Модуль ASA FirePOWER без маршруту кіравання да FMC

FMC паказвае модуль як недасяжны, рэгістрацыя застаецца ў стане чакання, а ping знутры ASA працуе бездакорна. На існуючым разгортванні ASA FirePOWER такое спалучэнне — норма. Модуль мае ўласны адрас кіравання, уласны шлюз па змаўчанні і ўласныя рашэнні маршрутызацыі, і сумеснае выкарыстанне фізічнага злучэння кіравання з ASA на некаторых платформах не злівае гэта ў адзін сеткавы стэк. Дзве прылады адказваюць з двух розных пунктаў гледжання на адным провадзе.

Наступнае датычыцца модуляў, якія ўжо ў эксплуатацыі. Вызначыце мадэль корпуса, тып модуля і падтрымліваную версію праграмнага забеспячэння, перш чым прымяняць любую схему портаў з даведніка.

Намалюйце модуль як асобны хост

Пачніце схему з IP-адраса кіравання модуля, яго маскі і шлюза па змаўчанні, VLAN, які фактычна нясе гэтае злучэнне, і адраса FMC, да якога трэба дасягнуць. Затым у асобным прамавугольніку запішыце адрасы інтэрфейсаў ASA і поўную табліцу маршрутызацыі. Калі абодва прамавугольнікі ў выніку дзеляць падсетку з адрасамі, якія належаць розным бакам, вы знайшлі цікавую частку праблемы.

Даведнік па модулі ASA FirePOWER паказвае, чым адрозніваюцца схемы портаў на розных платформах, у тым ліку сумесную праводку кіравання, дзе ASA і модуль маюць асобныя адрасы ў адным сегменце. Гэтая схема абсталявання — уваходныя даныя для праекта, а не зноска.

Знайдзіце месца разрыву зваротнага шляху

Вазьміце схему з маршрутызацыяй праз ядро. Модуль накіроўвае трафік да FMC у ядро Layer 3, ядро перанакіроўвае выдалены адрас кіравання на ўнутраны інтэрфейс ASA, а VPN пляцоўкі нясе яго на другі бок. Затым выдаленай пляцоўцы патрэбны маршрут назад у падсетку кіравання модуля. Кожны крок у гэтым ланцугу можа быць правільным, пакуль апошні маршрут адсутнічае, і менавіта таму збой так часта выглядае як зламаны тунель.

Прачытайце ўласны погляд ASA, перш чым нешта змяняць:

show interface ip brief
show route
show running-config interface

Трэцяя каманда важная, бо адрас інтэрфейса, пра які вы забыліся, — гэта менавіта тое, з-за чаго зваротны шлях трапляе на няправільную прыладу.

Праверце, што ASA лічыць злучаным

Калі ASA мае адрас у падсетцы кіравання модуля, яго злучаны маршрут валодае гэтым прэфіксам. Статычны маршрут у бок ядра не выцясняе права ўласнасці злучанага маршруту, таму пакет вяртаецца да ASA і спыняецца там. Пасля гэтага рэгістрацыя зрываецца ў пункце, які не мае нічога агульнага з уліковымі данымі.

Не рабіце выснову, што пакет адкінула пэўная праверка абароны ад падробкі, калі перад вамі няма ўласных назіранняў прылады. Замест гэтага параўнайце ўваходны інтэрфейс, выбраны маршрут да прызначэння і падтрымліваную мяжу перасылкі паміж кіраваннем і данымі для гэтай платформы. Гэтыя тры факты звычайна выкрываюць канфлікт тапалогіі раней, чым хтосьці пачне скідваць ключы рэгістрацыі.

Выберыце выпраўленне, якое пакідае модуль на сувязі

Выдаленне адраса ASA з гэтага сегмента і фізічнае выключэнне агульнага порта — не раўназначныя дзеянні. На платформах, дзе модуль ідзе праз тое ж фізічнае злучэнне кіравання, выключэнне порта пазбаўляе модуль адзінай сувязі — вы ператворыце праблему маршрутызацыі ў мёртвую прыладу. Аддайце перавагу змене, якая пераразмяркоўвае права ўласнасці на маршрутызацыю кіравання, і рыхтуйце яе ў прысутнасці ўладальніка сеткі.

Другі падтрымліваны варыянт — даць адміністрацыйнаму шляху ASA уласны сегмент, каб у падсеткі кіравання модуля быў адзін уладальнік. Гэта каштуе аднаго адраса і трохі дакументацыі, затое назаўсёды здымае неадназначнасць. Які б шлях вы ні выбралі, пасля гэтага пераканайцеся, што модуль па-ранейшаму дасягае і FMC, і сваіх крыніц DNS або NTP.

Рэгіструйцеся толькі пасля ўзгаднення шляху

Калі зваротны шлях чысты, сплануйце злучэнне кіравання і параметры рэгістрацыі па адпаведным даведніку выпуску FMC і модуля. Трымайце сакрэты рэгістрацыі па-за агульнымі нататкамі і заяўкамі і супраціўляйцеся спакусе перарэгістравацца як дыягнастычнаму кроку: свежы ключ на зламаным шляху дае толькі той самы збой з больш новым часам.

Прымайце шлях ад уласнага стэка кіравання модуля, а не ад ping, які паходзіць з ASA, бо крыніца тэсту — гэта менавіта тое, што пад падазрэннем. Запішыце наступны хоп модуля, выбар VPN на ASA і маршрут адказу FMC, і трымайце незалежны спосаб аднаўлення для абедзвюх роляў кіравання. Менавіта гэты запіс аддзяляе адрамантаваны транспарт ад паспяховай рэгістрацыі.

Калі модуль нарэшце з’явіцца ў FMC, паўторыце тыя ж тры каманды і захавайце вывад побач са схемай. Наступнаму чалавеку, які дакранецца да гэтага сегмента кіравання, спатрэбіцца менавіта гэтае параўнанне.