שתי מפות קריפטו, זרימה אחת: הרשומה המאוחרת אינה גיבוי
זוג כתובות כפול תחת עמית שני אינו מעבר בעת תקלה. גלו איזו רשומת מפת קריפטו תובעת את הזרימה, ואיזה רכיב מחליף אותה בפועל.
הוסיפו רשומה שנייה של מפת קריפטו לאותו זוג כתובות, כוונו אותה לעמית אחר, וכתבתם תוכנית מעבר בעת תקלה. זהו המיתוס, והוא שורד מפני שהוא נראה כמו כל רשימה מסודרת אחרת שהגדרתם. הסדר במפת קריפטו קובע איזו רשומה תובעת זרימה חדשה, לא איזו רשומה משתלטת כשעמית מפסיק להשיב. שום דבר ברשימה הזו לא מנטר את הקצה המרוחק, כך שהרשומה השנייה פשוט יושבת שם בלי לתבוע דבר.
המיתוס: סדר פירושו גיבוי
רשימה מסודרת עם שתי רשומות והגדרה משותפת אחת מרגישה כמו ראשית ומשנית. הדמיון נגמר בתחביר. התיעוד של Cisco ל-ASA מתאר את מפת הקריפטו כמודל המדיניות שמתאים תעבורה מוגנת ומציין את סידור העמיתים עבורה, וההתאמה נעשית מול הרשומה שתובעת את הזרימה ראשונה. זמינותו של עמית מרוחק אינה חלק מההערכה הזו.
מה שבניתם הוא מדיניות שלעולם לא תישאל לגבי הזרימה הזו, בתוספת הערה ברשומת שינוי שמצהירה על יתירות.
הסדר תובע את הזרימה, ורק פעם אחת
כל רשומה מחזיקה רשימת בקרת גישה או הגדרה של זרימה מוגנת, וכל מנה יוצאת חדשה מושווית לאותן הגדרות לפי סדר. הרשומה הראשונה שהגדרתה מתאימה היא בעלת הזרימה והעמית שלה. רשומה שנייה עם הגדרה זהה לעולם אינה מקבלת תור, מפני שהראשונה כבר התאימה; רשומה שנייה עם הגדרה צרה יותר משרתת רק זרימות שהראשונה לא תבעה.
ההתנהגות הזו שימושית כשאתם חותכים חריגים במכוון מתוך מדיניות רחבה, והיא חסרת תועלת כמנגנון מעבר בעת תקלה. בדקו מה קרה בפועל עם show crypto map ועם show crypto ipsec sa peer, ואז עקבו אחרי מנה סינתטית לאורך הנתיב שאתם מאמינים שהיא עוברת. המעקב יזהה את הרשומה שתבעה אותה, וזו התשובה היחידה שמשנה.
בחירת מסלול ובעלות על המדיניות הן החלטות נפרדות
טבלת ניתוב עונה לאן המנה מועברת. מדיניות הקריפטו עונה איזו הגנה ואיזה עמית חלים על התעבורה הנבחרת. שכפול זוג מקור ויעד תחת עמית אחר משנה את ההחלטה השנייה ומשאיר את הראשונה ללא שינוי, כך שהתשובות עשויות עדיין ללכת אחרי השער הישן בעוד המנה היוצאת לוקחת את העמית החדש. האסימטריה הזו מייצרת מנהרה שמדווחת שהיא פעילה ולא מעבירה דבר.
שמרו גם על הדדיות החוזה עם הקצה המרוחק: זהות מקובלת, טווחי כתובות מוגנים, נתיב חזרה לקידומות המעניינות והרשאה לשירות. בחירת יציאה חלופית שהצד השני אינו מצפה לה אינה נתיב חלופי, היא חצי ממנו.
מה שנתיב חלופי אמיתי צריך
בחרו מנגנון שתוכנן למשימה: קבוצה נתמכת של מועמדים לעמית, מנהרה מנותבת עם סטטי צף או סמיכות ניתוב דינמית מעליה, או כל תכנון יתירות שהפלטפורמה שלכם מתעדת לשירות הזה. ואז רשמו איזה רכיב מזהה את התקלה ואיזה רכיב בוחר את החלופה, מפני שאלו שתי פונקציות שונות ולעיתים קרובות שני צוותים שונים.
תרגום כתובות יכול גם לתת לאתר כתובת שנייה מוצגת, אבל הוא משנה בו בזמן בוררים, רישום וכללי גישה מבוססי מקור. התייחסו לזה כדרישה מפורשת ולא כפתרון עוקף לשתי רשומות דו-משמעותיות.
בדקו שלושה מצבים, לא אחד
התצורה מסתיימת רק כשיש לה תשובה ניתנת להגנה לתפעול רגיל, למצב כשל של הראשי ולחזרה לראשי. בדקו את שלושתם ורשמו איזו רשומת מדיניות ואיזה עמית שירתו כל אחד. בדיקה שנעצרת אחרי המצב הראשון מוכיחה שהתכנון עובד כששום דבר לא שגוי, וזה המצב שלא הייתם צריכים לבדוק.
הבחינו גם בין חפיפה מוגדרת לבין דו-קיום לגיטימי של אסוציאציות ישנות וחדשות במהלך חידוש מפתחות. כמה SA פעילים הם נורמליים וזמניים; שתי רשומות שנאבקות על זרימה אחת הן קבועות ובלתי נראות.