Failback na ASA: što se doista pomakne kada se ruta vrati
Povratak rute na primarni put ne znači da su stari tokovi prešli. Promatrajte zajedno uplink, tunel, tablicu veza i rezultat aplikacije.
Na ASA s dva uplinka failback nije obrnuti postupak od failovera. Ruta prema peeru mijenja se, a platforma zatim mora uskladiti tri odvojena stanja: tablicu ruta, sigurnosne asocijacije IKE i IPsec te tablicu veza. Svako može kasniti za ostalima, a upravo to kašnjenje većina ljudi opisuje kao tunel koji se ne vraća.
Što failback doista mijenja
Pretraga ruta je vidljivi dio. Kada se praćeni objekt oporavi, praćena ruta do vanjske adrese peera vraća se, a sljedeći paket koji ASA pošalje ponovno ide primarnim linkom. Sve nakon toga zavisi od toga slaže li se postojeće stanje s novim putem.
ARP i NAT su tihe ovisnosti. Novi next hop traži rješiv gateway i prijevod koji još odgovara udaljenoj strani, inače prvi paketi nakon failbacka ne idu nikamo, a ruta izgleda ispravno dok ništa ne radi.
Četiri pogleda na jednoj vremenskoj crti
Zabilježite iste četiri stvari prije prijelaza, tijekom njega i poslije, jer jedan snimak ne može reći koji se sloj pomaknuo.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Ruta koja se nikada nije promijenila i ruta koja se promijenila dok je starija veza zadržala svoje stanje prosljeđivanja daju istu žalbu i posve različite dokaze.
Zašto stare veze ostaju na pričuvnom putu
ASA ne ruši tok zato što se ruta promijenila. Uspostavljene veze zadržavaju odluku o prosljeđivanju s kojom su stvorene, a platforma nudi odvojene kontrole za to koliko je dugo to dopušteno: floating-connection timeout i connection holddown. Cisco Vodič kroz postavke veza u ASA 9.24 tretira ih kao različita pitanja, i upravo se tako ponašaju. Jedno uređuje preživljavanje postojećeg toka, drugo kada novi tokovi smiju koristiti preferirani put.
Pročitajte važeće vrijednosti za svoje izdanje prije nego promijenite bilo koju. Njihovo snižavanje zatvara sesije koje ljudi još koriste. Podizanje čini da failback izgleda kao da se nije dogodio, jer nove veze cijelo vrijeme idu starim putem.
Tunel ne mijenja ključeve jer se ruta vratila
Sigurnosne asocijacije IPsec nose vlastiti pregovarani životni vijek i preživljavaju promjenu rute koja ih je nosila. Tunel zato može ostati podignut kroz failback dok njegovo vanjsko adresiranje više ne odgovara putu koji se koristi, što je argument za DPD i za dizajne koji fiksiraju adresu peera umjesto da je puštaju da lebdi.
Dizajni s crypto-map i VTI ovdje se ponašaju drukčije, a Cisco dokumentacija za 9.24 VTI opisuje opciju zasnovanu na rutama. Stara općenita tvrdnja da ASA ne može pokretati VPN-ove zasnovane na rutama ne vrijedi za podržana izdanja.
Čitajte dokaze ovim redom
Počnite s kontrolnom ravninom: show route za odabrani put, show interface za stanje linka i brojači SLA monitora za praćeni objekt. Zatim pročitajte show crypto ikev2 sa, ili ekvivalent za IKEv1, da vidite koji je peer živ, a nakon toga show crypto ipsec sa za zaštićene tokove. Potom suzite tablicu veza pomoću show conn address <host> i usporedite stupac sučelja kod starih i novih unosa. Zapišite izlaze s vremenskim oznakama, jer njihov redoslijed jest dijagnoza.
Završite testom aplikacije: jedan tok koji je već postojao i jedan stvoren nakon povratka rute. Ako stari tok padne, a novi radi, imate priču o stanju veze. Ako oba padnu, tunel ili pravilo nisu dobri, a tablica veza je odvraćanje pažnje.
Držite taj zapis u istom obliku kroz sve tri faze i zabilježite točno izdanje. Kada vremenska crta stalno pokazuje na jedan prijelaz, pošaljite zapis podršci umjesto da nagađate ID pogreške.