Du kriptomapoj, unu fluo: la posta enskribo ne estas rezervo

Aldonu duan enskribon de kriptomapo por la sama adresparo, direktu ĝin al alia samtavolano, kaj vi verkis planon por transiro dum paneo. Tio estas la mito, kaj ĝi postvivas ĉar ĝi aspektas kiel ĉiu alia ordigita listo, kiun vi agordis. La sinsekvo en kriptomapo decidas, kiu enskribo postulas novan fluon, ne kiu enskribo transprenas kiam samtavolano ĉesas respondi. Nenio en tiu listo observas la malproksiman finon, do la dua enskribo simple sidas tie postulante nenion.

La mito: ordo signifas rezervon

Ordigita listo kun du enskriboj kaj unu komuna difino sentiĝas kiel ĉefa kaj rezerva. La simileco finiĝas ĉe la sintakso. La ASA-dokumentaro de Cisco priskribas la kriptomapon kiel la politikan modelon, kiu kongruas kun protektita trafiko kaj nomas la samtavolan aranĝon por ĝi, kaj la kongruo okazas kontraŭ la enskribo, kiu unue postulas la fluon. La havebleco de malproksima samtavolano ne estas parto de tiu takso.

Tio, kion vi konstruis, estas politiko, kiun oni neniam konsultos por tiu fluo, plus komento en ŝanĝregistro, kiu asertas redundon.

La sinsekvo postulas la fluon, kaj nur unufoje

Ĉiu enskribo tenas alirregliston aŭ difinon de protektita fluo, kaj ĉiu nova elira pako estas komparata kun tiuj difinoj laŭ sinsekva ordo. La unua enskribo, kies difino kongruas, posedas la fluon kaj ĝian samtavolanon. Dua enskribo kun identa difino neniam ricevas vicon, ĉar la unua jam kongruis; dua enskribo kun pli mallarĝa difino servas nur fluojn, kiujn la unua ne postulis.

Tiu konduto utilas, kiam vi intence eltranĉas esceptojn el vasta politiko, kaj ĝi estas senutila kiel mekanismo por transiro dum paneo. Kontrolu, kio efektive okazis per show crypto map kaj show crypto ipsec sa peer, poste spuru sintetikan pakon laŭ la vojo, kiun vi kredas, ke ĝi prenas. La spuro nomos la enskribon, kiu postulis ĝin, kaj tio estas la sola respondo, kiu gravas.

Voja elektado kaj politika posedo estas apartaj decidoj

Enkursiga tabelo respondas, kien la pako estas plusendata. La kripta politiko respondas, kiu protekto kaj kiu samtavolano aplikiĝas al la elektita trafiko. Duobligi paron de fonto kaj celo sub alia samtavolano ŝanĝas la duan decidon kaj lasas la unuan netuŝitan, do respondoj eble ankoraŭ sekvas la malnovan enirejon dum la elira pako prenas la novan samtavolanon. Tiu nesimetrio produktas tunelon, kiu raportas sin aktiva kaj trapasas nenion.

Konservu ankaŭ la reciprokecon de la kontrakto kun la malproksima fino: akceptita identeco, protektitaj adresaj intervaloj, revena vojo por la interesaj prefiksoj kaj permeso por la servo. Alternativa elira elekto, kiun la alia flanko ne atendas, ne estas alternativa vojo, ĝi estas duono de unu.

Kion bezonas vera alternativa vojo

Elektu mekanismon desegnitan por la tasko: subtenatan grupon de kandidatoj samtavolanaj, enkursigitan tunelon kun flosanta statika aŭ dinamika enkursiga najbareco trans ĝi, aŭ kian ajn redundan desegnon via platformo dokumentas por tiu servo. Poste notu, kiu komponanto detektas la paneon kaj kiu komponanto elektas la alternativon, ĉar tiuj estas du malsamaj funkcioj kaj ofte du malsamaj teamoj.

Adresa tradukado ankaŭ povas doni al ejo duan prezentatan adreson, sed ĝi samtempe ŝanĝas selektilojn, protokoladon kaj font-bazitajn alirregulojn. Traktu tion kiel eksplicitan postulon, ne kiel provizoran solvon por du ambiguaj enskriboj.

Testu tri statojn, ne unu

La agordo finiĝas nur kiam ĝi havas defendeblan respondon por normala funkciado, por la stato de malsukceso de la ĉefa kaj por la reveno al la ĉefa. Testu ĉiujn tri kaj registru, kiu politika enskribo kaj kiu samtavolano servis ĉiun. Testo, kiu haltas post la unua stato, pruvas, ke la desegno funkcias kiam nenio maltrafas, kaj tio estas la stato, kiun vi ne bezonis kontroli.

Ankaŭ distingigu agorditan koincidon de la laŭleĝa kunekzistado de malnovaj kaj novaj asocioj dum ŝlosila renovigo. Pluraj aktivaj SA estas normalaj kaj portempaj; du enskriboj batalantaj pri unu fluo estas permanentaj kaj nevideblaj.