ASA-da failback: marşrut qayıdanda həqiqətən nə dəyişir
Marşrutun əsas yola qayıtması köhnə axınların köçdüyü anlamına gəlmir. Uplink, tunel, bağlantı cədvəli və tətbiq nəticəsini birlikdə izləyin.
İki uplink-i olan ASA-da failback failover-in tərsi deyil. Peer-ə gedən marşrut dəyişir və platforma bundan sonra üç ayrı vəziyyət maşınını uzlaşdırmalıdır: marşrut cədvəli, IKE və IPsec təhlükəsizlik assosiasiyaları və bağlantı cədvəli. Hər biri digərindən geri qala bilər və insanların çoxunun qayıtmayan tunel adlandırdığı şey məhz bu geriləmədir.
Failback əslində nəyi dəyişir
Marşrut axtarışı görünən hissədir. İzlənən obyekt bərpa olunanda peer-in xarici ünvanına gedən izlənən marşrut qayıdır və ASA-nın göndərdiyi növbəti paket yenidən əsas linkə düşür. Bundan sonrakı hər şey mövcud vəziyyətin yeni yolla uyğun olub-olmamasından asılıdır.
ARP və NAT səssiz asılılıqlardır. Yeni next hop üçün həll oluna bilən şlüz və uzaq tərəfə hələ də uyğun gələn tərcümə lazımdır; əks halda failback-dən sonra ilk paketlər heç yerə getmir və heç nə işləmədiyi halda marşrut qaydasında görünür.
Bir zaman xəttində dörd baxış
Eyni dörd şeyi keçiddən əvvəl, keçid zamanı və sonra qeyd edin, çünki tək bir snapshot hansı qatın hərəkət etdiyini deyə bilməz.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Heç vaxt dəyişməyən marşrutla köhnə bağlantı öz yönləndirmə vəziyyətini saxlayarkən dəyişən marşrut eyni şikayəti və tamamilə fərqli dəlillər verir.
Köhnə bağlantılar niyə ehtiyat yolda qalır
ASA marşrut dəyişdiyi üçün axını dayandırmır. Qurulmuş bağlantılar yaradıldıqları yönləndirmə qərarını saxlayır və platforma bunun nə qədər davam etməsinə icazə verildiyi üçün ayrı idarəetmələr təqdim edir: floating-connection timeout və connection holddown. Cisco-nun ASA 9.24 bağlantı parametrləri təlimatı sənədi onları ayrı suallar kimi qəbul edir və onlar məhz belə davranır. Biri mövcud axının davamını, digəri isə yeni axınların nə vaxt üstün yoldan istifadə edə biləcəyini idarə edir.
Hər hansı birini dəyişməzdən əvvəl buraxılışınız üçün qüvvədə olan dəyərləri oxuyun. Onları aşağı salmaq insanların hələ istifadə etdiyi sessiyaları bağlayır. Yuxarı qaldırmaq isə failback-i heç olmamış kimi göstərir, çünki yeni bağlantılar bu müddət ərzində köhnə yoldan getməyə davam edir.
Marşrut qayıtdığı üçün tunel açarı yeniləmir
IPsec təhlükəsizlik assosiasiyaları öz razılaşdırılmış ömür müddətini daşıyır və onları daşıyan marşrut dəyişikliyindən sağ çıxır. Buna görə tunel failback boyunca qalxa bilər, halbuki onun xarici ünvanlaması artıq istifadə olunan yola uyğun gəlmir; DPD-nin və peer ünvanını üzən deyil, sabit saxlayan dizaynların arqumenti budur.
Crypto-map və VTI dizaynları burada fərqli davranır və Cisco-nun 9.24 VTI sənədi marşruta əsaslanan variantı təsvir edir. ASA-nın marşruta əsaslanan VPN-ləri işlədə bilmədiyinə dair köhnə ümumi iddia dəstəklənən buraxılışlar üçün keçərli deyil.
Dəlilləri bu ardıcıllıqla oxuyun
Nəzarət müstəvisindən başlayın: seçilmiş yol üçün show route, link vəziyyəti üçün show interface və izlənən obyekt üçün SLA monitor sayğacları. Sonra hansı peer-in canlı olduğunu görmək üçün show crypto ikev2 sa, yaxud IKEv1 ekvivalentini, ardınca qorunan axınlar üçün show crypto ipsec sa oxuyun. Sonra bağlantı cədvəlini show conn address <host> ilə daraldın və interfeys sütununu köhnə və yeni qeydlər üzrə müqayisə edin. Çıxışları zaman damğaları ilə yazın, çünki onların sırası diaqnozdur.
Tətbiq testi ilə bitirin: artıq mövcud olan bir axın və marşrut qayıtdıqdan sonra yaradılan bir axın. Köhnə axın uğursuz olub yenisi işləyirsə, bağlantı vəziyyəti hekayəniz var. İkisi də uğursuz olursa, tunel və ya siyasət səhvdir və bağlantı cədvəli yayındırmadır.
Bu qeydi üç mərhələdə də eyni formada saxlayın və dəqiq buraxılışı qeyd edin. Zaman xətti tək bir keçidi göstərməyə davam edəndə, bug ID təxmin etmək əvəzinə qeydi dəstəyə göndərin.