Failback ASA-l: mis tegelikult liigub, kui marsruut naaseb
Marsruudi naasmine põhiteele ei tähenda, et vanad vood liikusid. Jälgige koos uplinki, tunnelit, ühenduste tabelit ja rakenduse tulemust.
Kahe uplinkiga ASA-l ei ole failback failoveri vastand. Marsruut peeri juurde muutub ja seejärel peab platvorm viima kooskõlla kolm eraldiseisvat olekumasinat: marsruutide tabeli, IKE ja IPsec turvaassotsiatsioonid ning ühenduste tabeli. Igaüks võib teistest maha jääda ja just seda mahajäämist kirjeldavad inimesed enamasti tunnelina, mis ei tule tagasi.
Mida failback tegelikult muudab
Marsruudi otsing on nähtav osa. Kui jälgitud objekt taastub, naaseb jälgitud marsruut peeri välisaadressile ja järgmine pakett, mille ASA saadab, järgib jälle põhilinki. Kõik pärast seda sõltub sellest, kas olemasolev olek on uue teega kooskõlas.
ARP ja NAT on vaiksed sõltuvused. Uus next hop vajab lahendatavat lüüsi ja tõlget, mis ikka veel kaugemale poolega sobib, muidu ei lähe esimesed paketid pärast failbacki kuhugi ning marsruut näeb hea välja, samal ajal kui miski ei tööta.
Neli vaadet ühel ajajoonel
Kirjutage samad neli asja üles enne üleminekut, selle ajal ja pärast seda, sest üks hetkepilt ei suuda öelda, milline kiht liikus.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Marsruut, mis ei muutunud kunagi, ja marsruut, mis muutus, samal ajal kui vanem ühendus säilitas oma edastusoleku, annavad sama kaebuse ja täiesti erinevad tõendid.
Miks vanad ühendused jäävad varuteele
ASA ei lammuta voogu sellepärast, et marsruut muutus. Loodud ühendused säilitavad edastusotsuse, millega need loodi, ja platvorm pakub eraldi juhtelemente selle kohta, kui kaua seda lubatakse: floating-connection timeout ja connection holddown. Cisco ASA 9.24 ühenduste seadete juhend käsitleb neid eraldi küsimustena ja täpselt nii need käituvad. Üks juhib olemasoleva voo püsimist, teine seda, millal uued vood tohivad eelistatud teed kasutada.
Lugege oma versiooni kehtivaid väärtusi enne, kui kumbagi muudate. Nende vähendamine sulgeb sessioonid, mida inimesed veel kasutavad. Suurendamine paneb failbacki paistma nii, nagu seda poleks kunagi juhtunud, sest uued ühendused võtavad kogu aja vana tee.
Tunnel ei vaheta võtmeid sellepärast, et marsruut naasis
IPsec turvaassotsiatsioonidel on oma läbiräägitud eluiga ja need elavad üle marsruudimuudatuse, mis neid kandis. Seetõttu võib tunnel jääda failbacki ajal püsti, kuigi selle väline adresseerimine ei vasta enam kasutatavale teele; see on argument DPD ja selliste lahenduste poolt, mis kinnitavad peeri aadressi selle hõljumise asemel.
Crypto-mapi ja VTI lahendused käituvad siin teisiti, ja Cisco dokumentatsioon 9.24 VTI kohta kirjeldab marsruudipõhist valikut. Vana üldine väide, et ASA ei suuda marsruudipõhiseid VPN-e käitada, ei kehti toetatud versioonide puhul.
Lugege tõendeid selles järjekorras
Alustage juhtimistasandist: show route valitud tee jaoks, show interface lingi oleku jaoks ja SLA monitori loendurid jälgitud objekti jaoks. Seejärel lugege show crypto ikev2 sa või IKEv1 ekvivalenti, et näha, milline peer on elus, millele järgneb show crypto ipsec sa kaitstud voogude jaoks. Siis kitsendage ühenduste tabelit käsuga show conn address <host> ja võrrelge liidese veergu vanade ja uute kirjete vahel. Kirjutage väljundid ajatemplitega üles, sest nende järjekord on diagnoos.
Lõpetage rakenduse testiga: üks voog, mis oli juba olemas, ja üks, mis loodi pärast marsruudi naasmist. Kui vana voog ebaõnnestub ja uus töötab, on teil lugu ühenduse olekust. Kui mõlemad ebaõnnestuvad, on tunnel või poliitika vale ja ühenduste tabel on tähelepanu kõrvalejuhtimine.
Hoidke seda kirjet kõigis kolmes faasis samas vormis ja märkige täpne versioon. Kui ajajoon osutab ikka ühele üleminekule, saatke kirje toele, selle asemel et viga ID-d oletada.