ASA FirePOWER moduluak ez du kudeaketa-biderik FMCra

FMCk modulua eskuraezin gisa erakusten du, erregistroa zain geratzen da, eta ASAn barrutik egindako ping-ak primeran funtzionatzen du. Dagoeneko martxan dagoen ASA FirePOWER hedapen batean konbinazio hori normala da. Moduluak bere kudeaketa-helbidea, bere ate lehenetsia eta bere bideratze-erabakiak ditu, eta plataforma batzuetan ASA-rekin kudeaketa-konexio fisiko bat partekatzeak ez ditu horiek sare-pila bakarrean fusionatzen. Bi gailuk bi ikuspegi desberdinetatik erantzuten dute alanbre berean.

Ondorengoa jada zerbitzuan dauden moduluei dagokie. Egiaztatu xasisaren modeloa, moduluaren mota eta onartutako software-bertsioa gidaliburu bateko ataka-diagrama aplikatu aurretik.

Marraztu modulua ostalari bereizi gisa

Hasi diagrama moduluaren kudeaketa-IParekin, maskararekin eta ate lehenetsiarekin, konexio hori benetan daraman VLANarekin eta lortu behar duen FMC helbidearekin. Ondoren, kaxa bereizi batean, idatzi ASAren interfaze-helbideak eta bere bideratze-taula osoa. Bi kaxek jabe desberdineko helbideak dituen azpisare bat partekatzen badute, arazoaren zati interesgarria aurkitu duzu.

ASA FirePOWER moduluaren gidak erakusten du nola aldatzen diren ataken antolamenduak plataformen artean, barne hartuta ASA eta modulua segmentu berean helbide bereiziak daramatzaten kudeaketa-kableatze partekatua. Hardware-diagrama hori diseinuaren sarrera da, ez oin-ohar bat.

Aurkitu non hausten den itzulera-bidea

Hartu nukleotik bideratutako antolamendu bat. Moduluak FMCrako trafikoa Layer 3 nukleo batera bidaltzen du, nukleoak urruneko kudeaketa-helmuga ASAren barneko interfazerantz aurreratzen du, eta gunearen VPNak beste aldera eramaten du. Orduan urruneko guneak moduluaren kudeaketa-azpisarera itzultzeko bidea behar du. Kateko jauzi bakoitza zuzena izan daiteke azken bide hori falta den bitartean, eta horregatik hutsegiteak hain maiz tunel hautsia dirudi.

Irakurri ASAren beraren ikuspegia ezer aldatu aurretik:

show interface ip brief
show route
show running-config interface

Hirugarren komandoa garrantzitsua da ahaztu duzun interfaze-helbide bat delako itzulera-bidea gailu okerrean lurrerazten duena.

Egiaztatu zerk jotzen duen ASA konektatutzat

ASAk moduluaren kudeaketa-azpisarean helbidea badu, bere bide konektatuak aurrizki horren jabe da. Nukleoranzko bide estatikoak ez du bide konektatuaren jabetza aldatzen, beraz paketea ASArekin itzultzen da eta han gelditzen da. Orduan erregistroak huts egiten du kredentzialekin zerikusirik ez duen puntu batean.

Ez ondorioztatu faltsutzearen aurkako egiaztapen zehatz batek paketea bota zuenik, gailuaren beraren behaketak aurrean ez badituzu. Alderatu, horren ordez, sarrera-interfazea, hautatutako helmuga-bidea eta plataforma horretarako onartutako kudeaketa eta datuen arteko aurreratze-muga. Hiru gertaera horiek topologia-gatazka agerian uzten dute normalean norbaitek erregistro-gakoak berrezartzen hasi aurretik.

Aukeratu modulua konektatuta mantentzen duen zuzenketa

ASAren helbidea segmentu horretatik kentzea eta ataka partekatu bat fisikoki desgaitzea ez dira ekintza baliokideak. Modulua kudeaketa-konexio fisiko beretik doan plataformetan, ataka desgaitzeak moduluaren lotura bakarra kentzen du — bideratze-arazo bat gailu hil bihurtu duzu. Lehenetsi kudeaketa-bideratzearen jabetza berriz esleitzen duen aldaketa, eta prestatu sarearen jabea bertan dela.

Bigarren aukera onartu bat ASAren administrazio-bideari bere segmentua ematea da, moduluaren kudeaketa-azpisareak jabe bakarra izan dezan. Horrek helbide bat eta dokumentazio pixka bat kostatzen ditu, eta anbiguotasuna behin betiko kentzen du. Aukeratzen duzun bidea aukeratu, egiaztatu geroago moduluak oraindik FMC eta bere DNS edo NTP iturriak iristen dituela.

Erregistratu bidea koherentea denean soilik

Itzulera-bidea garbia denean, planifikatu kudeaketa-konektibitatea eta erregistro-parametroak dagokion FMC eta moduluaren bertsio-gidatik. Mantendu erregistro-sekretuak partekatutako ohar eta txartelen kanpoan, eta eutsi erregistratzeko tentazioari diagnostiko-pauso gisa: gako berri batek bide hautsian hutsegite bera sortzen du soilik, denbora-marka berriagoarekin.

Onartu bidea moduluaren beraren kudeaketa-pilatik, ez ASAtik abiatutako ping batetik, probaren iturria susmagarria den gauza bera delako. Erregistratu moduluaren hurrengo jauzia, ASAren VPN hautaketa eta FMCren erantzun-bidea, eta eduki berreskuratze-metodo independentea bi kudeaketa-rolentzat. Erregistro horrek bereizten du konpondutako garraioa erregistro arrakastatsutik.

Modulua azkenean FMCn agertzen denean, exekutatu berriro hiru komando berak eta gorde irteera diagramaren ondoan. Kudeaketa-segmentu hori ukituko duen hurrengo pertsonak zehazki konparazio hori beharko du.