Kaks krüptokaarti, üks voog: hilisem kirje ei ole varundus

Lisage samale aadressipaarile teine krüptokaardi kirje, suunake see teisele peerile ja olete kirjutanud tõrke korral ümberlülituse plaani. See on müüt ja see püsib, sest see näeb välja nagu iga teine järjestatud nimekiri, mille olete seadistanud. Krüptokaardi järjestus otsustab, milline kirje nõuab uue voo, mitte milline kirje võtab üle, kui peer lõpetab vastamise. Miski selles nimekirjas ei jälgi kaugemat otsa, nii et teine kirje istub seal ega nõua üldse midagi.

Müüt: järjestus tähendab varundust

Järjestatud nimekiri kahe kirje ja ühe ühise definitsiooniga tundub primaarse ja sekundaarsena. Sarnasus lõpeb süntaksiga. Cisco ASA dokumentatsioon kirjeldab krüptokaarti poliitikamudelina, mis sobitab kaitstud liiklust ja nimetab selle jaoks peeride paigutuse, ning sobitamine toimub kirje vastu, mis nõuab voo esimesena. Kaugema peeri kättesaadavus ei ole selle hindamise osa.

See, mille olete ehitanud, on poliitika, mille poole selle voo jaoks kunagi ei pöörata, pluss muudatuste kirjes kommentaar, mis väidab liiasust.

Järjestus nõuab voo, ja ainult üks kord

Iga kirje hoiab juurdepääsukontrolli nimekirja või kaitstud voo definitsiooni, ja iga uus väljuv pakett võrreldakse nende definitsioonidega järjestuse järjekorras. Esimene kirje, mille definitsioon sobib, omab voogu ja selle peeri. Teine identse definitsiooniga kirje ei saa kunagi korda, sest esimene sobis juba; kitsama definitsiooniga teine kirje teenindab ainult vooge, mida esimene ei nõudnud.

See käitumine on kasulik, kui lõikate laiast poliitikast teadlikult erandeid välja, ja see on tõrke korral ümberlülituse mehhanismina kasutu. Kontrollige, mis tegelikult juhtus, käskudega show crypto map ja show crypto ipsec sa peer, seejärel jälgige sünteetilist paketti teekonnal, mille arvate selle läbivat. Jälgimine nimetab kirje, mis selle nõudis, ja see on ainus vastus, mis loeb.

Marsruudi valik ja poliitika omandiõigus on eraldi otsused

Marsruutimistabel vastab, kuhu pakett edasi saadetakse. Krüptopoliitika vastab, milline kaitse ja milline peer kehtivad valitud liiklusele. Lähte- ja sihtpaari dubleerimine teise peeri all muudab teist otsust ja jätab esimese puutumata, nii et vastused võivad endiselt järgida vana lüüsi, samal ajal kui väljuv pakett võtab uue peeri. See asümmeetria tekitab tunnelit, mis teatab, et on üleval, ja ei lase midagi läbi.

Hoidke ka lepingut kaugema otsaga vastastikusena: aktsepteeritud identiteet, kaitstud aadressivahemikud, tagasitee huvipakkuvatele prefiksitele ja teenuse luba. Alternatiivne väljuv valik, mida teine pool ei oota, ei ole alternatiivne tee, vaid pool sellest.

Mida tõeline alternatiivne tee vajab

Valige tööks loodud mehhanism: toetatud peerikandidaatide rühm, marsruuditud tunnel hõljuva staatilise või dünaamilise marsruutimisnaabrusega selle kohal, või milline taandumislahendus teie platvorm selle teenuse jaoks dokumenteerib. Seejärel kirjutage üles, milline komponent tuvastab tõrke ja milline komponent valib alternatiivi, sest need on kaks erinevat funktsiooni ja sageli kaks erinevat meeskonda.

Aadressitõlge võib saidile anda ka teise esitatud aadressi, kuid see muudab samal ajal valijaid, logimist ja lähtepõhiseid juurdepääsureegleid. Käsitlege seda selgesõnalise nõudena, mitte kahe mitmetähendusliku kirje ajutise lahendusena.

Testige kolme olekut, mitte ühte

Konfiguratsioon on valmis alles siis, kui sellel on kaitstav vastus tavapäraseks tööks, primaarse tõrke olekuks ja primaarse juurde naasmiseks. Testige kõiki kolme ja registreerige, milline poliitikakirje ja milline peer igaüht teenindas. Test, mis peatub pärast esimest olekut, tõestab, et lahendus töötab, kui midagi pole valesti, ja see on olek, mida polnud vaja kontrollida.

Eristage ka seadistatud kattuvust vanade ja uute assotsiatsioonide seaduslikust kooseksisteerimisest võtmeuuenduse ajal. Mitu aktiivset SA-d on normaalsed ja ajutised; kaks kirjet, mis võitlevad ühe voo pärast, on püsivad ja nähtamatud.