Dvě krypto mapy, jeden tok: pozdější záznam není záloha

Přidejte druhý záznam krypto mapy pro stejný pár adres, namiřte ho na jiný peer a napsali jste plán přepnutí při výpadku. To je mýtus a přežívá proto, že vypadá jako každý jiný seřazený seznam, který jste nakonfigurovali. Pořadí v krypto mapě rozhoduje, který záznam si nárokuje nový tok, ne který záznam převezme řízení, když peer přestane odpovídat. Nic v tom seznamu nesleduje vzdálenou stranu, takže druhý záznam tam jen sedí a nic si nenárokuje.

Mýtus: pořadí znamená zálohu

Seřazený seznam se dvěma záznamy a jednou sdílenou definicí působí jako primární a sekundární. Podobnost končí u syntaxe. Dokumentace Cisco pro ASA popisuje krypto mapu jako model politiky, který páruje chráněný provoz a určuje pro něj uspořádání peerů, a párování probíhá proti záznamu, který si tok nárokuje první. Dostupnost vzdáleného peeru není součástí tohoto vyhodnocení.

To, co jste postavili, je politika, na kterou se pro tento tok nikdy nikdo nezeptá, plus komentář v záznamu změn, který tvrdí redundanci.

Pořadí si tok nárokuje, a jen jednou

Každý záznam drží seznam řízení přístupu nebo definici chráněného toku a každý nový odchozí paket se porovnává s těmito definicemi v pořadí. První záznam, jehož definice odpovídá, vlastní tok a jeho peer. Druhý záznam s identickou definicí se nikdy nedostane na řadu, protože první už odpovídal; druhý záznam s užší definicí obsluhuje jen toky, které si první nenárokoval.

Toto chování je užitečné, když záměrně vyřezáváte výjimky ze široké politiky, a je k ničemu jako mechanismus přepnutí při výpadku. Zkontrolujte, co se skutečně stalo, pomocí show crypto map a show crypto ipsec sa peer, a pak projděte syntetický paket cestou, o které věříte, že ji absolvuje. Trasování pojmenuje záznam, který si ho nárokoval, a to je jediná odpověď, na které záleží.

Výběr trasy a vlastnictví politiky jsou samostatná rozhodnutí

Směrovací tabulka odpovídá na to, kam se paket předává. Krypto politika odpovídá na to, která ochrana a který peer se na vybraný provoz použijí. Duplikování páru zdroje a cíle pod jiným peerem mění druhé rozhodnutí a první nechává nedotčené, takže odpovědi mohou stále sledovat starou bránu, zatímco odchozí paket jde přes nový peer. Tato asymetrie vytváří tunel, který hlásí, že je aktivní, a nic nepropouští.

Udržujte také vzájemnost smlouvy se vzdálenou stranou: přijatá identita, chráněné rozsahy adres, zpáteční trasu pro zajímavé prefixy a povolení pro službu. Alternativní odchozí volba, kterou druhá strana neočekává, není alternativní cesta, ale polovina jedné.

Co skutečná alternativní cesta potřebuje

Zvolte mechanismus navržený pro tento úkol: podporovanou skupinu kandidátů peerů, směrovaný tunel s plovoucí statickou nebo dynamickou směrovací sousedností přes něj, nebo jakýkoli design redundance, který vaše platforma pro tuto službu dokumentuje. Potom zapište, která komponenta výpadek detekuje a která komponenta vybírá alternativu, protože to jsou dvě různé funkce a často dva různé týmy.

Překlad adres může lokalitě dát také druhou prezentovanou adresu, ale zároveň mění selektory, logování a pravidla přístupu založená na zdroji. Berte to jako výslovný požadavek, ne jako obejití pro dva nejednoznačné záznamy.

Testujte tři stavy, ne jeden

Konfigurace je hotová až tehdy, když má obhajitelnou odpověď pro běžný provoz, pro stav výpadku primárního a pro návrat k primárnímu. Otestujte všechny tři a zaznamenejte, který záznam politiky a který peer obsloužil každý z nich. Test, který skončí po prvním stavu, dokazuje, že design funguje, když nic není špatně, a to je stav, který jste kontrolovat nemuseli.

Rozlišujte také nakonfigurované překrývání od legitimní koexistence starých a nových asociací během obnovy klíčů. Několik aktivních SA je normální a dočasné; dva záznamy bojující o jeden tok jsou trvalé a neviditelné.