Η μονάδα ASA FirePOWER δεν έχει διαδρομή διαχείρισης προς το FMC

Το FMC εμφανίζει τη μονάδα ως μη προσβάσιμη, η εγγραφή μένει σε εκκρεμότητα και ένα ping από το εσωτερικό του ASA λειτουργεί άψογα. Σε υπάρχουσα εγκατάσταση ASA FirePOWER ο συνδυασμός αυτός είναι φυσιολογικός. Η μονάδα έχει δική της διεύθυνση διαχείρισης, δική της προεπιλεγμένη πύλη και δικές της αποφάσεις δρομολόγησης, και ο διαμοιρασμός φυσικής σύνδεσης διαχείρισης με τον ASA σε ορισμένες πλατφόρμες δεν τα συνενώνει σε μία στοίβα δικτύου. Δύο συσκευές απαντούν από δύο διαφορετικές οπτικές γωνίες στο ίδιο καλώδιο.

Τα επόμενα ισχύουν για μονάδες που βρίσκονται ήδη σε λειτουργία. Προσδιορίστε το μοντέλο του πλαισίου, τον τύπο της μονάδας και την υποστηριζόμενη έκδοση λογισμικού πριν εφαρμόσετε οποιοδήποτε διάγραμμα θυρών από οδηγό.

Σχεδιάστε τη μονάδα ως ξεχωριστό κεντρικό υπολογιστή

Ξεκινήστε το διάγραμμα με τη διεύθυνση IP διαχείρισης της μονάδας, τη μάσκα και την προεπιλεγμένη πύλη, το VLAN που μεταφέρει πραγματικά αυτή τη σύνδεση και τη διεύθυνση FMC που πρέπει να προσεγγιστεί. Έπειτα, σε ξεχωριστό πλαίσιο, γράψτε τις διευθύνσεις διασύνδεσης του ASA και τον πλήρη πίνακα δρομολόγησής του. Αν τα δύο πλαίσια καταλήξουν να μοιράζονται υποδίκτυο με διευθύνσεις διαφορετικών ιδιοκτητών, βρήκατε το ενδιαφέρον μέρος του προβλήματος.

Ο οδηγός της μονάδας ASA FirePOWER δείχνει πώς οι διατάξεις θυρών διαφέρουν μεταξύ πλατφορμών, συμπεριλαμβανομένης της κοινής καλωδίωσης διαχείρισης όπου ο ASA και η μονάδα φέρουν ξεχωριστές διευθύνσεις στο ίδιο τμήμα. Αυτό το διάγραμμα υλικού είναι είσοδος για τον σχεδιασμό, όχι υποσημείωση.

Βρείτε πού κόβεται η διαδρομή επιστροφής

Πάρτε μια διάταξη με δρομολόγηση μέσω κορμού. Η μονάδα στέλνει την κίνηση προς το FMC σε έναν κορμό Layer 3, ο κορμός προωθεί τον απομακρυσμένο προορισμό διαχείρισης προς την εσωτερική διασύνδεση του ASA και το VPN της τοποθεσίας τη μεταφέρει στην άλλη πλευρά. Έπειτα η απομακρυσμένη τοποθεσία χρειάζεται διαδρομή επιστροφής προς το υποδίκτυο διαχείρισης της μονάδας. Κάθε άλμα σε αυτή την αλυσίδα μπορεί να είναι σωστό ενώ λείπει η τελευταία διαδρομή, και γι’ αυτό η αποτυχία μοιάζει τόσο συχνά με σπασμένο τούνελ.

Διαβάστε την οπτική του ίδιου του ASA πριν αλλάξετε οτιδήποτε:

show interface ip brief
show route
show running-config interface

Η τρίτη εντολή έχει σημασία, γιατί μια διεύθυνση διασύνδεσης που ξεχάσατε είναι ακριβώς αυτό που κάνει τη διαδρομή επιστροφής να προσγειωθεί στη λάθος συσκευή.

Ελέγξτε τι θεωρεί ο ASA ως συνδεδεμένο

Αν ο ASA έχει διεύθυνση στο υποδίκτυο διαχείρισης της μονάδας, η συνδεδεμένη διαδρομή του κατέχει αυτό το πρόθεμα. Μια στατική διαδρομή προς τον κορμό δεν εκτοπίζει την κυριότητα της συνδεδεμένης διαδρομής, οπότε το πακέτο επιστρέφει στον ASA και σταματά εκεί. Η εγγραφή τότε αποτυγχάνει σε σημείο που δεν έχει καμία σχέση με διαπιστευτήρια.

Μην συμπεράνετε ότι ένας συγκεκριμένος έλεγχος κατά της πλαστογράφησης απέρριψε το πακέτο, εκτός αν έχετε μπροστά σας τις δικές του παρατηρήσεις της συσκευής. Συγκρίνετε αντ’ αυτού τη διασύνδεση εισόδου, την επιλεγμένη διαδρομή προορισμού και το υποστηριζόμενο όριο προώθησης μεταξύ διαχείρισης και δεδομένων για αυτή την πλατφόρμα. Αυτά τα τρία γεγονότα συνήθως αποκαλύπτουν τη σύγκρουση τοπολογίας πριν αρχίσει κανείς να επαναφέρει κλειδιά εγγραφής.

Επιλέξτε διόρθωση που κρατά τη μονάδα συνδεδεμένη

Η αφαίρεση της διεύθυνσης του ASA από αυτό το τμήμα και η φυσική απενεργοποίηση μιας κοινόχρηστης θύρας δεν είναι ισοδύναμες ενέργειες. Σε πλατφόρμες όπου η μονάδα κινείται στην ίδια φυσική σύνδεση διαχείρισης, η απενεργοποίηση της θύρας αφαιρεί τη μοναδική ζεύξη της μονάδας — θα έχετε μετατρέψει ένα πρόβλημα δρομολόγησης σε νεκρή συσκευή. Προτιμήστε την αλλαγή που ανακατανέμει την κυριότητα της δρομολόγησης διαχείρισης και προετοιμάστε την με τον ιδιοκτήτη του δικτύου παρόντα.

Μια δεύτερη υποστηριζόμενη επιλογή είναι να δοθεί στη διοικητική διαδρομή του ASA δικό της τμήμα, ώστε το υποδίκτυο διαχείρισης της μονάδας να έχει έναν ιδιοκτήτη. Αυτό κοστίζει μία διεύθυνση και λίγη τεκμηρίωση και αφαιρεί την ασάφεια οριστικά. Όποια διαδρομή κι αν επιλέξετε, επιβεβαιώστε μετά ότι η μονάδα εξακολουθεί να φτάνει τόσο το FMC όσο και τις πηγές DNS ή NTP.

Καταχωρίστε μόνο αφού η διαδρομή είναι συνεπής

Όταν η διαδρομή επιστροφής είναι καθαρή, σχεδιάστε τη συνδεσιμότητα διαχείρισης και τις παραμέτρους εγγραφής από τον αντίστοιχο οδηγό έκδοσης του FMC και της μονάδας. Κρατήστε τα μυστικά εγγραφής έξω από κοινόχρηστες σημειώσεις και δελτία και αντισταθείτε στον πειρασμό να επανεγγραφείτε ως διαγνωστικό βήμα: ένα φρέσκο κλειδί σε σπασμένη διαδρομή παράγει απλώς την ίδια αποτυχία με νεότερη χρονική σφραγίδα.

Δεχτείτε τη διαδρομή από τη δική της στοίβα διαχείρισης της μονάδας και όχι από ping που ξεκινά ο ASA, γιατί η πηγή της δοκιμής είναι ακριβώς αυτό που βρίσκεται υπό υποψία. Καταγράψτε το επόμενο άλμα της μονάδας, την επιλογή VPN του ASA και τη διαδρομή απάντησης του FMC, και κρατήστε ανεξάρτητη μέθοδο ανάκτησης και για τους δύο ρόλους διαχείρισης. Αυτή η καταγραφή είναι που χωρίζει μια επισκευασμένη μεταφορά από μια επιτυχή εγγραφή.

Όταν η μονάδα εμφανιστεί επιτέλους στο FMC, εκτελέστε ξανά τις ίδιες τρεις εντολές και αποθηκεύστε την έξοδο δίπλα στο διάγραμμα. Ο επόμενος που θα αγγίξει αυτό το τμήμα διαχείρισης θα χρειαστεί ακριβώς αυτή τη σύγκριση.