ASA FirePOWER modul nema upravljačku rutu do FMC-a

FMC prikazuje modul kao nedostupan, registracija stoji na čekanju, a ping iz unutrašnjosti ASA uređaja radi besprijekorno. Na postojećoj ASA FirePOWER instalaciji ta kombinacija je normalna. Modul ima vlastitu upravljačku adresu, vlastiti zadani gateway i vlastite odluke o rutiranju, a dijeljenje fizičke upravljačke veze s ASA uređajem na nekim platformama ne spaja to u jedan mrežni stog. Dva uređaja odgovaraju s dva različita gledišta na istoj žici.

Sljedeće se odnosi na module koji su već u upotrebi. Utvrdite model kućišta, tip modula i podržanu verziju softvera prije primjene bilo kakve sheme portova iz priručnika.

Nacrtajte modul kao zaseban host

Započnite shemu upravljačkom IP adresom modula, maskom i zadanim gatewayom, VLAN-om koji stvarno nosi tu vezu i adresom FMC-a koju treba dosegnuti. Zatim u zasebnom pravokutniku zapišite adrese sučelja ASA uređaja i njegovu punu tablicu rutiranja. Ako dva pravokutnika na kraju dijele podmrežu s adresama različitih vlasnika, pronašli ste zanimljivi dio problema.

Priručnik za ASA FirePOWER modul pokazuje kako se raspored portova razlikuje među platformama, uključujući zajedničko upravljačko ožičenje gdje ASA i modul imaju zasebne adrese u istom segmentu. Ta hardverska shema je ulazni podatak za dizajn, a ne fusnota.

Pronađite gdje se prekida povratna putanja

Uzmite raspored s rutiranjem kroz jezgru. Modul šalje promet prema FMC-u u jezgru Layer 3, jezgra prosljeđuje udaljeno upravljačko odredište prema unutarnjem sučelju ASA uređaja, a VPN lokacije ga nosi na drugu stranu. Udaljena lokacija zatim treba rutu natrag u upravljačku podmrežu modula. Svaki skok u tom lancu može biti ispravan dok ta posljednja ruta nedostaje, i zato kvar tako često izgleda kao pokvaren tunel.

Pročitajte vlastiti pogled ASA uređaja prije bilo kakve izmjene:

show interface ip brief
show route
show running-config interface

Treća naredba je važna jer adresa sučelja koju ste zaboravili upravo je ono što povratnu putanju šalje na pogrešan uređaj.

Provjerite šta ASA smatra povezanim

Ako ASA ima adresu u upravljačkoj podmreži modula, njegova povezana ruta posjeduje taj prefiks. Statička ruta prema jezgri ne potiskuje vlasništvo povezane rute, pa se paket vraća na ASA i tamo se zaustavlja. Registracija tada pada u točki koja nema nikakve veze s vjerodajnicama.

Ne zaključujte da je određena provjera protiv krivotvorenja odbacila paket, osim ako pred sobom nemate vlastita opažanja uređaja. Umjesto toga usporedite ulazno sučelje, odabranu rutu prema odredištu i podržanu granicu prosljeđivanja između upravljanja i podataka za tu platformu. Te tri činjenice obično otkriju sukob topologije prije nego što itko počne resetirati ključeve registracije.

Odaberite ispravku koja zadržava modul povezanim

Uklanjanje adrese ASA uređaja iz tog segmenta i fizičko isključivanje zajedničkog porta nisu istovjetne radnje. Na platformama gdje modul ide preko iste fizičke upravljačke veze, isključivanje porta uklanja jedinu vezu modula — pretvorili biste problem rutiranja u mrtav uređaj. Preferirajte promjenu koja preraspodjeljuje vlasništvo nad upravljačkim rutiranjem i pripremite je uz prisutnost vlasnika mreže.

Druga podržana opcija je dati administrativnoj putanji ASA uređaja vlastiti segment kako bi upravljačka podmreža modula imala jednog vlasnika. To košta jednu adresu i malo dokumentacije, a nejasnoću uklanja trajno. Koji god put odabrali, nakon toga potvrdite da modul još može dosegnuti i FMC i svoje DNS ili NTP izvore.

Registrujte se tek kada putanja bude usklađena

Kada povratna putanja bude čista, isplanirajte upravljačku povezanost i parametre registracije prema odgovarajućem priručniku za izdanje FMC-a i modula. Držite tajne registracije izvan zajedničkih bilješki i tiketa i oduprite se iskušenju da se ponovno registrirate kao dijagnostički korak: svježi ključ na pokvarenoj putanji daje samo isti kvar s novijim vremenskom oznakom.

Prihvatite putanju iz vlastitog upravljačkog stoga modula, a ne iz pinga koji potječe s ASA uređaja, jer je izvor testa upravo ono što je pod sumnjom. Zabilježite sljedeći skok modula, odabir VPN-a na ASA uređaju i povratnu rutu FMC-a te zadržite neovisnu metodu oporavka za obje upravljačke uloge. Upravo taj zapis razlikuje popravljeni prijenos od uspješne registracije.

Kada se modul konačno pojavi u FMC-u, ponovno pokrenite iste tri naredbe i spremite izlaz uz shemu. Sljedećoj osobi koja dotakne taj upravljački segment trebat će upravo ta usporedba.