La modulo ASA FirePOWER ne havas administran itineron al FMC

FMC montras la modulon kiel neatingebla, la registrado restas en atendo, kaj ping el la interno de la ASA funkcias senprobleme. Ĉe ekzistanta ASA FirePOWER-ekspluato tiu kombinaĵo estas normala. La modulo havas sian propran administran adreson, sian propran implicitan pordegon kaj siajn proprajn itinajn decidojn, kaj dividi fizikan administran konekton kun la ASA sur iuj platformoj ne kunfandas tion en unu retan stakon. Du aparatoj respondas el du malsamaj vidpunktoj sur la sama drato.

La sekvanta validas por moduloj jam en servo. Identigu la ĉasian modelon, la modulan tipon kaj la subtenatan softvaran eldonon antaŭ ol apliki iun ajn pordan diagramon el gvidilo.

Desegnu la modulon kiel apartan gastiganton

Komencu la diagramon per la administra IP de la modulo, masko kaj implicita pordego, la VLAN kiu efektive portas tiun konekton, kaj la FMC-adreso kiun ĝi devas atingi. Poste, en aparta kadro, skribu la interfacajn adresojn de la ASA kaj ĝian plenan itintabelon. Se la du kadroj finfine dividas subreton kun adresoj posedataj de malsamaj flankoj, vi trovis la interesan parton de la problemo.

La gvidilo pri la modulo ASA FirePOWER montras kiel pordaj aranĝoj malsamas inter platformoj, inkluzive de komuna administra kabligo kie la ASA kaj la modulo portas apartajn adresojn en la sama segmento. Tiu aparatara diagramo estas enigo por la dezajno, ne piednoto.

Trovu, kie la reira vojo rompiĝas

Prenu kernan itinaran aranĝon. La modulo sendas FMC-celan trafikon al Layer 3-kerno, la kerno plusendas la foran administran celon al la interna interfaco de la ASA, kaj la eja VPN portas ĝin al la alia flanko. La fora ejo tiam bezonas itinieron returne al la administra subreto de la modulo. Ĉiu salteto en tiu ĉeno povas esti ĝusta dum tiu lasta itinero mankas, kaj tial la fiasko tiel ofte aspektas kiel rompita tunelo.

Legu la propran vidon de la ASA antaŭ ol ŝanĝi ion ajn:

show interface ip brief
show route
show running-config interface

La tria komando gravas, ĉar interfaca adreso kiun vi forgesis estas ĝuste tio, kio igas la reiran vojon surteriĝi sur la malĝusta aparato.

Kontrolu, kion la ASA konsideras konektita

Se la ASA havas adreson en la administra subreto de la modulo, ĝia konektita itinero posedas tiun prefikson. Statika itinero al la kerno ne delokigas la posedon de la konektita itinero, do la pako revenas al la ASA kaj haltas tie. La registrado tiam fiaskas en punkto kiu havas nenion komunan kun akreditiloj.

Ne konkludu, ke specifa kontraŭtrompa kontrolo faligis la pakon, krom se vi havas la proprajn observojn de la aparato antaŭ vi. Komparu anstataŭe la envenan interfacon, la elektitan celitinieron kaj la subtenatan limon inter administra kaj data plusendo por tiu platformo. Tiuj tri faktoj kutime malkaŝas la topologian konflikton antaŭ ol iu komencas restarigi registrajn ŝlosilojn.

Elektu korekton, kiu lasas la modulon konektita

Forigi la adreson de la ASA el tiu segmento kaj fizike malŝalti komunan pordon ne estas ekvivalentaj agoj. Sur platformoj kie la modulo veturas sur la sama fizika administra konekto, malŝalti la pordon forigas la solan ligon de la modulo — vi estus transforminta itinaran problemon en mortan aparaton. Preferu la ŝanĝon kiu reasignas la posedon de la administra itinaro kaj preparu ĝin kun la retposedanto ĉeestanta.

Dua subtenata opcio estas doni al la administra vojo de la ASA sian propran segmenton, por ke la administra subreto de la modulo havu unu posedanton. Tio kostas unu adreson kaj iom da dokumentado, kaj ĝi forigas la ambiguecon por ĉiam. Kiun ajn vojon vi elektas, poste konfirmu, ke la modulo ankoraŭ povas atingi kaj FMC kaj siajn DNS- aŭ NTP-fontojn.

Registru nur post kiam la vojo estas kohera

Kiam la reira vojo estas pura, planu la administran konektecon kaj la registrajn parametrojn laŭ la koncerna eldongvidilo de FMC kaj la modulo. Tenu registrajn sekretojn ekster komunaj notoj kaj biletoj, kaj rezistu la tenton registri denove kiel diagnozan paŝon: freŝa ŝlosilo sur rompita vojo nur produktas la saman fiaskon kun pli nova tempindiko.

Akceptu la vojon el la propra administra stako de la modulo anstataŭ el ping originita de la ASA, ĉar la fonto de la testo estas ĝuste tio, kio estas sub suspekto. Notu la sekvan salteton de la modulo, la VPN-elekton de la ASA kaj la respondan itinieron de FMC, kaj tenu sendependan reakiran metodon por ambaŭ administraj roloj. Tiu registro estas tio, kio apartigas riparitan transporton de sukcesa registrado.

Kiam la modulo fine aperos en FMC, relanĉu la samajn tri komandojn kaj konservu la eligon apud la diagramo. La sekva persono, kiu tuŝos tiun administran segmenton, bezonos ĝuste tiun komparadon.