Δύο κρυπτογραφικοί χάρτες, μία ροή: η μεταγενέστερη εγγραφή δεν είναι εφεδρική

Προσθέστε μια δεύτερη εγγραφή κρυπτογραφικού χάρτη για το ίδιο ζεύγος διευθύνσεων, στρέψτε την σε διαφορετικό ομότιμο και έχετε γράψει ένα σχέδιο εναλλαγής κατά την αποτυχία. Αυτός είναι ο μύθος, και επιβιώνει επειδή μοιάζει με κάθε άλλη διατεταγμένη λίστα που έχετε ρυθμίσει. Η σειρά σε έναν κρυπτογραφικό χάρτη καθορίζει ποια εγγραφή διεκδικεί μια νέα ροή, όχι ποια εγγραφή αναλαμβάνει όταν ένας ομότιμος σταματήσει να απαντά. Τίποτα σε αυτή τη λίστα δεν παρακολουθεί το απομακρυσμένο άκρο, οπότε η δεύτερη εγγραφή κάθεται εκεί χωρίς να διεκδικεί τίποτα απολύτως.

Ο μύθος: η σειρά σημαίνει εφεδρία

Μια διατεταγμένη λίστα με δύο εγγραφές και έναν κοινό ορισμό μοιάζει με κύρια και δευτερεύουσα. Η ομοιότητα τελειώνει στη σύνταξη. Η τεκμηρίωση της Cisco για το ASA περιγράφει τον κρυπτογραφικό χάρτη ως το μοντέλο πολιτικής που αντιστοιχίζει προστατευμένη κίνηση και ονομάζει τη διάταξη ομοτίμων για αυτήν, και η αντιστοίχιση γίνεται με την εγγραφή που διεκδικεί πρώτη τη ροή. Η διαθεσιμότητα ενός απομακρυσμένου ομοτίμου δεν είναι μέρος αυτής της αξιολόγησης.

Αυτό που έχετε χτίσει είναι μια πολιτική που δεν θα συμβουλευτεί ποτέ για αυτή τη ροή, συν ένα σχόλιο σε αρχείο αλλαγών που ισχυρίζεται πλεονασμό.

Η σειρά διεκδικεί τη ροή, και μόνο μία φορά

Κάθε εγγραφή κρατά μια λίστα ελέγχου πρόσβασης ή έναν ορισμό προστατευμένης ροής, και κάθε νέο εξερχόμενο πακέτο συγκρίνεται με αυτούς τους ορισμούς κατά σειρά. Η πρώτη εγγραφή της οποίας ο ορισμός ταιριάζει κατέχει τη ροή και τον ομότιμό της. Μια δεύτερη εγγραφή με πανομοιότυπο ορισμό δεν παίρνει ποτέ σειρά, επειδή η πρώτη έχει ήδη ταιριάξει· μια δεύτερη εγγραφή με στενότερο ορισμό εξυπηρετεί μόνο ροές που η πρώτη δεν διεκδίκησε.

Αυτή η συμπεριφορά είναι χρήσιμη όταν κόβετε σκόπιμα εξαιρέσεις από μια ευρεία πολιτική, και είναι άχρηστη ως μηχανισμός εναλλαγής κατά την αποτυχία. Ελέγξτε τι συνέβη πραγματικά με το show crypto map και το show crypto ipsec sa peer, και μετά ακολουθήστε ένα συνθετικό πακέτο στη διαδρομή που πιστεύετε ότι παίρνει. Η ιχνηλάτηση θα ονομάσει την εγγραφή που το διεκδίκησε, και αυτή είναι η μόνη απάντηση που μετράει.

Η επιλογή διαδρομής και η ιδιοκτησία πολιτικής είναι ξεχωριστές αποφάσεις

Ένας πίνακας δρομολόγησης απαντά πού προωθείται το πακέτο. Η κρυπτογραφική πολιτική απαντά ποια προστασία και ποιος ομότιμος ισχύουν για την επιλεγμένη κίνηση. Η αντιγραφή ενός ζεύγους πηγής και προορισμού κάτω από άλλον ομότιμο αλλάζει τη δεύτερη απόφαση και αφήνει την πρώτη ανέγγιχτη, οπότε οι απαντήσεις μπορεί να ακολουθούν ακόμη την παλιά πύλη ενώ το εξερχόμενο πακέτο παίρνει τον νέο ομότιμο. Αυτή η ασυμμετρία παράγει μια σήραγγα που αναφέρει ότι είναι ενεργή και δεν περνά τίποτα.

Κρατήστε και την αμοιβαιότητα της σύμβασης με το απομακρυσμένο άκρο: αποδεκτή ταυτότητα, προστατευμένα εύρη διευθύνσεων, διαδρομή επιστροφής για τα ενδιαφέροντα προθέματα και άδεια για την υπηρεσία. Μια εναλλακτική εξερχόμενη επιλογή που η άλλη πλευρά δεν περιμένει δεν είναι εναλλακτική διαδρομή, είναι το μισό μιας.

Τι χρειάζεται μια πραγματική εναλλακτική διαδρομή

Επιλέξτε έναν μηχανισμό σχεδιασμένο για τη δουλειά: μια υποστηριζόμενη ομάδα υποψηφίων ομοτίμων, μια δρομολογημένη σήραγγα με αιωρούμενη στατική ή δυναμική γειτνίαση δρομολόγησης πάνω της, ή όποιο σχέδιο πλεονασμού τεκμηριώνει η πλατφόρμα σας για αυτήν την υπηρεσία. Στη συνέχεια γράψτε ποιο στοιχείο ανιχνεύει την αποτυχία και ποιο στοιχείο επιλέγει την εναλλακτική, γιατί αυτές είναι δύο διαφορετικές λειτουργίες και συχνά δύο διαφορετικές ομάδες.

Η μετάφραση διευθύνσεων μπορεί επίσης να δώσει σε μια τοποθεσία μια δεύτερη παρουσιαζόμενη διεύθυνση, αλλά αλλάζει ταυτόχρονα επιλογείς, καταγραφή και κανόνες πρόσβασης βάσει πηγής. Αντιμετωπίστε το ως ρητή απαίτηση και όχι ως λύση ανάγκης για δύο διφορούμενες εγγραφές.

Δοκιμάστε τρεις καταστάσεις, όχι μία

Η διαμόρφωση ολοκληρώνεται μόνο όταν έχει μια υπερασπίσιμη απάντηση για την κανονική λειτουργία, για την κατάσταση αποτυχίας του κύριου και για την επιστροφή στον κύριο. Δοκιμάστε και τις τρεις και καταγράψτε ποια εγγραφή πολιτικής και ποιος ομότιμος υπηρέτησε την καθεμία. Μια δοκιμή που σταματά μετά την πρώτη κατάσταση αποδεικνύει ότι το σχέδιο λειτουργεί όταν τίποτα δεν πάει στραβά, και αυτή είναι η κατάσταση που δεν χρειαζόταν να ελέγξετε.

Διακρίνετε επίσης τη διαμορφωμένη επικάλυψη από τη νόμιμη συνύπαρξη παλαιών και νέων συσχετίσεων κατά τη διάρκεια ανανέωσης κλειδιών. Πολλές ενεργές SA είναι φυσιολογικές και προσωρινές· δύο εγγραφές που μάχονται για μία ροή είναι μόνιμες και αόρατες.