De ASA FirePOWER-module hat gjin behearrûte nei FMC

FMC toant de module as ûnberikber, de registraasje bliuwt op wachtsjen, en in ping fan binnen de ASA wurket sûnder mis. By in besteande ASA FirePOWER-ymlizzing is dy kombinaasje normaal. De module hat syn eigen behearadres, syn eigen standertgateway en syn eigen rûtingsbeslissingen, en it dielen fan in fysike behearferbining mei de ASA op guon platfoarms smeltet dat net ta ien netwurksteapel. Twa apparaten antwurdzje fan twa ferskillende eachpunten op deselde tried.

Wat folget jildt foar modules dy’t al yn tsjinst binne. Stel it chassis-model, it moduletype en de stipe softwareferzje fêst foardat jo in poartdiagram út in hantlieding tapasse.

Tekenje de module as in aparte host

Begjin it diagram mei de behear-IP fan de module, masker en standertgateway, de VLAN dy’t dy ferbining werklik draacht, en it FMC-adres dat berikt wurde moat. Skriuw dêrnei, yn in apart fak, de interface-adressen fan de ASA en syn folsleine rûtingstabel. As de beide fakken úteinlik in subnet diele mei adressen fan ferskillende eigners, hawwe jo it nijsgjirrige part fan it probleem fûn.

De hantlieding foar de ASA FirePOWER-module lit sjen hoe’t poartynrjochtings ferskille tusken platfoarms, ynklusyf dielde behearbekabeling wêrby’t de ASA en de module aparte adressen op itselde segmint drage. Dat hardware-diagram is in ynput foar it ûntwerp, gjin fuotnoot.

Fyn wêr’t de weromrûte brekt

Nim in kernel-rûte yndieling. De module stjoert FMC-ferkear nei in Layer 3-kearn, de kearn stjoert de ôfstânsbeheardestinaasje nei de binneninterface fan de ASA, en de side-VPN draacht it nei de oare kant. It ôfstânsstee hat dan in rûte werom nei it behearsubnet fan de module nedich. Elke hop yn dy keatling kin korrekt wêze wylst dy lêste rûte ûntbrekt, en dêrom liket de storing sa faak op in brutsen tunnel.

Lês it eigen byld fan de ASA foardat jo wat feroarje:

show interface ip brief
show route
show running-config interface

It tredde kommando is wichtich, want in interface-adres dat jo fergetten binne is krekt wat de weromrûte op it ferkearde apparaat lânje lit.

Kontrolearje wat de ASA ferbûn achtet

As de ASA in adres hat yn it behearsubnet fan de module, dan besit syn ferbûne rûte dat foarheaksel. In statyske rûte nei de kearn ferkringt it eigendom fan de ferbûne rûte net, dus it pakket komt werom nei de ASA en stoppet dêr. De registraasje mislearret dan op in punt dat neat mei ynloggegevens te meitsjen hat.

Konkludearje net dat in spesifike anty-spoofing-kontrôle it pakket droppe litten hat, útsein as jo de eigen waarnimmings fan it apparaat foar jo hawwe. Fergelykje ynstee de yngongsinterface, de keazen bestimmingsrûte en de stipe grins tusken behear en data foar dat platfoarm. Dy trije feiten lizze it topologykonflikt meast bleat foardat immen registraasjekaais begjint te resetten.

Kies in korreksje dy’t de module ferbûn hâldt

It adres fan de ASA fan dat segmint ôfhelje en in dielde poart fysyk útskeakelje binne net lykweardige aksjes. Op platfoarms dêr’t de module oer deselde fysike behearferbining giet, hellet it útskeakeljen fan de poart de iennige keppeling fan de module fuort — jo hawwe dan in rûtingsprobleem yn in dea apparaat feroare. Foarkar jaan oan de feroaring dy’t it eigendom fan behearrûting opnij tawiist, en tariede dy ta mei de netwurkeigner oanwêzich.

In twadde stipe opsje is om it administratyf paad fan de ASA syn eigen segmint te jaan, sadat it behearsubnet fan de module ien eigner hat. Dat kostet in adres en in bytsje dokumintaasje, en it hellet de ûndúdlikens foargoed fuort. Hokker paad jo ek kieze, befêstigje dêrnei dat de module noch altyd sawol FMC as syn DNS- of NTP-boarnen berikke kin.

Registrearje pas as de rûte gearhingjend is

As de weromrûte skjin is, plan dan de behearferbining en de registraasjeparameters neffens de byhearrende ferzjehantlieding fan FMC en module. Hâld registraasjegeheimen bûten dielde notysjes en tickets, en wjerstean de ferlieding om wer te registrearjen as diagnostyske stap: in nije kaai op in brutsen rûte produsearret allinnich deselde storing mei in nijer tiidstimpel.

Akseptearje de rûte út ’e eigen behearsteapel fan de module, net út in ping dy’t fan de ASA komt, want de boarne fan de test is krekt dat wat ûnder fertinking stiet. Skriuw de folgjende hop fan de module, de VPN-keuze fan de ASA en de antwurdrûte fan FMC op, en hâld in ûnôfhinklike werstelmetoade foar beide behearrolen. Dat ferslach is wat in reparearre ferfier fan in suksesfolle registraasje skiedt.

As de module einlings yn FMC ferskynt, fier dan deselde trije kommando’s opnij út en bewarje de útfier neist it diagram. De folgjende persoan dy’t dat behearsegmint oanrekket, hat krekt dy ferliking nedich.