दो क्रिप्टो मैप, एक प्रवाह: बाद की प्रविष्टि बैकअप नहीं है

उसी पता युग्म के लिए दूसरी क्रिप्टो मैप प्रविष्टि जोड़ें, उसे किसी दूसरे पीयर की ओर इंगित करें, और आपने फेलओवर योजना लिख दी है। यही मिथक है, और यह टिका रहता है क्योंकि यह आपकी कॉन्फ़िगर की गई हर दूसरी क्रमबद्ध सूची जैसा दिखता है। क्रिप्टो मैप में क्रम तय करता है कि कौन-सी प्रविष्टि नए प्रवाह का दावा करती है, यह नहीं कि पीयर के उत्तर देना बंद करने पर कौन-सी प्रविष्टि ज़िम्मा लेती है। उस सूची में कुछ भी दूर के सिरे की निगरानी नहीं करता, इसलिए दूसरी प्रविष्टि वहाँ बैठी रहती है और कुछ भी दावा नहीं करती।

मिथक: क्रम का अर्थ है बैकअप

दो प्रविष्टियों और एक साझा परिभाषा वाली क्रमबद्ध सूची प्राथमिक और द्वितीयक जैसी लगती है। समानता वाक्य-विन्यास पर समाप्त हो जाती है। Cisco का ASA दस्तावेज़ क्रिप्टो मैप को उस नीति मॉडल के रूप में वर्णित करता है जो संरक्षित ट्रैफ़िक का मिलान करता है और उसके लिए पीयर व्यवस्था का नाम देता है, और मिलान उस प्रविष्टि के विरुद्ध होता है जो प्रवाह का पहले दावा करती है। किसी दूरस्थ पीयर की उपलब्धता उस मूल्यांकन का हिस्सा नहीं है।

आपने जो बनाया है वह ऐसी नीति है जिससे उस प्रवाह के लिए कभी परामर्श नहीं लिया जाएगा, साथ में परिवर्तन रिकॉर्ड में एक टिप्पणी जो अतिरेक का दावा करती है।

क्रम प्रवाह का दावा करता है, और केवल एक बार

प्रत्येक प्रविष्टि में एक एक्सेस नियंत्रण सूची या संरक्षित-प्रवाह परिभाषा होती है, और प्रत्येक नया बहिर्गामी पैकेट क्रम के अनुसार उन परिभाषाओं से तुलना किया जाता है। जिसकी परिभाषा मेल खाती है वह पहली प्रविष्टि प्रवाह और उसके पीयर की स्वामी होती है। समान परिभाषा वाली दूसरी प्रविष्टि को कभी बारी नहीं मिलती, क्योंकि पहली पहले ही मेल खा चुकी है; संकीर्ण परिभाषा वाली दूसरी प्रविष्टि केवल उन प्रवाहों की सेवा करती है जिनका पहली ने दावा नहीं किया।

यह व्यवहार तब उपयोगी है जब आप जानबूझकर व्यापक नीति से अपवाद काटते हैं, और फेलओवर तंत्र के रूप में यह बेकार है। show crypto map और show crypto ipsec sa peer के साथ जाँचें कि वास्तव में क्या हुआ, फिर एक कृत्रिम पैकेट को उस पथ से ट्रेस करें जो आप मानते हैं कि वह लेता है। ट्रेस उस प्रविष्टि का नाम बताएगा जिसने उसका दावा किया, और यही एकमात्र उत्तर है जो मायने रखता है।

मार्ग चयन और नीति स्वामित्व अलग निर्णय हैं

रूटिंग तालिका उत्तर देती है कि पैकेट कहाँ अग्रेषित होता है। क्रिप्टो नीति उत्तर देती है कि चयनित ट्रैफ़िक पर कौन-सी सुरक्षा और कौन-सा पीयर लागू होते हैं। दूसरे पीयर के अंतर्गत स्रोत और गंतव्य युग्म की नकल करने से दूसरा निर्णय बदलता है और पहला अछूता रहता है, इसलिए उत्तर अब भी पुराने गेटवे का अनुसरण कर सकते हैं जबकि बहिर्गामी पैकेट नया पीयर लेता है। यह विषमता ऐसी सुरंग बनाती है जो चालू होने की सूचना देती है और कुछ भी पार नहीं कराती।

दूर के सिरे के साथ अनुबंध को पारस्परिक भी रखें: स्वीकृत पहचान, संरक्षित पता श्रेणियाँ, रुचिकर प्रीफ़िक्स के लिए वापसी मार्ग और सेवा के लिए अनुमति। दूसरा पक्ष जिस वैकल्पिक बहिर्गामी चयन की अपेक्षा नहीं करता वह वैकल्पिक पथ नहीं है, वह उसका आधा है।

वास्तविक वैकल्पिक पथ को क्या चाहिए

काम के लिए बनाया गया तंत्र चुनें: पीयर उम्मीदवारों का समर्थित समूह, उसके ऊपर तैरता स्थिर या गतिशील रूटिंग सामीप्य वाली रूटेड सुरंग, या जो भी अतिरेक डिज़ाइन आपका प्लेटफ़ॉर्म उस सेवा के लिए प्रलेखित करता है। फिर लिखें कि कौन-सा घटक विफलता का पता लगाता है और कौन-सा घटक विकल्प चुनता है, क्योंकि ये दो अलग कार्य हैं और अक्सर दो अलग टीमें।

पता अनुवाद किसी साइट को दूसरा प्रस्तुत पता भी दे सकता है, लेकिन यह एक साथ चयनकर्ता, लॉगिंग और स्रोत-आधारित पहुँच नियम बदल देता है। इसे दो अस्पष्ट प्रविष्टियों के लिए कामचलाऊ उपाय नहीं, बल्कि स्पष्ट आवश्यकता मानें।

तीन अवस्थाएँ जाँचें, एक नहीं

कॉन्फ़िगरेशन तभी पूरा होता है जब उसके पास सामान्य संचालन, प्राथमिक की विफलता की अवस्था और प्राथमिक पर लौटने के लिए तर्कसंगत उत्तर हो। तीनों जाँचें और दर्ज करें कि कौन-सी नीति प्रविष्टि और कौन-सा पीयर किसकी सेवा करता रहा। पहली अवस्था के बाद रुकने वाला परीक्षण सिद्ध करता है कि डिज़ाइन तब काम करता है जब कुछ भी गलत नहीं है, और यही वह अवस्था है जिसे आपको जाँचने की आवश्यकता नहीं थी।

की-रीन्यूअल के दौरान पुराने और नए एसोसिएशनों के वैध सहअस्तित्व से कॉन्फ़िगर किए गए ओवरलैप को भी अलग पहचानें। कई सक्रिय SA सामान्य और अस्थायी हैं; एक प्रवाह के लिए लड़ती दो प्रविष्टियाँ स्थायी और अदृश्य हैं।