Failback ASA-n: mi mozdul valójában, amikor visszatér az útvonal
Az útvonal visszatérése az elsődlegesre nem jelenti azt, hogy a régi folyamatok átmozdultak. Nézze együtt az uplinket, az alagutat, a kapcsolattáblát és az alkalmazás eredményét.
Két uplinkkel rendelkező ASA-n a failback nem a failover fordítottja. A peer felé vezető útvonal megváltozik, majd a platformnak három különálló állapotgépet kell összeegyeztetnie: az útvonaltáblát, az IKE és IPsec biztonsági társításokat és a kapcsolattáblát. Mindegyik lemaradhat a többitől, és éppen ezt a késést írja le a legtöbb ember olyan alagútként, amely nem jön vissza.
Mit változtat valójában a failback
Az útvonalkeresés a látható rész. Amikor a figyelt objektum helyreáll, a peer külső címéhez vezető figyelt útvonal visszatér, és az ASA által küldött következő csomag ismét az elsődleges linket követi. Minden, ami ezután jön, attól függ, hogy a meglévő állapot összhangban van-e az új úttal.
Az ARP és a NAT a csendes függőségek. Egy új next hop feloldható átjárót és a távoli féllel még egyező fordítást igényel, különben a failback utáni első csomagok sehová sem mennek, és az útvonal rendben lévőnek látszik, miközben semmi sem működik.
Négy nézet egyetlen idővonalon
Ugyanazt a négy dolgot rögzítse az átmenet előtt, alatt és után, mert egyetlen pillanatkép nem mondja meg, melyik réteg mozdult el.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Egy soha nem változott útvonal és egy olyan útvonal, amely úgy változott, hogy egy régebbi kapcsolat megtartotta a továbbítási állapotát, ugyanazt a panaszt és teljesen más bizonyítékot ad.
Miért maradnak a régi kapcsolatok a tartalék úton
Az ASA nem bontja le a folyamatot azért, mert egy útvonal megváltozott. A létrejött kapcsolatok megtartják a továbbítási döntést, amellyel létrehozták őket, a platform pedig külön szabályzókat kínál arra, mennyi ideig engedett ez: floating-connection timeout és connection holddown. A Cisco Az ASA 9.24 kapcsolatbeállítási útmutatója két külön kérdésként kezeli őket, és pontosan így is viselkednek. Az egyik a meglévő folyamat fennmaradását szabályozza, a másik azt, mikor használhatják az új folyamatok az előnyben részesített utat.
Változtatás előtt olvassa el a kiadására érvényes értékeket. Csökkentésük olyan munkameneteket zár le, amelyeket az emberek még használnak. Növelésük miatt a failback úgy tűnik, mintha sosem történt volna meg, mert az új kapcsolatok az egész időszakban a régi utat veszik.
Az alagút nem egyeztet új kulcsokat attól, hogy visszatért egy útvonal
Az IPsec biztonsági társítások saját tárgyalt élettartamot hordoznak, és túlélik azt az útvonalváltozást, amely szállította őket. Ezért egy alagút fennmaradhat egy failback során, miközben külső címzése már nem egyezik a használt úttal; ez az érv a DPD és az olyan kialakítások mellett, amelyek rögzítik a peer címét ahelyett, hogy lebegni hagynák.
A crypto-map és VTI kialakítások itt másként viselkednek, és a Cisco 9.24 VTI dokumentációja az útvonalalapú megoldást írja le. A régi általános állítás, miszerint az ASA nem tud útvonalalapú VPN-t futtatni, a támogatott kiadásokra nem áll.
Ebben a sorrendben olvassa a bizonyítékokat
Kezdje a vezérsíkkal: show route a kiválasztott útvonalhoz, show interface a link állapotához, és az SLA monitor számlálói a figyelt objektumhoz. Ezután olvassa el a show crypto ikev2 sa-at, vagy az IKEv1 megfelelőjét, hogy lássa, melyik peer él, majd a show crypto ipsec sa-at a védett folyamatokhoz. Utána szűkítse a kapcsolattáblát a show conn address <host> paranccsal, és hasonlítsa össze az interfész oszlopot a régi és az új bejegyzéseknél. Időbélyeggel írja le a kimeneteket, mert a sorrendjük maga a diagnózis.
Fejezze be egy alkalmazásteszttel: egy folyamat, amely már létezett, és egy, amely az útvonal visszatérése után jött létre. Ha a régi folyamat meghiúsul és az új működik, akkor kapcsolatállapot-története van. Ha mindkettő meghiúsul, az alagút vagy a szabályzat rossz, és a kapcsolattábla elterelés.
Tartsa ezt a feljegyzést ugyanabban a formában mindhárom szakaszban, és jegyezze fel a pontos kiadást. Amikor az idővonal folyton egyetlen átmenetre mutat, küldje el a feljegyzést az ügyfélszolgálatnak, ahelyett hogy hibaazonosítót találgatna.