Dous mapas criptográficos, un só fluxo: a entrada posterior non é unha copia de seguridade

Engada unha segunda entrada de mapa criptográfico para o mesmo par de enderezos, apúnte a un peer distinto e xa escribiu un plan de conmutación por erro. Ese é o mito, e sobrevive porque parece calquera outra lista ordenada que teña configurado. A secuencia dentro dun mapa criptográfico decide que entrada reclama un fluxo novo, non que entrada toma o relevo cando un peer deixa de responder. Nada nesa lista vixía o extremo remoto, así que a segunda entrada queda alí sen reclamar nada de nada.

O mito: a orde significa respaldo

Unha lista ordenada con dúas entradas e unha definición compartida semella primaria e secundaria. O parecido remata na sintaxe. A documentación de ASA de Cisco describe o mapa criptográfico como o modelo de política que fai coincidir o tráfico protexido e nomea a disposición de peers para el, e a coincidencia prodúcese contra a entrada que reclama o fluxo primeiro. A dispoñibilidade dun peer remoto non forma parte desa avaliación.

O que construíu é unha política que nunca se consultará para ese fluxo, máis un comentario nun rexistro de cambios que afirma redundancia.

A secuencia reclama o fluxo, e só unha vez

Cada entrada contén unha lista de control de acceso ou unha definición de fluxo protexido, e cada paquete saínte novo compárase con esas definicións en orde de secuencia. A primeira entrada cuxa definición coincide posúe o fluxo e o seu peer. Unha segunda entrada cunha definición idéntica nunca chega á súa quenda, porque a primeira xa coincidiu; unha segunda entrada cunha definición máis estreita só serve fluxos que a primeira non reclamou.

Ese comportamento é útil cando recorta excepcións deliberadamente dunha política ampla, e é inútil como mecanismo de conmutación por erro. Comprobe que ocorreu realmente con show crypto map e show crypto ipsec sa peer, e despois siga un paquete sintético pola ruta que cre que toma. O seguimento nomeará a entrada que o reclamou, e esa é a única resposta que importa.

A selección de ruta e a propiedade da política son decisións separadas

Unha táboa de encamiñamento responde a onde se reenvía o paquete. A política criptográfica responde que protección e que peer se aplican ao tráfico seleccionado. Duplicar un par de orixe e destino baixo outro peer cambia a segunda decisión e deixa a primeira intacta, así que as respostas poden seguir a porta de enlace antiga mentres o paquete saínte toma o peer novo. Esa asimetría produce un túnel que informa que está activo e non deixa pasar nada.

Manteña tamén recíproco o contrato co extremo remoto: identidade aceptada, rangos de enderezos protexidos, unha ruta de retorno para os prefixos interesantes e permiso para o servizo. Unha elección de saída alternativa que o outro lado non espera non é unha ruta alternativa, é a metade dunha.

Que necesita unha ruta alternativa real

Escolla un mecanismo deseñado para a tarefa: un grupo compatible de candidatos a peer, un túnel encamiñado cunha estática flotante ou unha adxacencia de encamiñamento dinámico a través del, ou calquera deseño de redundancia que a súa plataforma documente para ese servizo. Despois anote que compoñente detecta o fallo e que compoñente selecciona a alternativa, porque son dúas funcións diferentes e a miúdo dous equipos diferentes.

A tradución de enderezos tamén pode dar a un sitio unha segunda dirección presentada, pero cambia selectores, rexistro e regras de acceso baseadas na orixe ao mesmo tempo. Tráteo como un requisito explícito e non como unha solución improvisada para dúas entradas ambiguas.

Probe tres estados, non un

A configuración só está rematada cando ten unha resposta defendible para o funcionamento normal, para o estado de fallo do primario e para o regreso ao primario. Probe os tres e rexistre que entrada de política e que peer serviu a cada un. Unha proba que se detén tras o primeiro estado demostra que o deseño funciona cando nada vai mal, que é o estado que non necesitaba comprobar.

Distinga tamén o solapamento configurado da coexistencia lexítima de asociacións antigas e novas durante unha rexeneración de chaves. Varias SA activas son normais e temporais; dúas entradas que loitan por un fluxo son permanentes e invisibles.