Failback на ASA: што сапраўды рухаецца, калі маршрут вяртаецца
Вяртанне маршруту да асноўнага не азначае, што старыя патокі перамясціліся. Назірайце ўверхні канал, тунель, табліцу злучэнняў і вынік праграмы разам.
На ASA з двума ўверхнімі каналамі failback не з'яўляецца адваротным да failover. Маршрут да партнёра змяняецца, і пасля гэтага платформа павінна ўзгадніць тры асобныя машыны стану: табліцу маршрутаў, асацыяцыі бяспекі IKE і IPsec і табліцу злучэнняў. Кожная можа адставаць ад іншых, і менавіта гэтае адставанне большасць людзей называе тунелем, які не вяртаецца.
Што failback сапраўды змяняе
Пошук у табліцы маршрутаў — гэта бачная частка. Калі аб'ект, які адсочваецца, аднаўляецца, адсочваемы маршрут да знешняга адрасу партнёра вяртаецца, і наступны пакет, які адпраўляе ASA, зноў ідзе па асноўным канале. Усё далейшае залежыць ад таго, ці ўзгоднены існуючы стан з новым шляхам.
ARP і NAT — гэта ціхія залежнасці. Новаму наступнаму пераходу патрэбен вырашальны шлюз і трансляцыя, якая ўсё яшчэ адпавядае далёкаму боку, інакш першыя пакеты пасля failback нікуды не ідуць, а маршрут выглядае добра, пакуль нішто не працуе.
Чатыры погляды на адной шкале часу
Запісвайце тыя ж чатыры рэчы да пераходу, падчас і пасля яго, бо адзін здымак не можа сказаць, які ўзровень рушыўся.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Маршрут, які ніколі не змяняўся, і маршрут, які змяніўся, пакуль старэйшае злучэнне захавала стан перасылкі, даюць аднолькавую скаргу і цалкам розныя доказы.
Чаму старыя злучэнні застаюцца на рэзервовым шляху
ASA не разрывае паток таму, што змяніўся маршрут. Усталяваныя злучэнні захоўваюць рашэнне аб перасылцы, з якім былі створаны, і платформа дае асобныя сродкі кіравання тэрмінам гэтага: floating-connection timeout і connection holddown. Дакумент Cisco Кіраўніцтва па наладах злучэнняў ASA 9.24 разглядае іх як розныя пытанні, і менавіта так яны сябе паводзяць. Адзін кіруе выжываннем існуючага патоку, другі — калі новыя патокі могуць выкарыстоўваць пераважны шлях.
Прачытайце дзейныя значэнні для вашай версіі, перш чым змяняць любое з іх. Зніжэнне закрывае сеансы, якімі людзі яшчэ карыстаюцца. Павышэнне робіць выгляд, што failback не адбыўся, бо новыя злучэнні ўвесь гэты час ідуць старым шляхам.
Тунель не перазаключае ключы таму, што вярнуўся маршрут
Асацыяцыі бяспекі IPsec маюць уласны ўзгоднены тэрмін жыцця і перажываюць змену маршруту, якая іх несла. Таму тунель можа заставацца паднятым праз failback, хаця яго знешняя адрасацыя ўжо не адпавядае шляху, які выкарыстоўваецца; гэта аргумент за DPD і за схемы, якія фіксуюць адрас партнёра замест плаваючага.
Схемы crypto-map і VTI паводзяць сябе тут інакш, а дакументацыя Cisco 9.24 VTI апісвае варыянт на аснове маршрутаў. Старое агульнае сцвярджэнне, што ASA не можа запускаць VPN на аснове маршрутаў, не справядліва для падтрымліваных версій.
Чытайце доказы ў такім парадку
Пачніце з плоскасці кіравання: show route для выбранага шляху, show interface для стану канала і лічыльнікі маніторынгу SLA для аб'екта, які адсочваецца. Затым прачытайце show crypto ikev2 sa, або эквівалент IKEv1, каб убачыць, які партнёр жывы, далей show crypto ipsec sa для абароненых патокаў. Потым звузьце табліцу злучэнняў з дапамогай show conn address <host> і параўнайце слупок інтэрфейсу ў старых і новых запісах. Запісвайце вынікі з адзнакамі часу, бо іх парадак і ёсць дыягназ.
Скончыце тэстам праграмы: адзін паток, які ўжо існаваў, і адзін, створаны пасля вяртання маршруту. Калі стары паток падае, а новы працуе, у вас гісторыя стану злучэння. Калі падаюць абодва, тунель або палітыка няправільныя, а табліца злучэнняў — адцягванне.
Трымайце гэты запіс у аднолькавай форме ва ўсіх трох фазах і адзначце дакладную версію. Калі храналогія ўвесь час паказвае на адзін пераход, адпраўце запіс у падтрымку, а не гадайце ID памылкі.