ASA FirePOWER modulunun FMC-yə idarəetmə marşrutu yoxdur

FMC modulu əlçatmaz kimi göstərir, qeydiyyat gözləmə vəziyyətində qalır, ASA daxilindən ping isə problemsiz işləyir. Mövcud ASA FirePOWER quraşdırmasında bu birləşmə normaldır. Modulun öz idarəetmə ünvanı, öz standart şlüzü və öz marşrut qərarları var və bəzi platformalarda ASA ilə fiziki idarəetmə bağlantısını paylaşmaq bunları bir şəbəkə yığınına birləşdirmir. İki cihaz eyni naqildə iki fərqli baxış bucağından cavab verir.

Aşağıdakılar artıq istismarda olan modullara aiddir. Hər hansı port sxemini tətbiq etməzdən əvvəl korpus modelini, modul tipini və dəstəklənən proqram buraxılışını müəyyənləşdirin.

Modulu ayrı host kimi çəkin

Diaqrama modulun idarəetmə IP-si, maskası və standart şlüzü, həmin bağlantını faktiki daşıyan VLAN və çatmalı olduğu FMC ünvanı ilə başlayın. Sonra ayrı bir qutuda ASA-nın interfeys ünvanlarını və tam marşrut cədvəlini yazın. Əgər iki qutu fərqli qutulara məxsus ünvanlarla eyni alt şəbəkəni paylaşırsa, problemin maraqlı hissəsini tapmısınız.

ASA FirePOWER modul təlimatı port düzümünün platformalar arasında necə fərqləndiyini göstərir, o cümlədən ASA ilə modulun eyni seqmentdə ayrı ünvanlar daşıdığı paylaşılan idarəetmə kabelini. Bu aparat diaqramı dizaynın giriş məlumatıdır, qeyd deyil.

Geri dönüş yolunun harada qırıldığını tapın

Nüvədən marşrutlaşdırılan bir düzüm götürün. Modul FMC-yə yönəlmiş trafiki Layer 3 nüvəsinə göndərir, nüvə uzaq idarəetmə təyinatını ASA-nın daxili interfeysinə yönəldir və sayt VPN-i onu digər tərəfə daşıyır. Sonra uzaq saytın modulun idarəetmə alt şəbəkəsinə geri marşruta ehtiyacı var. Bu zəncirdəki hər addım düzgün ola bilər, halbuki sonuncu marşrut yoxdur; buna görə də nasazlıq çox vaxt qırılmış tunel kimi görünür.

Hər hansı dəyişiklik etməzdən əvvəl ASA-nın öz görünüşünü oxuyun:

show interface ip brief
show route
show running-config interface

Üçüncü əmr vacibdir, çünki unutduğunuz interfeys ünvanı məhz geri dönüş yolunu səhv cihaza salan şeydir.

ASA-nın nəyi qoşulmuş hesab etdiyini yoxlayın

Əgər ASA modulun idarəetmə alt şəbəkəsində ünvana sahibdirsə, onun qoşulmuş marşrutu həmin prefiksi idarə edir. Nüvəyə doğru statik marşrut qoşulmuş marşrut sahibliyini sıxışdırmır, buna görə paket ASA-ya qayıdır və orada dayanır. Sonra qeydiyyat etimad məlumatları ilə heç bir əlaqəsi olmayan nöqtədə uğursuz olur.

Müəyyən bir anti-spoofing yoxlamasının paketi atdığı qənaətinə gəlməyin, əgər cihazın öz müşahidələri qarşınızda deyilsə. Bunun əvəzinə giriş interfeysini, seçilmiş təyinat marşrutunu və həmin platforma üçün dəstəklənən idarəetmə-ilə-məlumat ötürmə sərhədini müqayisə edin. Bu üç fakt adətən topologiya ziddiyyətini kimsə qeydiyyat açarlarını sıfırlamağa başlamazdan əvvəl üzə çıxarır.

Modulu qoşulmuş saxlayan düzəliş seçin

ASA-nın ünvanını həmin seqmentdən silmək və paylaşılan portu fiziki olaraq söndürmək ekvivalent hərəkətlər deyil. Modulun eyni fiziki idarəetmə bağlantısı ilə getdiyi platformalarda portu söndürmək modulun yeganə əlaqəsini aradan qaldırır — siz marşrut problemini ölü cihaza çevirmiş olacaqsınız. İdarəetmə marşrut sahibliyini yenidən təyin edən dəyişikliyə üstünlük verin və onu şəbəkə sahibinin iştirakı ilə planlaşdırın.

İkinci dəstəklənən seçim ASA-nın inzibati yoluna öz seqmentini verməkdir ki, modulun idarəetmə alt şəbəkəsinin bir sahibi olsun. Bu, bir ünvana və bir az sənədləşməyə başa gəlir və qeyri-müəyyənliyi həmişəlik aradan qaldırır. Hansı yolu seçsəniz də, sonradan modulun həm FMC-yə, həm də DNS və ya NTP mənbələrinə çata bildiyini təsdiqləyin.

Yalnız yol tutarlı olduqdan sonra qeydiyyatdan keçin

Geri dönüş yolu təmiz olduqdan sonra idarəetmə bağlantısını və qeydiyyat parametrlərini uyğun FMC və modul buraxılış təlimatından planlaşdırın. Qeydiyyat sirlərini paylaşılan qeydlərdən və biletlərdən kənarda saxlayın və diaqnostik addım kimi yenidən qeydiyyatdan keçməyin cazibəsinə müqavimət göstərin: qırılmış yolda təzə açar yalnız daha yeni vaxt damğası ilə eyni nasazlığı yaradır.

Yolu ASA-dan gələn pingdən deyil, modulun öz idarəetmə yığınından qəbul edin, çünki testin mənbəyi şübhə altındakı şeydir. Modulun növbəti hopunu, ASA-nın VPN seçimini və FMC-nin cavab marşrutunu qeyd edin və hər iki idarəetmə rolu üçün müstəqil bərpa üsulu saxlayın. Məhz bu qeyd təmir edilmiş nəqliyyatı uğurlu qeydiyyatdan ayırır.

Modul nəhayət FMC-də görünəndə eyni üç əmri yenidən işə salın və nəticəni diaqramın yanında saxlayın. Həmin idarəetmə seqmentinə toxunacaq növbəti şəxs məhz bu müqayisəyə ehtiyac duyacaq.