Failback ASA-laitteessa: mikä oikeasti siirtyy, kun reitti palaa
Reitin paluu ensisijaiselle polulle ei tarkoita, että vanhat vuot ovat siirtyneet. Tarkastele uplinkia, tunnelia, yhteystaulua ja sovelluksen tulosta yhdessä.
Kahden uplinkin ASA-laitteessa failback ei ole failoverin käänteisoperaatio. Reitti peeriin muuttuu, ja sen jälkeen alustan on sovitettava yhteen kolme erillistä tilakonetta: reititystaulu, IKE- ja IPsec-turva-assosiaatiot sekä yhteystaulu. Kukin voi jäädä toisista jälkeen, ja juuri sitä viivettä useimmat kuvaavat tunnelina, joka ei palaa.
Mitä failback todella muuttaa
Reittihaku on näkyvä osa. Kun valvottu objekti palaa, valvottu reitti peerin ulkoiseen osoitteeseen palaa, ja seuraava paketti, jonka ASA lähettää, seuraa taas ensisijaista linkkiä. Kaikki sen jälkeen riippuu siitä, vastaako olemassa oleva tila uutta polkua.
ARP ja NAT ovat hiljaiset riippuvuudet. Uusi next hop tarvitsee ratkaistavan yhdyskäytävän ja käännöksen, joka sopii edelleen kauko-päähän, muuten ensimmäiset paketit failbackin jälkeen eivät mene mihinkään ja reitti näyttää hyvältä, vaikka mikään ei toimi.
Neljä näkymää yhdellä aikajanalla
Kirjaa samat neljä asiaa ennen siirtymää, sen aikana ja sen jälkeen, koska yksi tilannekuva ei voi kertoa, mikä kerros liikkui.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Reitti, joka ei koskaan muuttunut, ja reitti, joka muuttui vanhemman yhteyden säilyttäessä edelleenlähetystilansa, tuottavat saman valituksen ja täysin erilaiset todisteet.
Miksi vanhat yhteydet jäävät varapolulle
ASA ei purkaa vuota siksi, että reitti muuttui. Muodostetut yhteydet säilyttävät sen edelleenlähetyspäätöksen, jolla ne luotiin, ja alusta tarjoaa erilliset säätimet sille, kuinka kauan se on sallittua: floating-connection timeout ja connection holddown. Ciscon ASA 9.24 -yhteysasetusten opas käsittelee niitä eri kysymyksinä, ja juuri niin ne käyttäytyvät. Toinen ohjaa olemassa olevan vuon säilymistä, toinen sitä, milloin uudet vuot saavat käyttää ensisijaista polkua.
Lue versionsi voimassa olevat arvot ennen kuin muutat kumpaakaan. Niiden laskeminen sulkee istuntoja, joita ihmiset yhä käyttävät. Niiden nostaminen saa failbackin näyttämään siltä, ettei sitä koskaan tapahtunut, koska uudet yhteydet ottavat vanhan polun koko ajan.
Tunneli ei neuvottele avaimia uudelleen siksi, että reitti palasi
IPsec-turva-assosiaatioilla on oma neuvoteltu elinikänsä, ja ne selviävät reittimuutoksesta, joka ne kuljetti. Siksi tunneli voi pysyä pystyssä failbackin yli, vaikka sen ulkoinen osoitteistus ei enää vastaa käytössä olevaa polkua; tämä on argumentti DPD:n ja sellaisten ratkaisujen puolesta, jotka kiinnittävät peerin osoitteen sen kelluttamisen sijaan.
Crypto-map- ja VTI-ratkaisut käyttäytyvät tässä eri tavalla, ja Ciscon 9.24 VTI -dokumentaatio kuvaa reittipohjaisen vaihtoehdon. Vanha yleinen väite, ettei ASA voi ajaa reittipohjaisia VPN:iä, ei pidä paikkaansa tuetuissa versioissa.
Lue todisteet tässä järjestyksessä
Aloita ohjaustasosta: show route valitulle polulle, show interface linkin tilalle ja SLA-monitorin laskurit valvotulle objektille. Lue sitten show crypto ikev2 sa, tai IKEv1-vastine, nähdäksesi mikä peer on elossa, ja sen jälkeen show crypto ipsec sa suojatuille vuoille. Kavenna sitten yhteystaulua komennolla show conn address <host> ja vertaa liitännän saraketta vanhoissa ja uusissa merkinnöissä. Kirjoita tulosteet aikaleimoilla ylös, koska niiden järjestys on diagnoosi.
Lopeta sovellustestiin: yksi vuo, joka oli jo olemassa, ja yksi, joka luotiin reitin palattua. Jos vanha vuo epäonnistuu ja uusi toimii, sinulla on kertomus yhteystilasta. Jos molemmat epäonnistuvat, tunneli tai käytäntö on väärä ja yhteystaulu on harhautus.
Pidä kirjausta samassa muodossa kaikissa kolmessa vaiheessa ja merkitse tarkka versio. Kun aikajana osoittaa jatkuvasti yhteen siirtymään, lähetä kirjaus tukeen sen sijaan, että arvaisit bugin tunnistetta.