Failback sur ASA: kio vere moviĝas kiam la itinero revenas
Reveno de itinero al la ĉefa ne signifas, ke malnovaj fluoj moviĝis. Rigardu kune la uplink, la tunelon, la konektotabelon kaj la aplikaĵan rezulton.
Sur ASA kun du uplink-oj, failback ne estas la malo de failover. La itinero al la peer ŝanĝiĝas, kaj poste la platformo devas akordigi tri apartajn statomaŝinojn: la itinertabelon, la sekurecajn asociojn IKE kaj IPsec, kaj la konektotabelon. Ĉiu povas resti malantaŭ la aliaj, kaj ĝuste tiu malfruo estas tio, kion plej multaj homoj priskribas kiel tunelon, kiu ne revenas.
Kion failback vere ŝanĝas
La itinera serĉo estas la videbla parto. Kiam la observata objekto resaniĝas, la observata itinero al la ekstera adreso de la peer revenas, kaj la sekva paketo, kiun la ASA sendas, denove sekvas la ĉefan ligilon. Ĉio post tio dependas de tio, ĉu la ekzistanta stato kongruas kun la nova vojo.
ARP kaj NAT estas la silentaj dependecoj. Nova next hop bezonas solveblan enirejon kaj tradukon, kiu ankoraŭ kongruas kun la malproksima fino; alie la unuaj paketoj post failback iras neniom, kaj la itinero aspektas bone dum nenio funkcias.
Kvar vidpunktoj sur unu templinio
Registru la samajn kvar aferojn antaŭ, dum kaj post la transiro, ĉar unu sola momento ne povas diri al vi, kiu tavolo moviĝis.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Itinero, kiu neniam ŝanĝiĝis, kaj itinero, kiu ŝanĝiĝis dum pli malnova konekto konservis sian plusendan staton, produktas la saman plendon kaj tute malsamajn pruvojn.
Kial malnovaj konektoj restas sur la rezerva vojo
La ASA ne disŝiras fluon ĉar itinero ŝanĝiĝis. Establitaj konektoj konservas la plusendan decidon, kun kiu ili estis kreitaj, kaj la platformo proponas apartajn regilojn por kiom longe tio permesiĝas: floating-connection timeout kaj connection holddown. La Gvidilo pri konektagordoj de ASA 9.24 de Cisco traktas ilin kiel apartajn demandojn, kaj ĝuste tiel ili kondutas. Unu regas la pluvivon de ekzistanta fluo, la alia regas, kiam novaj fluoj rajtas uzi la preferatan vojon.
Legu la validajn valorojn por via eldono antaŭ ol ŝanĝi ajnan el ili. Malaltigi ilin fermas sesiojn, kiujn homoj ankoraŭ uzas. Altigi ilin igas failback aspekti kvazaŭ ĝi neniam okazis, ĉar novaj konektoj daŭre prenas la malnovan vojon dum la tuta periodo.
Tunelo ne reŝlosas ĉar itinero revenis
IPsec-sekurecaj asocioj portas sian propran intertraktitan vivdaŭron, kaj ili postvivas la itineran ŝanĝon, kiu portis ilin. Tunelo do povas resti supren tra failback dum ĝia ekstera adresado jam ne kongruas kun la vojo uzata; tio estas la argumento por DPD kaj por aranĝoj, kiuj fiksas la peer-adreson anstataŭ lasi ĝin flosi.
Crypto-map kaj VTI-arkitekturoj kondutas ĉi tie malsame, kaj la dokumentaro de Cisco pri 9.24 VTI priskribas la itiner-bazitan opcion. La malnova ĝenerala aserto, ke ASA ne povas funkciigi itiner-bazitajn VPN-ojn, ne validas por subtenataj eldonoj.
Legu la pruvojn laŭ ĉi tiu ordo
Komencu ĉe la rega ebeno: show route por la elektita vojo, show interface por la ligila stato, kaj la nombriloj de la SLA-monitoro por la observata objekto. Poste legu show crypto ikev2 sa, aŭ la IKEv1-ekvivalenton, por vidi, kiu peer vivas, sekvatan de show crypto ipsec sa por la protektitaj fluoj. Poste mallarĝigu la konektotabelon per show conn address <host> kaj komparu la interfacan kolumnon ĉe malnovaj kaj novaj rikordoj. Skribu la eligojn kun tempindikoj, ĉar ilia ordo estas la diagnozo.
Finu per aplikaĵa testo: unu fluo, kiu jam ekzistis, kaj unu kreita post la reveno de la itinero. Se la malnova fluo malsukcesas kaj la nova funkcias, vi havas rakonton pri konekta stato. Se ambaŭ malsukcesas, la tunelo aŭ la politiko malĝustas kaj la konektotabelo estas distro.
Tenu tiun rikordon en la sama formo tra ĉiuj tri fazoj, kaj notu la precizan eldonon. Kiam la templinio daŭre montras al unu sola transiro, sendu la rikordon al subteno anstataŭ diveni cimo-identigilon.