Две криптокарти, един поток: по-късният запис не е резервен

Добавете втори запис в криптокартата за същата двойка адреси, насочете го към друг партньор и вече сте написали план за превключване при отказ. Това е митът и той оцелява, защото изглежда като всеки друг подреден списък, който сте конфигурирали. Последователността в криптокартата решава кой запис заграбва нов поток, а не кой запис поема управлението, когато партньорът спре да отговаря. Нищо в този списък не наблюдава далечната страна, затова вторият запис просто стои и не заграбва нищо.

Митът: редът означава резерва

Подреден списък с два записа и една обща дефиниция се усеща като основен и резервен. Приликата свършва със синтаксиса. Документацията на Cisco за ASA описва криптокартата като модела на политика, който съпоставя защитен трафик и посочва схемата на партньорите за него, а съпоставянето се извършва срещу записа, който заграбва потока първи. Наличността на отдалечен партньор не е част от тази оценка.

Това, което сте изградили, е политика, към която за този поток никога няма да се обърнат, плюс коментар в запис за промяна, който твърди излишък.

Последователността заграбва потока и то само веднъж

Всеки запис съдържа списък за контрол на достъпа или дефиниция на защитен поток и всеки нов изходящ пакет се сравнява с тези дефиниции по реда на последователността. Първият запис, чиято дефиниция съвпада, притежава потока и неговия партньор. Втори запис с идентична дефиниция никога не получава ред, защото първият вече съвпадна; втори запис с по-тясна дефиниция обслужва само потоци, които първият не е заграбил.

Това поведение е полезно, когато умишлено изрязвате изключения от широка политика, и е безполезно като механизъм за превключване при отказ. Проверете какво всъщност се е случило с show crypto map и show crypto ipsec sa peer, след което проследете синтетичен пакет по пътя, който смятате, че поема. Проследяването ще посочи записа, който го е заграбил, и това е единственият отговор, който има значение.

Изборът на маршрут и собствеността върху политиката са отделни решения

Таблицата за маршрутизация отговаря накъде се препраща пакетът. Криптополитиката отговаря коя защита и кой партньор се прилагат към избрания трафик. Дублирането на двойка източник и местоназначение под друг партньор променя второто решение и оставя първото незасегнато, затова отговорите може все още да следват стария шлюз, докато изходящият пакет поема новия партньор. Тази асиметрия създава тунел, който отчита, че работи, и не пропуска нищо.

Поддържайте и взаимност на договора с отдалечената страна: приета идентичност, защитени диапазони от адреси, обратен маршрут за интересните префикси и разрешение за услугата. Алтернативният изходящ избор, който другата страна не очаква, не е алтернативен път, а половината от такъв.

Какво е нужно на истински алтернативен път

Изберете механизъм, проектиран за задачата: поддържана група от кандидат-партньори, маршрутизиран тунел с плаващ статичен или динамичен маршрутен съсед през него, или какъвто и да е резервен дизайн, който платформата ви документира за тази услуга. След това запишете кой компонент открива отказа и кой компонент избира алтернативата, защото това са две различни функции и често два различни екипа.

Транслацията на адреси също може да даде на сайта втори представен адрес, но тя променя селекторите, журналирането и правилата за достъп по източник едновременно. Третирайте това като изрично изискване, а не като заобиколно решение за два неясни записа.

Тествайте три състояния, не едно

Конфигурацията е завършена само когато има защитим отговор за нормална работа, за състоянието на отказ на основния и за връщането към основния. Тествайте и трите и запишете кой запис на политиката и кой партньор са обслужили всяко от тях. Тест, който спира след първото състояние, доказва, че дизайнът работи, когато нищо не е сгрешено, а това е състоянието, което не е трябвало да проверявате.

Различавайте също конфигурираното припокриване от законното съвместно съществуване на стари и нови асоциации по време на прегенериране на ключове. Няколко активни SA са нормални и временни; два записа, които се борят за един поток, са постоянни и невидими.