Failback ASA batean: zer mugitzen den benetan bidea itzultzean
Bidea lehenengora itzultzeak ez du esan nahi fluxu zaharrak mugitu direnik. Begiratu batera uplinka, tunela, konexio-taulak eta aplikazioaren emaitza.
Uplink biko ASA batean, failback ez da failoverren alderantzizkoa. Peer-era doan bidea aldatzen da, eta gero plataformak hiru egoera-makina bereizi behar ditu koordinatu: bide-taula, IKE eta IPsec segurtasun-elkarteak eta konexio-taula. Bakoitza besteengandik atzeratu daiteke, eta atzerapen hori da jendeak itzultzen ez den tunel gisa deskribatzen duena.
Zer aldatzen du failbackek benetan
Bidearen bilaketa da ikusgai dagoen zatia. Jarraitutako objektua berreskuratzen denean, peerraren kanpo helbiderako jarraitutako bidea itzultzen da, eta ASAk bidalitako hurrengo paketeak lehen mailako esteka jarraitzen du berriro. Hori guztia egungo egoera bide berriarekin bat datorren ala ez da.
ARP eta NAT isilako menpekotasunak dira. Next hop berri batek ebatz daitekeen ate bat eta urruneko muturrarekin oraindik bat datorren itzulpen bat behar ditu; bestela failbackaren ondorengo lehen paketeak ez dira inora joaten eta bidea ondo dagoela dirudi ezerk funtzionatzen ez duen bitartean.
Lau ikuspegi denbora-lerro bakarrean
Erregistratu gauza berberak trantsizioaren aurretik, bitartean eta ondoren, argazki bakar batek ezin dizu esan zein geruza mugitu den.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Inoiz aldatu ez zen bide batek eta konexio zaharrago batek bere birbidalketa-egoera mantendu zuen bitartean aldatu zen bide batek kexa bera eta froga erabat desberdinak sortzen dituzte.
Zergatik geratzen dira konexio zaharrak babes-bidean
ASAk ez du fluxu bat botatzen bide bat aldatu delako. Ezarritako konexioek sortu zireneko birbidalketa-erabakia mantentzen dute, eta plataformak kontrol bereiziak eskaintzen ditu hori zenbat denboraz onartzen den: floating-connection timeout eta connection holddown. Cisco-ren ASA 9.24 konexio-ezarpenen gida galdera desberdin gisa hartzen ditu, eta hala jokatzen dute zehazki. Batek lehendik dagoen fluxu baten biziraupena arautzen du; besteak noiz erabil dezaketen fluxu berriek nahiago den bidea.
Irakurri zure bertsiorako indarrean dauden balioak bietako bat aldatu aurretik. Hauek jaisteak jendeak oraindik erabiltzen dituen saioak ixten ditu. Igotzeak failbacka inoiz gertatu ez balitz bezala erakusten du, konexio berriek bide zaharra hartzen jarraitzen baitute denbora horretan zehar.
Tunel batek ez du gako berririk negoziatzen bide bat itzuli delako
IPsec segurtasun-elkarteek beren negoziatutako bizitza daramate eta haiek eraman zituen bide-aldaketari eusten diote. Beraz, tunel bat zutik egon daiteke failback bat zehar, bere kanpo helbideratzea jada erabiltzen ari den bidearekin bat ez datorrela, eta hori da DPDren eta peer helbidea flotatzen utzi beharrean finkatzen duten diseinuen argudioa.
Crypto-map eta VTI diseinuek beste modu batean jokatzen dute hemen, eta Ciscoren 9.24 VTI dokumentazioak bideetan oinarritutako aukera deskribatzen du. ASAk bideetan oinarritutako VPNak ezin dituela exekutatu dioen baieztapen zaharra ez da baliozkoa onartutako bertsioetarako.
Irakurri froga hauek ordena honetan
Has zaitez kontrol-planoarekin: show route hautatutako biderako, show interface estekaren egoerarako eta SLA monitorearen kontagailuak jarraitutako objekturako. Ondoren irakurri show crypto ikev2 sa, edo IKEv1 baliokidea, zein peer dagoen bizirik ikusteko, eta gero show crypto ipsec sa babestutako fluxuetarako. Ondoren estutu konexio-taula show conn address <host> erabiliz eta alderatu interfaze-zutabea sarrera zahar eta berrietan. Idatzi irteerak denbora-markekin, haien ordena baita diagnostikoa.
Amaitu aplikazio-proba batekin: jada bazegoen fluxu bat eta bidea itzuli ondoren sortutako beste bat. Fluxu zaharrak huts egiten badu eta berriak funtzionatzen badu, konexio-egoeraren istorioa duzu. Biek huts egiten badute, tunela edo politika oker daude eta konexio-taula distrazioa da.
Eutsi erregistro horri forma berean hiru faseetan, eta idatzi bertsio zehatza. Denbora-lerroak trantsizio bakarrera behin eta berriz seinalatzen duenean, bidali erregistroa laguntzara akats-ID bat asmatu beharrean.