Dos mapas criptográficos, un solo flujo: la entrada posterior no es una copia de seguridad

Añada una segunda entrada de mapa criptográfico para el mismo par de direcciones, apúntela a un peer distinto y ya ha escrito un plan de conmutación por error. Ese es el mito, y sobrevive porque parece cualquier otra lista ordenada que haya configurado. La secuencia dentro de un mapa criptográfico decide qué entrada reclama un flujo nuevo, no qué entrada toma el relevo cuando un peer deja de responder. Nada en esa lista supervisa el extremo remoto, así que la segunda entrada se queda ahí sin reclamar nada en absoluto.

El mito: el orden significa respaldo

Una lista ordenada con dos entradas y una definición compartida se siente como primaria y secundaria. El parecido termina en la sintaxis. La documentación de ASA de Cisco describe el mapa criptográfico como el modelo de política que hace coincidir el tráfico protegido y nombra la disposición de peers para él, y la coincidencia se produce contra la entrada que reclama el flujo primero. La disponibilidad de un peer remoto no forma parte de esa evaluación.

Lo que ha construido es una política que nunca se consultará para ese flujo, más un comentario en un registro de cambios que afirma redundancia.

La secuencia reclama el flujo, y solo una vez

Cada entrada contiene una lista de control de acceso o una definición de flujo protegido, y cada paquete saliente nuevo se compara con esas definiciones en orden de secuencia. La primera entrada cuya definición coincide posee el flujo y su peer. Una segunda entrada con una definición idéntica nunca llega a su turno, porque la primera ya coincidió; una segunda entrada con una definición más estrecha solo sirve flujos que la primera no reclamó.

Ese comportamiento es útil cuando recorta excepciones deliberadamente de una política amplia, y es inútil como mecanismo de conmutación por error. Compruebe qué ocurrió realmente con show crypto map y show crypto ipsec sa peer, y luego siga un paquete sintético por la ruta que cree que toma. El seguimiento nombrará la entrada que lo reclamó, y esa es la única respuesta que importa.

La selección de ruta y la propiedad de la política son decisiones separadas

Una tabla de enrutamiento responde adónde se reenvía el paquete. La política criptográfica responde qué protección y qué peer se aplican al tráfico seleccionado. Duplicar un par de origen y destino bajo otro peer cambia la segunda decisión y deja la primera intacta, así que las respuestas pueden seguir la puerta de enlace antigua mientras el paquete saliente toma el peer nuevo. Esa asimetría produce un túnel que informa que está activo y no deja pasar nada.

Mantenga también recíproco el contrato con el extremo remoto: identidad aceptada, rangos de direcciones protegidos, una ruta de retorno para los prefijos interesantes y permiso para el servicio. Una elección de salida alternativa que el otro lado no espera no es una ruta alternativa, es la mitad de una.

Qué necesita una ruta alternativa real

Elija un mecanismo diseñado para la tarea: un grupo compatible de candidatos a peer, un túnel enrutado con una estática flotante o una adyacencia de enrutamiento dinámico a través de él, o cualquier diseño de redundancia que su plataforma documente para ese servicio. Luego anote qué componente detecta el fallo y qué componente selecciona la alternativa, porque son dos funciones diferentes y a menudo dos equipos diferentes.

La traducción de direcciones también puede dar a un sitio una segunda dirección presentada, pero cambia selectores, registro y reglas de acceso basadas en el origen al mismo tiempo. Trátelo como un requisito explícito y no como una solución improvisada para dos entradas ambiguas.

Pruebe tres estados, no uno

La configuración solo está terminada cuando tiene una respuesta defendible para el funcionamiento normal, para el estado de fallo del primario y para el regreso al primario. Pruebe los tres y registre qué entrada de política y qué peer sirvió a cada uno. Una prueba que se detiene tras el primer estado demuestra que el diseño funciona cuando nada va mal, que es el estado que no necesitaba comprobar.

Distinga también el solapamiento configurado de la coexistencia legítima de asociaciones antiguas y nuevas durante una regeneración de claves. Varias SA activas son normales y temporales; dos entradas que se pelean por un flujo son permanentes e invisibles.