Az ASA FirePOWER modulnak nincs felügyeleti útvonala az FMC felé

Az FMC elérhetetlennek mutatja a modult, a regisztráció függőben marad, az ASA belsejéből indított ping pedig kifogástalanul működik. Egy meglévő ASA FirePOWER-telepítésnél ez a kombináció normális. A modulnak saját felügyeleti címe, saját alapértelmezett átjárója és saját útválasztási döntései vannak, és a fizikai felügyeleti kapcsolat megosztása az ASA-val egyes platformokon nem olvasztja ezeket egyetlen hálózati veremmé. Két eszköz válaszol két különböző nézőpontból ugyanazon a vezetéken.

A következők a már üzemben lévő modulokra vonatkoznak. Az útmutató bármely portdiagramjának alkalmazása előtt határozza meg a házmodellt, a modul típusát és a támogatott szoftververziót.

Rajzolja fel a modult különálló hostként

Kezdje a diagramot a modul felügyeleti IP-címével, maszkjával és alapértelmezett átjárójával, azzal a VLAN-nal, amely ezt a kapcsolatot ténylegesen szállítja, és azzal az FMC-címmel, amelyet el kell érni. Ezután egy külön mezőben írja fel az ASA interfészcímeit és teljes útválasztási táblázatát. Ha a két mező végül közös alhálózatot alkot különböző tulajdonosok címeivel, megtalálta a probléma érdekes részét.

Az ASA FirePOWER modul útmutatója megmutatja, hogyan térnek el a portelrendezések a platformok között, beleértve a közös felügyeleti kábelezést, ahol az ASA és a modul külön címeket visel ugyanabban a szegmensben. Ez a hardverdiagram a tervezés bemenete, nem lábjegyzet.

Keresse meg, hol szakad meg a visszaút

Vegyünk egy magon keresztül irányított elrendezést. A modul az FMC felé tartó forgalmat egy Layer 3 magba küldi, a mag továbbítja a távoli felügyeleti célt az ASA belső interfésze felé, a telephelyi VPN pedig átviszi a másik oldalra. A távoli telephelynek ezután visszaútra van szüksége a modul felügyeleti alhálózatába. A lánc minden ugrása helyes lehet, miközben az utolsó útvonal hiányzik, és ezért a hiba olyan gyakran tűnik szakadt alagútnak.

Olvassa el az ASA saját nézetét, mielőtt bármit módosítana:

show interface ip brief
show route
show running-config interface

A harmadik parancs azért számít, mert egy elfelejtett interfészcím az, ami a visszautat a rossz eszközre juttatja.

Ellenőrizze, mit tekint az ASA kapcsoltnak

Ha az ASA rendelkezik címmel a modul felügyeleti alhálózatán, akkor annak kapcsolt útvonala birtokolja azt az előtagot. A mag felé mutató statikus útvonal nem szorítja ki a kapcsolt útvonal tulajdonjogát, így a csomag visszatér az ASA-hoz és ott megáll. A regisztráció ezután olyan ponton hiúsul meg, amelynek semmi köze a hitelesítő adatokhoz.

Ne következtessen arra, hogy egy adott hamisításellenes ellenőrzés dobta el a csomagot, hacsak nincs előtte az eszköz saját megfigyelése. Hasonlítsa össze inkább a bejövő interfészt, a kiválasztott célútvonalat és az adott platform támogatott felügyelet–adat továbbítási határát. Ez a három tény általában feltárja a topológiai ütközést, mielőtt bárki elkezdené visszaállítani a regisztrációs kulcsokat.

Válasszon olyan javítást, amely kapcsolatban tartja a modult

Az ASA címének eltávolítása abból a szegmensből és egy közös port fizikai letiltása nem egyenértékű műveletek. Azokon a platformokon, ahol a modul ugyanazon a fizikai felügyeleti kapcsolaton halad, a port letiltása megszünteti a modul egyetlen kapcsolatát — egy útválasztási problémát halott eszközzé alakított. Részesítse előnyben azt a változtatást, amely újraosztja a felügyeleti útválasztás tulajdonjogát, és a hálózat tulajdonosának jelenlétében készítse elő.

Egy másik támogatott lehetőség, hogy az ASA adminisztratív útvonala saját szegmenst kapjon, így a modul felügyeleti alhálózatának egyetlen tulajdonosa lesz. Ez egy címet és némi dokumentációt igényel, és véglegesen megszünteti a kétértelműséget. Bármelyik utat választja, utána erősítse meg, hogy a modul továbbra is eléri az FMC-t és a DNS- vagy NTP-forrásait is.

Csak akkor regisztráljon, ha az útvonal összhangban van

Amikor a visszaút tiszta, tervezze meg a felügyeleti kapcsolatot és a regisztrációs paramétereket az FMC és a modul megfelelő kiadási útmutatója alapján. Tartsa a regisztrációs titkokat a megosztott jegyzeteken és ticketeken kívül, és álljon ellen a kísértésnek, hogy diagnosztikai lépésként újraregisztráljon: egy friss kulcs törött útvonalon csak ugyanazt a hibát eredményezi újabb időbélyeggel.

Az útvonalat a modul saját felügyeleti verméből fogadja el, ne az ASA-ból indított pingből, mert a teszt forrása éppen az, ami gyanú alatt áll. Jegyezze fel a modul következő ugrását, az ASA VPN-választását és az FMC válaszútvonalát, és tartson fenn független helyreállítási módszert mindkét felügyeleti szerephez. Ez a feljegyzés az, ami elválasztja a megjavított átvitelt a sikeres regisztrációtól.

Amikor a modul végre megjelenik az FMC-ben, futtassa újra ugyanazt a három parancsot, és mentse a kimenetet a diagram mellé. A következő embernek, aki ehhez a felügyeleti szegmenshez nyúl, pontosan erre az összehasonlításra lesz szüksége.