Modul ASA FirePOWER nemá ke FMC žádnou správní trasu

FMC zobrazuje modul jako nedostupný, registrace zůstává ve stavu čekání a ping zevnitř ASA funguje bezchybně. V existujícím nasazení ASA FirePOWER je tato kombinace normální. Modul má vlastní správní adresu, vlastní výchozí bránu a vlastní rozhodnutí o směrování a sdílení fyzického správního připojení s ASA na některých platformách je neslévá do jednoho síťového zásobníku. Dvě zařízení odpovídají ze dvou různých pohledů na stejném kabelu.

Následující platí pro moduly, které jsou již v provozu. Před použitím jakéhokoli schématu portů z příručky určete model šasi, typ modulu a podporovanou verzi softwaru.

Nakreslete modul jako samostatný hostitel

Začněte schéma správní IP adresou modulu, maskou a výchozí bránou, VLAN, která toto připojení skutečně nese, a adresou FMC, které je třeba dosáhnout. Potom do samostatného rámečku napište adresy rozhraní ASA a jeho úplnou směrovací tabulku. Pokud oba rámečky nakonec sdílejí podsíť s adresami vlastněnými různými rámečky, našli jste zajímavou část problému.

Příručka k modulu ASA FirePOWER ukazuje, jak se uspořádání portů liší mezi platformami, včetně sdíleného správního vedení, kde ASA i modul nesou samostatné adresy ve stejném segmentu. Toto hardwarové schéma je vstupem pro návrh, ne poznámkou pod čarou.

Najděte, kde se přerušuje zpáteční cesta

Vezměte uspořádání směrované přes jádro. Modul posílá provoz určený pro FMC do jádra Layer 3, jádro předává vzdálené správní místo určení k vnitřnímu rozhraní ASA a VPN lokality jej přenáší na druhou stranu. Vzdálená lokalita pak potřebuje trasu zpět do správní podsítě modulu. Každý skok v tomto řetězu může být správný, zatímco poslední trasa chybí, a proto selhání tak často vypadá jako přerušený tunel.

Přečtěte si vlastní pohled ASA dříve, než cokoli upravíte:

show interface ip brief
show route
show running-config interface

Třetí příkaz je důležitý, protože adresa rozhraní, na kterou jste zapomněli, je přesně to, co zpáteční cestu přivede na špatné zařízení.

Ověřte, co ASA považuje za připojené

Pokud má ASA adresu ve správní podsíti modulu, jeho připojená trasa vlastní tento prefix. Statická trasa směrem k jádru nevytlačuje vlastnictví připojené trasy, takže paket se vrací na ASA a tam se zastaví. Registrace pak selže v místě, které nemá s přihlašovacími údaji nic společného.

Nedomnívejte se, že paket zahodila konkrétní kontrola proti podvržení, pokud před sebou nemáte vlastní pozorování zařízení. Porovnejte místo toho vstupní rozhraní, zvolenou trasu k cíli a podporovanou hranici předávání mezi správou a daty pro danou platformu. Tyto tři skutečnosti obvykle odhalí konflikt topologie dřív, než někdo začne resetovat registrační klíče.

Zvolte opravu, která modul udrží připojený

Odebrání adresy ASA z tohoto segmentu a fyzické vypnutí sdíleného portu nejsou rovnocenné úkony. Na platformách, kde modul jede po stejném fyzickém správním připojení, vypnutí portu odstraní jediné spojení modulu — proměnili byste problém směrování v mrtvé zařízení. Dejte přednost změně, která přerozděluje vlastnictví správního směrování, a naplánujte ji za přítomnosti vlastníka sítě.

Druhou podporovanou možností je dát administrativní cestě ASA vlastní segment, aby správní podsíť modulu měla jediného vlastníka. Stojí to jednu adresu a trochu dokumentace a nejednoznačnost odstraní natrvalo. Ať zvolíte kteroukoli cestu, poté potvrďte, že modul stále dosáhne na FMC i na své zdroje DNS nebo NTP.

Registrujte až poté, co je cesta souvislá

Když je zpáteční cesta čistá, naplánujte správní konektivitu a registrační parametry podle odpovídající příručky k verzi FMC a modulu. Udržujte registrační tajemství mimo sdílené poznámky a tikety a odolejte pokušení znovu se registrovat jako diagnostický krok: čerstvý klíč na přerušené cestě vyprodukuje jen stejné selhání s novějším časovým razítkem.

Přijměte cestu z vlastního správního zásobníku modulu, nikoli z pingu zahájeného z ASA, protože zdrojem testu je právě to, co je v podezření. Zaznamenejte další skok modulu, volbu VPN na ASA a odpovědní trasu FMC a pro obě správní role si ponechte nezávislou metodu obnovy. Právě tento záznam odděluje opravený přenos od úspěšné registrace.

Když se modul konečně objeví ve FMC, spusťte znovu stejné tři příkazy a uložte výstup vedle schématu. Další člověk, který se toho správního segmentu dotkne, bude potřebovat přesně toto srovnání.