Failback ar ASA: beth sy'n symud mewn gwirionedd pan ddaw'r llwybr yn ôl
Nid yw llwybr yn dychwelyd i'r prif lwybr yn golygu bod hen ffrydiau wedi symud. Gwyliwch y cyswllt uwchben, y twnnel, y tabl cysylltiadau a chanlyniad yr ap gyda'i gilydd.
Ar ASA sydd â dau uplink, nid yw failback yn wrthdro failover. Mae'r llwybr at y peer yn newid, ac yna rhaid i'r platfform gysoni tair peiriant cyflwr ar wahân: y tabl llwybrau, cymdeithion diogelwch IKE ac IPsec, a'r tabl cysylltiadau. Gall pob un ohonynt lusgo ar ôl y lleill, a'r oedi hwnnw yw'r hyn y mae'r rhan fwyaf o bobl yn ei ddisgrifio fel twnnel nad yw'n dod yn ôl.
Beth mae failback yn ei newid mewn gwirionedd
Y chwiliad llwybr yw'r rhan weladwy. Pan fydd y gwrthrych a fonitrir yn gwella, mae'r llwybr a fonitrir at gyfeiriad allanol y peer yn dychwelyd, ac mae'r pecyn nesaf y mae'r ASA yn ei anfon yn dilyn y cyswllt cynradd eto. Mae popeth ar ôl hynny yn dibynnu ar a yw'r cyflwr presennol yn cytuno â'r llwybr newydd.
ARP a NAT yw'r dibyniaethau tawel. Mae angen porth y gellir ei datrys ar next hop newydd a chyfieithiad sy'n dal i gyd-fynd â'r pen pell, neu bydd y pecynnau cyntaf ar ôl failback yn mynd i unman ac mae'r llwybr yn edrych yn iawn tra nad oes unrhyw beth yn gweithio.
Pedair golwg ar un llinell amser
COFNODWCH yr un pedair peth cyn, yn ystod ac ar ôl y trawsnewid, oherwydd ni all un ciplun ddweud wrthych pa haen a symudodd.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Mae llwybr na newidiodd erioed a llwybr a newidiodd tra oedd cysylltiad hŷn yn cadw ei gyflwr anfon ymlaen yn cynhyrchu'r un gŵyn a thystiolaeth hollol wahanol.
Pam mae hen gysylltiadau'n aros ar y llwybr wrth gefn
Nid yw'r ASA yn rhwygo ffrwd oherwydd bod llwybr wedi newid. Mae cysylltiadau sefydledig yn cadw'r penderfyniad anfon ymlaen y cawsant eu creu ag ef, ac mae'r platfform yn cynnig rheolyddion ar wahân ar gyfer pa mor hir y caniateir hynny: floating-connection timeout a connection holddown. Mae Canllaw gosodiadau cysylltiadau ASA 9.24 Cisco yn eu trin fel cwestiynau gwahanol, a dyna'n union sut maen nhw'n ymddwyn. Mae un yn llywodraethu goroesiad ffrwd sy'n bodoli eisoes; mae'r llall yn llywodraethu pryd y caiff ffrydiau newydd ddefnyddio'r llwybr a ffefrir.
Darllenwch y gwerthoedd effeithiol ar gyfer eich rhyddhau cyn newid y naill neu'r llall. Mae eu gostwng yn cau sesiynau y mae pobl yn dal i'w defnyddio. Mae eu codi yn gwneud i failback edrych fel na ddigwyddodd erioed, oherwydd bod cysylltiadau newydd yn parhau i gymryd yr hen lwybr am y cyfnod.
Nid yw twnnel yn ail-allweddu oherwydd bod llwybr wedi dychwelyd
Mae cymdeithion diogelwch IPsec yn cario eu hoes a drafodwyd eu hunain, ac maen nhw'n goroesi'r newid llwybr a'u cariodd. Felly gall twnnel aros i fyny ar draws failback tra nad yw ei gyfeiriadu allanol yn cyfateb mwyach i'r llwybr sy'n cael ei ddefnyddio, sef y ddadl dros DPD a dros gynlluniau sy'n pinio cyfeiriad y peer yn lle ei adael i arnofio.
Mae cynlluniau crypto-map a VTI yn ymddwyn yn wahanol yma, ac mae dogfennaeth Cisco ar gyfer 9.24 VTI yn disgrifio'r opsiwn sy'n seiliedig ar lwybrau. Nid yw'r hen honiad cyffredinol na all ASA redeg VPN sy'n seiliedig ar lwybrau yn dal ar gyfer rhyddhau a gefnogir.
Darllenwch y dystiolaeth yn y drefn hon
Dechreuwch gyda'r awyren reoli: show route ar gyfer y llwybr a ddewiswyd, show interface ar gyfer cyflwr y cyswllt, a chownteri monitro SLA ar gyfer y gwrthrych a fonitrir. Yna darllenwch show crypto ikev2 sa, neu'r hyn sy'n cyfateb i IKEv1, i weld pa peer sy'n fyw, ac yna show crypto ipsec sa ar gyfer y ffrydiau a warchodir. Yna culfennwch y tabl cysylltiadau gyda show conn address <host> a chymharwch y golofn rhyngwyneb ar draws cofnodion hen a newydd. Ysgrifennwch y canlyniadau gyda stampiau amser, oherwydd eu trefn yw'r diagnosis.
Gorffenwch gyda phrawf ap: un ffrwd a oedd eisoes yn bodoli, ac un a grëwyd ar ôl i'r llwybr ddychwelyd. Os yw'r hen ffrwd yn methu a'r un newydd yn gweithio, mae gennych stori cyflwr cysylltiad. Os yw'r ddau yn methu, mae'r twnnel neu'r polisi yn anghywir ac mae'r tabl cysylltiadau yn tynnu sylw.
Cadwch y cofnod hwnnw yn yr un siâp ar draws y tair phase, a nodwch y rhyddhau yn union. Pan fydd y llinell amser yn parhau i bwyntio at un trawsnewid, anfonwch y cofnod at gefnogaeth yn hytrach na dyfalu ID nam.