Failback na ASA: šta se zaista pomjeri kada se ruta vrati
Povratak rute na primarni put ne znači da su stari tokovi prešli. Posmatrajte zajedno uplink, tunel, tablicu konekcija i rezultat aplikacije.
Na ASA sa dva uplinka failback nije obrnut postupak od failovera. Ruta prema peeru se mijenja, a platforma zatim mora uskladiti tri odvojena stanja: tablicu ruta, sigurnosne asocijacije IKE i IPsec te tablicu konekcija. Svako može kasniti za ostalima, a upravo to kašnjenje većina ljudi opisuje kao tunel koji se ne vraća.
Šta failback zaista mijenja
Pretraga ruta je vidljivi dio. Kada se praćeni objekat oporavi, praćena ruta do vanjske adrese peera se vraća, a sljedeći paket koji ASA pošalje ponovo ide primarnim linkom. Sve nakon toga zavisi od toga da li se postojeće stanje slaže s novim putem.
ARP i NAT su tihe zavisnosti. Novi next hop traži rješiv gateway i prijevod koji još odgovara udaljenoj strani, inače prvi paketi nakon failbacka ne idu nikuda, a ruta izgleda ispravno dok ništa ne radi.
Četiri pogleda na jednoj vremenskoj liniji
Zabilježite iste četiri stvari prije prelaza, tokom njega i poslije, jer jedan snimak ne može reći koji se sloj pomjerio.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Ruta koja se nikada nije promijenila i ruta koja se promijenila dok je starija konekcija zadržala svoje stanje prosljeđivanja daju istu žalbu i potpuno različite dokaze.
Zašto stare konekcije ostaju na rezervnom putu
ASA ne ruši tok zato što se ruta promijenila. Uspostavljene konekcije zadržavaju odluku o prosljeđivanju s kojom su stvorene, a platforma nudi odvojene kontrole za to koliko je dugo to dopušteno: floating-connection timeout i connection holddown. Cisco Vodič za postavke konekcija u ASA 9.24 tretira ih kao različita pitanja, i upravo tako se ponašaju. Jedno uređuje preživljavanje postojećeg toka, drugo kada novi tokovi smiju koristiti preferirani put.
Pročitajte važeće vrijednosti za svoje izdanje prije nego promijenite bilo koju. Njihovo snižavanje zatvara sesije koje ljudi još koriste. Podizanje čini da failback izgleda kao da se nije dogodio, jer nove konekcije cijelo vrijeme idu starim putem.
Tunel ne mijenja ključeve jer se ruta vratila
Sigurnosne asocijacije IPsec nose vlastiti pregovarani životni vijek i preživljavaju promjenu rute koja ih je nosila. Tunel zato može ostati podignut kroz failback dok njegovo vanjsko adresiranje više ne odgovara putu koji se koristi, što je argument za DPD i za dizajne koji fiksiraju adresu peera umjesto da je puštaju da lebdi.
Dizajni sa crypto-map i VTI ponašaju se ovdje drugačije, a Cisco dokumentacija za 9.24 VTI opisuje opciju zasnovanu na rutama. Stara opšta tvrdnja da ASA ne može pokretati VPN zasnovane na rutama ne vrijedi za podržana izdanja.
Čitajte dokaze ovim redom
Počnite s kontrolnom ravninom: show route za odabrani put, show interface za stanje linka i brojači SLA monitora za praćeni objekat. Zatim pročitajte show crypto ikev2 sa, ili ekvivalent za IKEv1, da vidite koji je peer živ, a nakon toga show crypto ipsec sa za zaštićene tokove. Potom suzite tablicu konekcija pomoću show conn address <host> i uporedite kolonu interfejsa kod starih i novih unosa. Zapišite izlaze s vremenskim oznakama, jer njihov redoslijed jeste dijagnoza.
Završite testom aplikacije: jedan tok koji je već postojao i jedan stvoren nakon povratka rute. Ako stari tok padne a novi radi, imate priču o stanju konekcije. Ako oba padnu, tunel ili politika su pogrešni, a tablica konekcija je odvraćanje pažnje.
Držite taj zapis u istom obliku kroz sve tri faze i zabilježite tačno izdanje. Kada vremenska linija stalno pokazuje na jedan prelaz, pošaljite zapis podršci umjesto da nagađate ID greške.