Дзве крыптакарты, адзін паток: позні запіс — не рэзерв

Дадайце другі запіс крыптакарты для той жа пары адрасоў, накіруйце яго на іншага партнёра — і вы напісалі план пераключэння пры збоі. Гэта міф, і ён жыве таму, што выглядае як любы іншы ўпарадкаваны спіс, які вы наладжвалі. Паслядоўнасць у крыптакарце вырашае, які запіс захопіць новы паток, а не які запіс перахопіць кіраванне, калі партнёр перастане адказваць. Нішто ў гэтым спісе не сочыць за далёкім бокам, таму другі запіс проста сядзіць і нічога не захоплівае.

Міф: парадак значыць рэзерв

Упарадкаваны спіс з двума запісамі і адным агульным вызначэннем успрымаецца як асноўны і рэзервовы. Падабенства сканчаецца на сінтаксісе. Дакументацыя Cisco для ASA апісвае крыптакарту як мадэль палітыкі, якая супастаўляе абаронены трафік і вызначае для яго схему партнёраў, а супастаўленне адбываецца з запісам, які захоплівае паток першым. Даступнасць далёкага партнёра не ўваходзіць у гэтую ацэнку.

Тое, што вы пабудавалі, — гэта палітыка, да якой для гэтага патоку ніколі не звернуцца, плюс каментарый у запісе змен, які сцвярджае рэзерваванне.

Паслядоўнасць захоплівае паток, і толькі аднойчы

Кожны запіс утрымлівае спіс кантролю доступу або вызначэнне абароненага патоку, і новы зыходны пакет параўноўваецца з гэтымі вызначэннямі ў парадку паслядоўнасці. Першы запіс, чыё вызначэнне супадае, валодае патокам і яго партнёрам. Другі запіс з ідэнтычным вызначэннем ніколі не атрымае чаргі, бо першы ўжо супаў; другі запіс з вузейшым вызначэннем абслугоўвае толькі патокі, якія першы не захапіў.

Такія паводзіны карысныя, калі вы наўмысна выразаеце выключэнні з шырокай палітыкі, і яны бескарысныя як механізм пераключэння пры збоі. Праверце, што насамрэч адбылося, з дапамогай show crypto map і show crypto ipsec sa peer, затым прасачыце сінтэтычны пакет па шляху, які, на вашу думку, ён праходзіць. Траса назоў запіс, які яго захапіў, і гэта адзіны адказ, які мае значэнне.

Выбар маршруту і ўладанне палітыкай — асобныя рашэнні

Табліца маршрутызацыі адказвае, куды перасылаецца пакет. Крыптапалітыка адказвае, якая абарона і які партнёр ужываюцца да выбранага трафіку. Дубляванне пары крыніцы і прызначэння пад іншым партнёрам змяняе другое рашэнне і пакідае першае нязменным, таму адказы могуць па-ранейшаму ісці праз стары шлюз, пакуль зыходны пакет ідзе да новага партнёра. Гэтая асіметрыя стварае тунель, які дакладвае, што працуе, і нічога не прапускае.

Захавайце таксама ўзаемнасць дагавора з далёкім бокам: прыняты ідэнтычнасць, абароненыя дыяпазоны адрасоў, зваротны маршрут для цікавых прэфіксаў і дазвол для сэрвісу. Альтэрнатыўны зыходны выбар, якога іншы бок не чакае, — гэта не альтэрнатыўны шлях, а палова яго.

Што патрэбна сапраўднаму альтэрнатыўнаму шляху

Выберыце механізм, прызначаны для гэтай задачы: падтрыманая група кандыдатаў-партнёраў, маршрутызаваны тунель з плаваючым статычным або дынамічным маршрутным суседствам праз яго, або любы дызайн рэзервавання, які ваша платформа дакументуе для гэтага сэрвісу. Затым запішыце, які кампанент выяўляе збой і які кампанент выбірае альтэрнатыву, бо гэта дзве розныя функцыі і часта дзве розныя каманды.

Трансляцыя адрасоў таксама можа даць сайту другі прадстаўлены адрас, але яна адначасова змяняе селектары, журналяванне і правілы доступу на аснове крыніцы. Разглядайце гэта як яўную патрабу, а не як абыход для двух неадназначных запісаў.

Праверце тры станы, а не адзін

Канфігурацыя скончана толькі тады, калі ў яе ёсць абаронены адказ для звычайнай працы, для стану збою асноўнага канала і для вяртання да асноўнага. Праверце ўсе тры і запішыце, які запіс палітыкі і які партнёр абслугоўвалі кожны з іх. Тэст, які спыняецца пасля першага стану, даказвае, што дызайн працуе, калі ўсё ў парадку, а гэта менавіта той стан, які вам не трэба было правяраць.

Таксама адрознівайце наладжанае перакрыццё ад законнага суіснавання старых і новых асацыяцый падчас перагенерацыі ключоў. Некалькі актыўных SA — гэта нармальна і часова; два запісы, якія змагаюцца за адзін паток, — пастаянныя і нябачныя.