Failback a ASA: abin da ke motsawa da gaske sa'ad da hanyar ta dawo
Dawowar hanya zuwa babbar hanya ba ya nufin tsofaffin kwararru sun koma. Duba uplink, rami, teburin haɗi da sakamakon manhaja tare.
A kan ASA mai uplink biyu, failback ba kishiyar failover ba ce. Hanyar zuwa peer tana canzawa, sannan dandamali dole ya daidaita injunan yanayi uku daban-daban: teburin hanyoyi, ƙungiyoyin tsaro na IKE da IPsec, da teburin haɗi. Kowanne na iya jinkiri bayan ɗayan, kuma wannan jinkirin ne yawancin mutane ke kwatanta da rami da ba ya dawowa.
Abin da failback ke canzawa da gaske
Binciken hanya shi ne ɓangaren da ake gani. Sa'ad da abin da ake sa ido ya warke, hanyar da ake sa ido ta koma zuwa adireshin waje na peer, kuma fakiti na gaba da ASA ke aikawa ya sake bin hanyar farko. Duk abin da ya biyo baya ya dogara da ko yanayin da ke akwai ya dace da sabuwar hanya.
ARP da NAT su ne dogaro na shiru. Sabon next hop yana buƙatar ƙofar da za a warware da fassarar da har yanzu ta dace da ƙarshen nesa, in ba haka ba fakiti na farko bayan failback ba su je ko'ina kuma hanya tana kama da lafiya alhali babu abin da ke aiki.
Kallo huɗu a kan layin lokaci ɗaya
Rubuta abubuwa huɗu guda ɗaya kafin sauyin, yayin da yake, da bayansa, domin hoto ɗaya ba zai iya gaya miki wace daraja ta motsa ba.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Hanyar da ba ta taɓa canzawa da hanyar da ta canza alhali tsohon haɗi ya riƙe yanayin tura saƙonsa suna haifar da gunaguni ɗaya da shaida daban sarai.
Me ya sa tsofaffin haɗi ke tsayawa a hanyar ajiya
ASA ba ya wargaza kwararre saboda hanya ta canza. Haɗin da aka kafa suna riƙe shawarar turawa da aka ƙirƙire su da ita, kuma dandamali yana bayar da sarrafawa daban-daban na tsawon lokacin da aka yarda: floating-connection timeout da connection holddown. Jagorar saitunan haɗi na ASA 9.24 na Cisco yana ɗaukarsu tambayoyi daban-daban, kuma haka suke yi da gaske. Ɗaya yana kula da rayuwar kwararren da ke akwai; ɗayan yana kula da lokacin da sababbin kwararru za su iya amfani da hanyar da aka fi so.
Karanta ƙimar da ke aiki a sigar ku kafin canza ɗaya daga cikin biyun. Rage su yana rufe zaman da mutane har yanzu suke amfani da su. Ƙara su yana sa failback ya kama da bai taɓa faruwa ba, domin sababbin haɗi suna ci gaba da bin tsohuwar hanya duk tsawon lokacin.
Rami ba ya sake yarjejeniyar maɓalli saboda hanya ta dawo
Ƙungiyoyin tsaro na IPsec suna ɗauke da nasu lokacin rayuwar da aka tattauna, kuma suna tsira daga canjin hanyar da ta ɗauke su. Don haka rami na iya tsayawa a buɗe a lokacin failback alhali adireshinsa na waje bai dace da hanyar da ake amfani da ita ba, wanda shi ne hujjar DPD da tsare-tsaren da ke ɗaure adireshin peer maimakon barin shi ya yi yawo.
Tsare-tsaren crypto-map da VTI suna yin daban a nan, kuma takardun Cisco na 9.24 VTI sun bayyana zaɓin da ya dogara da hanyoyi. Tsohuwar maganar gama gari cewa ASA ba zai iya tafiyar da VPN na tushen hanya ba ba ta aiki ga sigogin da aka tallafa.
Karanta shaidu a wannan tsari
Fara da matakin sarrafawa: show route na hanyar da aka zaɓa, show interface na yanayin mahaɗi, da ƙidayar SLA monitor na abin da ake sa ido. Sannan karanta show crypto ikev2 sa, ko makamancin IKEv1, don ganin wane peer ke raye, sannan show crypto ipsec sa na kwararrun da aka kare. Bayan haka takaita teburin haɗi da show conn address <host> ka kwatanta ginshiƙin interface a tsofaffi da sababbin shigarwa. Rubuta fitarwa da tambarin lokaci, domin tsarinsu shi ne ganewar asali.
Kammala da gwajin manhaja: kwararre ɗaya da ya riga ya wanzu, da ɗaya da aka ƙirƙira bayan hanyar ta dawo. Idan tsohon kwararren ya kasa kuma sabon ya yi aiki, kana da labarin yanayin haɗi. Idan duka biyu suka kasa, rami ko manufar ba daidai ba ce kuma teburin haɗi ɓatar da hankali ne.
Riƙe wannan rikodin a siffa ɗaya a duk matakai uku, kuma rubuta ainihin sigar. Sa'ad da layin lokaci ya ci gaba da nuna sauyi ɗaya kawai, aika rikodin ga tallafi maimakon yin hasashen ID na kuskure.