ASA FirePOWER -moduulilla ei ole hallintareittiä FMC:hen

FMC näyttää moduulin tavoittamattomana, rekisteröinti jää odottamaan ja ping ASA:n sisältä toimii moitteettomasti. Olemassa olevassa ASA FirePOWER -käyttöönotossa tuo yhdistelmä on normaali. Moduulilla on oma hallintaosoite, oma oletusyhdyskäytävä ja omat reitityspäätöksensä, eikä fyysisen hallintayhteyden jakaminen ASA:n kanssa joillakin alustoilla sulata niitä yhdeksi verkkopinoksi. Kaksi laitetta vastaa kahdesta eri näkökulmasta samalla johdolla.

Seuraava koskee moduuleja, jotka ovat jo käytössä. Tunnista alustan malli, moduulin tyyppi ja tuettu ohjelmistoversio ennen minkään oppaan porttikaavion soveltamista.

Piirrä moduuli erillisenä isäntänä

Aloita kaavio moduulin hallinta-IP:stä, maskista ja oletusyhdyskäytävästä, yhteyden tosiasiallisesti kuljettavasta VLAN:sta ja FMC-osoitteesta, joka on saavutettava. Kirjoita sitten erilliseen laatikkoon ASA:n liitäntäosoitteet ja sen täydellinen reititystaulu. Jos kaksi laatikkoa päätyvät jakamaan aliverkon, jonka osoitteet omistavat eri tahot, olet löytänyt ongelman kiinnostavan osan.

ASA FirePOWER -moduulin opas näyttää, miten porttijärjestelyt eroavat alustojen välillä, mukaan lukien jaettu hallintajohdotus, jossa ASA ja moduuli kantavat erillisiä osoitteita samassa segmentissä. Tuo laitteistokaavio on suunnittelun syöte, ei alaviite.

Etsi, mistä paluureitti katkeaa

Ota ytimestä reititetty järjestely. Moduuli lähettää FMC:hen suuntautuvan liikenteen Layer 3 -ytimeen, ydin välittää etähallintakohteen ASA:n sisäliitäntää kohti ja sivuston VPN kantaa sen toiselle puolelle. Sitten etäsivusto tarvitsee paluureitin moduulin hallinta-aliverkkoon. Jokainen lenkki tuossa ketjussa voi olla oikein, kun samalla viimeinen reitti puuttuu, ja siksi vika näyttää niin usein katkenneelta tunnelilta.

Lue ASA:n oma näkymä ennen kuin muutat mitään:

show interface ip brief
show route
show running-config interface

Kolmas komento on tärkeä, koska unohtamasi liitäntäosoite on juuri se, joka saa paluureitin laskeutumaan väärään laitteeseen.

Tarkista, mitä ASA pitää yhdistettynä

Jos ASA:lla on osoite moduulin hallinta-aliverkossa, sen yhdistetty reitti omistaa kyseisen etuliitteen. Staattinen reitti ydintä kohti ei syrjäytä yhdistetyn reitin omistajuutta, joten paketti palaa ASA:lle ja pysähtyy siihen. Rekisteröinti epäonnistuu silloin kohdassa, jolla ei ole mitään tekemistä tunnistetietojen kanssa.

Älä päättele, että tietty väärennösten vastainen tarkistus pudotti paketin, ellet näe laitteen omia havaintoja edessäsi. Vertaa sen sijaan saapuvaa liitäntää, valittua kohdereittiä ja kyseisen alustan tuettua hallinnan ja datan välityksen rajaa. Nuo kolme tosiasiaa paljastavat yleensä topologiakonfliktin ennen kuin kukaan alkaa nollata rekisteröintiavaimia.

Valitse korjaus, joka pitää moduulin yhteydessä

ASA:n osoitteen poistaminen segmentistä ja jaetun portin fyysinen poistaminen käytöstä eivät ole samanarvoisia toimia. Alustoilla, joilla moduuli kulkee samaa fyysistä hallintayhteyttä pitkin, portin poistaminen käytöstä poistaa moduulin ainoan linkin — olisit muuttanut reititysongelman kuolleeksi laitteeksi. Suosi muutosta, joka kohdistaa hallintareitityksen omistajuuden uudelleen, ja valmistele se verkon omistajan läsnäollessa.

Toinen tuettu vaihtoehto on antaa ASA:n hallinnolliselle polulle oma segmenttinsä, jotta moduulin hallinta-aliverkolla on yksi omistaja. Se maksaa yhden osoitteen ja hieman dokumentaatiota, ja poistaa epäselvyyden pysyvästi. Minkä tahansa polun valitsetkin, varmista sen jälkeen, että moduuli tavoittaa edelleen sekä FMC:n että DNS- tai NTP-lähteensä.

Rekisteröi vasta kun reitti on yhtenäinen

Kun paluureitti on puhdas, suunnittele hallintayhteys ja rekisteröintiparametrit vastaavan FMC- ja moduuliversion oppaan mukaan. Pidä rekisteröintisalaisuudet poissa jaetuista muistiinpanoista ja tiketeistä ja vastusta houkutusta rekisteröidä uudelleen diagnostiikkavaiheena: tuore avain rikkinäisellä polulla tuottaa vain saman vian uudemmalla aikaleimalla.

Hyväksy reitti moduulin omasta hallintopinosta eikä ASA:n aloittamasta pingistä, koska testin lähde on juuri se, mikä on epäilyksen alaisena. Kirjaa moduulin seuraava hyppy, ASA:n VPN-valinta ja FMC:n vastausreitti sekä pidä molemmille hallintarooleille riippumaton palautusmenetelmä. Juuri tuo kirjaus erottaa korjatun siirtoyhteyden onnistuneesta rekisteröinnistä.

Kun moduuli lopulta ilmestyy FMC:hen, aja samat kolme komentoa uudelleen ja tallenna tuloste kaavion viereen. Seuraava henkilö, joka koskee tuota hallintasegmenttiä, tarvitsee täsmälleen tuon vertailun.