Kaksi kryptokarttaa, yksi virta: myöhempi merkintä ei ole varmuuskopio

Lisää toinen kryptokartan merkintä samalle osoiteparille, kohdista se toiselle peerille, ja olet kirjoittanut suunnitelman vian sattuessa siirtymisestä. Se on myytti, ja se säilyy, koska se näyttää jokaiselta muulta määrittämältäsi järjestetyltä listalta. Kryptokartan järjestys päättää, mikä merkintä vaatii uuden virran, ei se, mikä merkintä ottaa vastuun, kun peer lakkaa vastaamasta. Mikään siinä listassa ei valvo kauko päätä, joten toinen merkintä istuu siellä vaatimatta mitään.

Myytti: järjestys tarkoittaa varayhteyttä

Järjestetty lista, jossa on kaksi merkintää ja yksi jaettu määritelmä, tuntuu ensisijaiselta ja toissijaiselta. Samanlaisuus päättyy syntaksiin. Ciscon ASA-dokumentaatio kuvaa kryptokartan käytäntömalliksi, joka sovittaa suojatun liikenteen ja nimeää sille peer-järjestelyn, ja sovitus tapahtuu merkintää vasten, joka vaatii virran ensimmäisenä. Etä-peerin saatavuus ei ole osa tätä arviointia.

Se, mitä olet rakentanut, on käytäntö, jota ei koskaan konsultoida tämän virran osalta, sekä muutoskirjauksessa oleva kommentti, joka väittää kahdennusta.

Järjestys vaatii virran, ja vain kerran

Jokainen merkintä sisältää pääsynvalvontaluettelon tai suojatun virran määritelmän, ja jokainen uusi lähtevä paketti verrataan näihin määritelmiin järjestyksessä. Ensimmäinen merkintä, jonka määritelmä täsmää, omistaa virran ja sen peerin. Toinen merkintä, jolla on identtinen määritelmä, ei koskaan saa vuoroa, koska ensimmäinen täsmäsi jo; toinen merkintä, jolla on kapeampi määritelmä, palvelee vain virtoja, joita ensimmäinen ei vaatinut.

Tämä käyttäytyminen on hyödyllistä, kun leikkaat tarkoituksella poikkeuksia laajasta käytännöstä, ja se on hyödytön siirtymismekanismina vian sattuessa. Tarkista, mitä todella tapahtui komennoilla show crypto map ja show crypto ipsec sa peer, ja seuraa sitten synteettistä pakettia polulla, jonka uskot sen kulkevan. Jäljitys nimeää merkinnän, joka vaati sen, ja se on ainoa vastaus, jolla on merkitystä.

Reitin valinta ja käytännön omistajuus ovat erillisiä päätöksiä

Reititystaulu vastaa, minne paketti välitetään. Kryptokäytäntö vastaa, mikä suojaus ja mikä peer koskevat valittua liikennettä. Lähde- ja kohdeparin kahdentaminen toisen peerin alla muuttaa toista päätöstä ja jättää ensimmäisen koskemattomaksi, joten vastaukset voivat yhä seurata vanhaa yhdyskäytävää, kun taas lähtevä paketti ottaa uuden peerin. Tämä epäsymmetria tuottaa tunnelin, joka ilmoittaa olevansa ylhäällä eikä päästä mitään läpi.

Pidä myös sopimus kauko pään kanssa vastavuoroisena: hyväksytty identiteetti, suojatut osoitealueet, paluureitti kiinnostaville etuliitteille ja lupa palvelulle. Vaihtoehtoinen lähtevä valinta, jota toinen puoli ei odota, ei ole vaihtoehtoinen polku, se on puolet sellaisesta.

Mitä todellinen vaihtoehtoinen polku tarvitsee

Valitse tehtävään suunniteltu mekanismi: tuettu joukko peer-ehdokkaita, reititetty tunneli kelluvan staattisen tai dynaamisen reititysnaapuruuden kanssa sen yli, tai mikä tahansa kahdennusratkaisu, jonka alustasi dokumentoi kyseiselle palvelulle. Kirjaa sitten, mikä komponentti havaitsee vian ja mikä komponentti valitsee vaihtoehdon, koska ne ovat kaksi eri toimintoa ja usein kaksi eri tiimiä.

Osoitteenmuunnos voi myös antaa sivustolle toisen esitetyn osoitteen, mutta se muuttaa samalla valitsimia, kirjausta ja lähdeperusteisia käyttösääntöjä. Käsittele sitä nimenomaisena vaatimuksena äläkä kiertotienä kahdelle epäselvälle merkinnälle.

Testaa kolmea tilaa, älä yhtä

Määritys on valmis vasta, kun sillä on puolustettava vastaus normaaliin toimintaan, ensisijaisen vikatilaan ja paluuseen ensisijaiseen. Testaa kaikki kolme ja kirjaa, mikä käytäntömerkintä ja mikä peer palveli kutakin. Ensimmäisen tilan jälkeen pysähtyvä testi todistaa, että suunnittelu toimii, kun mikään ei ole vialla, ja se on tila, jota sinun ei tarvinnut tarkistaa.

Erottele myös määritetty päällekkäisyys vanhojen ja uusien assosiaatioiden laillisesta rinnakkaiselosta avainten uusimisen aikana. Useat aktiiviset SA:t ovat normaaleja ja tilapäisiä; kaksi merkintää, jotka taistelevat yhdestä virrasta, ovat pysyviä ja näkymättömiä.