Failback op ASA: wat der wier beweecht as de rûte weromkomt
Dat in rûte weromkomt nei de primêre betsjut net dat âlde streams ferhuze binne. Besjoch de uplink, de tunnel, de ferbiningstabel en it resultaat fan de app tagelyk.
Op in ASA mei twa uplinks is failback net it omkearde fan failover. De rûte nei de peer feroaret, en dêrnei moat it platfoarm trije aparte tastântmasjinen mei elkoar ferienigje: de rûtetabel, de IKE- en IPsec-feilichheidsassosjaasjes en de ferbiningstabel. Elk kin efter de oare oanrinne, en krekt dy fertraging neame de measte minsken in tunnel dy't net weromkomt.
Wat failback wier feroaret
De rûtesyk is it sichtbere part. As it folge objekt wer opbettere, komt de folge rûte nei it bûtenadres fan de peer werom, en it folgjende pakket dat de ASA stjoert folget wer de primêre keppeling. Alles dêrnei hinget ôf fan 'e fraach oft de besteande tastân by it nije paad past.
ARP en NAT binne de stille ôfhinklikheden. In nije next hop hat in oplosbere gateway nedich en in oersetting dy't noch by de fiere kant past, oars geane de earste pakketten nei failback nearne hinne en liket de rûte goed wylst neat wurket.
Fjouwer finsters op ien tiidline
Registrearje deselde fjouwer dingen foar, ûnder en nei de oergong, want ien momintopname kin jo net sizze hokker laach beweecht is.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
In rûte dy't nea feroare en in rûte dy't feroare wylst in âldere ferbining syn trochstjoertastân hold, leverje deselde klacht en folslein oare bewiis.
Wêrom âlde ferbiningen op it reservepaad bliuwe
De ASA brekt in stream net ôf om't in rûte feroare is. Oprjochte ferbiningen hâlde de trochstjoerbeslissing wêrmei't se makke binne, en it platfoarm biedt aparte regelingen foar hoe lang dat tastien is: floating-connection timeout en connection holddown. Cisco syn De hantlieding foar ferbiningsynstellingen fan ASA 9.24 behannelet se as aparte fragen, en krekt sa hâlde se har. Ien regelet it fuortbestean fan in besteande stream, de oare wannear't nije streams it foarkarpaad brûke meie.
Lês de jildende wearden foar jo ferzje foar't jo ien fan beide feroarje. Se ferleegje slút sesjes dy't minsken noch brûke. Se ferheegje lit failback lykje as is it nea bard, want nije ferbiningen nimme dy tiid hielendal it âlde paad.
In tunnel ûnderhannelet gjin nije kaaien om't in rûte weromkaam
IPsec-feilichheidsassosjaasjes drage har eigen ûnderhannele libbensdoer en oerlibje de rûteferoaring dy't se droech. In tunnel kin dêrom oer in failback hinne oerein bliuwe wylst syn bûtenadressering net mear by it brûkte paad past, wat it argumint is foar DPD en foar ûntwerpen dy't it peeradres fêstsette litte fan sweve.
Crypto-map- en VTI-ûntwerpen gedrage har hjir oars, en Cisco syn dokumintaasje foar 9.24 VTI beskriuwt de rûtebasearre opsje. De âlde algemiene bewearing dat in ASA gjin rûtebasearre VPN's draaie kin, jildt net foar stipe ferzjes.
Lês it bewiis yn dizze folchoarder
Begjin by it kontrôleflak: show route foar it keazen paad, show interface foar keppelingstastân en de tellers fan 'e SLA-monitor foar it folge objekt. Lês dan show crypto ikev2 sa, of it IKEv1-ekwivalint, om te sjen hokker peer libbet, folge troch show crypto ipsec sa foar de beskerme streams. Behein dêrnei de ferbiningstabel mei show conn address <host> en fergelykje de ynterface-kolom by âlde en nije ynfieringen. Skriuw de útfier mei tiidstimpels op, want har folchoarder is de diagnoaze.
Einigje mei in apptest: ien stream dy't al bestie en ien dy't makke is nei't de rûte weromkaam. As de âlde stream mislearret en de nije wurket, hawwe jo in ferhaal oer ferbiningstastân. As beide mislearje, is de tunnel of it belied ferkeard en is de ferbiningstabel in ôflieding.
Hâld dy registraasje yn deselde foarm oer alle trije fazen en notearje de krekte ferzje. As de tiidline hieltyd nei ien oergong wiist, stjoer de registraasje nei stipe ynstee fan in bug-ID te rieden.