Dvije kripto mape, jedan tok: kasniji unos nije rezerva

Dodajte drugi unos kripto mape za isti par adresa, usmjerite ga na drugog partnera i napisali ste plan prebacivanja pri kvaru. To je mit i on opstaje jer izgleda kao svaka druga uređena lista koju ste konfigurisali. Redoslijed u kripto mapi odlučuje koji unos preuzima novi tok, a ne koji unos preuzima upravljanje kada partner prestane odgovarati. Ništa na toj listi ne nadzire udaljenu stranu, pa drugi unos samo stoji i ne preuzima ništa.

Mit: redoslijed znači rezervu

Uređena lista s dva unosa i jednom zajedničkom definicijom djeluje kao primarni i sekundarni. Sličnost prestaje na sintaksi. Cisco dokumentacija za ASA opisuje kripto mapu kao model politike koji uparuje zaštićeni saobraćaj i imenuje raspored partnera za njega, a uparivanje se vrši prema unosu koji prvi preuzme tok. Dostupnost udaljenog partnera nije dio te procjene.

Ono što ste izgradili je politika koja nikada neće biti konsultovana za taj tok, plus komentar u zapisu promjene koji tvrdi redundansu.

Redoslijed preuzima tok, i to samo jednom

Svaki unos drži listu kontrole pristupa ili definiciju zaštićenog toka, a novi odlazni paket se poredi s tim definicijama po redoslijedu. Prvi unos čija se definicija poklapa posjeduje tok i njegovog partnera. Drugi unos s identičnom definicijom nikada ne dobija red, jer se prvi već poklopio; drugi unos s užom definicijom služi samo tokovima koje prvi nije preuzeo.

To ponašanje je korisno kada namjerno izrezujete izuzetke iz široke politike, a beskorisno je kao mehanizam prebacivanja pri kvaru. Provjerite šta se stvarno dogodilo s show crypto map i show crypto ipsec sa peer, zatim pratite sintetički paket kroz putanju za koju vjerujete da je prelazi. Praćenje će imenovati unos koji ga je preuzeo, i to je jedini odgovor koji je važan.

Odabir rute i vlasništvo nad politikom su odvojene odluke

Tablica usmjeravanja odgovara kuda se paket prosljeđuje. Kripto politika odgovara koja zaštita i koji partner se primjenjuju na odabrani saobraćaj. Dupliciranje para izvora i odredišta pod drugim partnerom mijenja drugu odluku i ostavlja prvu netaknutom, pa odgovori mogu i dalje slijediti stari gateway dok odlazni paket ide preko novog partnera. Ta asimetrija stvara tunel koji prijavljuje da je aktivan i ne propušta ništa.

Održite i uzajamnost ugovora s udaljenom stranom: prihvaćeni identitet, zaštićeni rasponi adresa, povratnu rutu za zanimljive prefikse i dozvolu za uslugu. Alternativni odlazni izbor koji druga strana ne očekuje nije alternativna putanja, već pola jedne.

Šta stvarna alternativna putanja treba

Odaberite mehanizam dizajniran za zadatak: podržanu grupu kandidata partnera, usmjereni tunel s plutajućom statičkom ili dinamičkom rutnom susjednošću preko njega, ili koji god dizajn redundanse vaša platforma dokumentuje za tu uslugu. Zatim zapišite koja komponenta otkriva kvar i koja komponenta odabire alternativu, jer su to dvije različite funkcije i često dva različita tima.

Prevođenje adresa također može dati lokaciji drugu predstavljenu adresu, ali istovremeno mijenja selektore, evidentiranje i pravila pristupa zasnovana na izvoru. Tretirajte to kao izričit zahtjev, a ne kao zaobilazno rješenje za dva nejasna unosa.

Testirajte tri stanja, ne jedno

Konfiguracija je završena tek kada ima odbranjiv odgovor za normalan rad, za stanje kvara primarnog i za povratak na primarni. Testirajte sva tri i zabilježite koji unos politike i koji partner je poslužio svaki. Test koji stane nakon prvog stanja dokazuje da dizajn radi kada ništa nije u redu, a to je stanje koje niste trebali provjeravati.

Također razlikujte konfigurirano preklapanje od legitimnog suživota starih i novih asocijacija tokom ponovnog generisanja ključeva. Nekoliko aktivnih SA je normalno i privremeno; dva unosa koja se bore za jedan tok su trajna i nevidljiva.