die pad in gebruik pas nie, wat die argument is vir DPD en vir ontwerpe wat die eweknie-adres vasspin in plaas daarvan om dit te laat sweef.
Crypto-map- en VTI-ontwerpe gedra hulle hier anders, en Cisco se 9.24 VTI-dokumentasie beskryf die roetegebaseerde opsie. Die ou algemene bewering dat 'n ASA nie roetegebaseerde VPN's kan loop nie, geld nie vir ondersteunde weergawes nie.
Lees die bewyse in hierdie volgorde
Begin met die beheervlak: show route vir die gekose pad, show interface vir skakeltoestand, en die SLA-monitor-tellers vir die gemoniteerde objek. Lees dan show crypto ikev2 sa, of die IKEv1-ekwivalent, om te sien watter eweknie lewendig is, gevolg deur show crypto ipsec sa vir die beskermde vloei. Beperk dan die verbindingstabel met show conn address <host> en vergelyk die koppelvlakkolom oor ou en nuwe inskrywings. Skryf die uitsette met tydstempels neer, want hul volgorde is die diagnose.
Sluit af met 'n programtoets: een vloei wat reeds bestaan het, een wat geskep is nadat die roete teruggekeer het. As die ou vloei misluk en die nuwe een werk, het jy 'n verhaal oor verbindingstoestand. As albei misluk, is die tonnel of die beleid verkeerd en is die verbindingstabel 'n afleiding.
Hou daardie rekord in dieselfde vorm oor al drie fases, en noteer die presiese weergawe. Wanneer die tydlyn aanhou om na 'n enkele oorgang te wys, stuur die rekord aan ondersteuning eerder as om na 'n fout-ID te raai.