Twee kriptokaarte, een vloei: die latere inskrywing is nie ’n rugsteun nie

Voeg ’n tweede kriptokaart-inskrywing vir dieselfde adrespaar by, wys dit na ’n ander eweknie, en jy het ’n failover-plan geskryf. Dit is die mite, en dit oorleef omdat dit soos elke ander geordende lys lyk wat jy al opgestel het. Die volgorde in ’n kriptokaart bepaal watter inskrywing ’n nuwe vloei opeis, nie watter inskrywing oorneem wanneer ’n eweknie ophou antwoord nie. Niks in daardie lys monitor die verre kant nie, so die tweede inskrywing sit daar en eis niks.

Die mite: volgorde beteken terugval

’n Geordende lys met twee inskrywings en een gedeelde definisie voel soos primêr en sekondêr. Die ooreenkoms eindig by die sintaksis. Cisco se ASA-dokumentasie beskryf die kriptokaart as die beleidsmodel wat beskermde verkeer pas en die eweknie-reëling daarvoor benoem, en passing gebeur teen die inskrywing wat die vloei eerste opeis. Die beskikbaarheid van ’n afgeleë eweknie is nie deel van daardie evaluering nie.

Wat jy gebou het, is ’n beleid wat nooit vir daardie vloei geraadpleeg sal word nie, plus ’n opmerking in ’n veranderingsrekord wat oortolligheid beweer.

Volgorde eis die vloei, en net een keer

Elke inskrywing hou ’n toegangsbeheelys of ’n beskermde-vloei-definisie, en ’n nuwe uitgaande pakket word in volgorde teen daardie definisies vergelyk. Die eerste inskrywing wie se definisie pas, besit die vloei en sy eweknie. ’n Tweede inskrywing met ’n identiese definisie kry nooit ’n beurt nie, want die eerste een het reeds gepas; ’n tweede inskrywing met ’n nouer definisie bedien net vloei wat die eerste een nie geëis het nie.

Daardie gedrag is nuttig wanneer jy doelbewus uitsonderings uit ’n breë beleid sny, en dit is nutteloos as ’n failover-meganisme. Kontroleer wat werklik gebeur het met show crypto map en show crypto ipsec sa peer, en spoor dan ’n sintetiese pakket deur die pad wat jy glo dit neem. Die spoor sal die inskrywing noem wat dit geëis het, en dit is die enigste antwoord wat saak maak.

Roeteseleksie en beleidseienaarskap is aparte besluite

’n Roetetabel antwoord waarheen die pakket gestuur word. Die kriptobeleid antwoord watter beskerming en watter eweknie op die gekose verkeer van toepassing is. Om ’n bron- en bestemmingspaar onder ’n ander eweknie te dupliseer, verander die tweede besluit en laat die eerste onaangeraak, so antwoorde kan steeds die ou poort volg terwyl die uitgaande pakket die nuwe eweknie neem. Daardie asimmetrie lewer ’n tonnel wat op rapporteer en niks deurlaat nie.

Hou ook die kontrak aan die ander kant wedersyds: aanvaarde identiteit, beskermde adresreekse, ’n terugroete vir die interessante prefikse en toestemming vir die diens. ’n Alternatiewe uitgaande keuse wat die ander kant nie verwag nie, is nie ’n alternatiewe pad nie, dit is die helfte van een.

Wat ’n werklike alternatiewe pad nodig het

Kies ’n meganisme wat vir die taak ontwerp is: ’n ondersteunde groep eweknie-kandidate, ’n geroteerde tonnel met ’n drywende statiese roete of ’n dinamiese roeteringsaangrensing daaroor, of watter oortolligheidsontwerp jou platform ook al vir daardie diens dokumenteer. Skryf dan neer watter komponent die fout opspoor en watter komponent die alternatief kies, want dit is twee verskillende funksies en dikwels twee verskillende spanne.

Adresvertaling kan ook aan ’n terrein ’n tweede aangebode adres gee, maar dit verander terselfdertyd selektore, logboek en brongebaseerde toegangsreëls. Behandel dit as ’n uitdruklike vereiste eerder as as ’n omweg vir twee dubbelsinnige inskrywings.

Toets drie toestande, nie een nie

Die konfigurasie is eers klaar wanneer dit ’n verdedigbare antwoord het vir normale werking, vir die toestand waarin die primêre een gefaal het, en vir die terugkeer na primêr. Toets al drie en teken aan watter beleidsinskrywing en watter eweknie elkeen bedien het. ’n Toets wat ná die eerste toestand stop, bewys dat die ontwerp werk wanneer niks verkeerd is nie, en dit is die toestand wat jy nie nodig gehad het om te kontroleer nie.

Onderskei ook gekonfigureerde oorvleueling van die wettige naasbestaan van ou en nuwe assosiasies tydens ’n herleuteling. Verskeie aktiewe SA's is normaal en tydelik; twee inskrywings wat oor een vloei baklei, is permanent en onsigbaar.