Két kriptotérkép, egy folyam: a későbbi bejegyzés nem tartalék

Adjon hozzá egy második kriptotérkép-bejegyzést ugyanahhoz a cím párhoz, irányítsa egy másik peerre, és megírt egy feladatátvételi tervet. Ez a mítosz, és azért él, mert úgy néz ki, mint minden más rendezett lista, amit beállított. A kriptotérképen belüli sorrend dönti el, melyik bejegyzés igényel egy új folyamot, nem az, melyik bejegyzés veszi át, amikor egy peer abbahagyja a válaszadást. Semmi sem figyeli a távoli végpontot abban a listában, így a második bejegyzés ott ül, és egyáltalán nem igényel semmit.

A mítosz: a sorrend tartalékot jelent

Egy rendezett lista két bejegyzéssel és egy közös definícióval elsődlegesnek és másodlagosnak tűnik. A hasonlóság a szintaxisnál véget ér. A Cisco ASA-dokumentációja a kriptotérképet olyan házirend-modellként írja le, amely a védett forgalmat párosítja, és megnevezi hozzá a peer-elrendezést, és a párosítás azzal a bejegyzéssel történik, amely elsőként igényli a folyamot. Egy távoli peer elérhetősége nem része ennek az értékelésnek.

Amit épített, az egy házirend, amelyet ehhez a folyamhoz soha nem fognak megkérdezni, plusz egy megjegyzés egy változási rekordban, amely redundanciát állít.

A sorrend igényli a folyamot, és csak egyszer

Minden bejegyzés hozzáférés-vezérlési listát vagy védett folyam definícióját tartalmazza, és minden új kimenő csomagot sorrendben hasonlítanak össze ezekkel a definíciókkal. Az első bejegyzés, amelynek definíciója illeszkedik, birtokolja a folyamot és annak peerjét. Egy második, azonos definíciójú bejegyzés soha nem kap sort, mert az első már illeszkedett; egy második, szűkebb definíciójú bejegyzés csak azokat a folyamokat szolgálja ki, amelyeket az első nem igényelt.

Ez a viselkedés akkor hasznos, amikor szándékosan kivágja a kivételeket egy széles házirendből, és haszontalan feladatátvételi mechanizmusként. Ellenőrizze, mi történt valójában a show crypto map és a show crypto ipsec sa peer használatával, majd kövessen egy szintetikus csomagot azon az úton, amelyet úgy gondol, hogy bejár. A nyomkövetés megnevezi az igénylő bejegyzést, és ez az egyetlen válasz, amely számít.

Az útvonalválasztás és a házirend-tulajdon külön döntések

Az útválasztási táblázat megválaszolja, hova továbbítják a csomagot. A kriptoházirend megválaszolja, melyik védelem és melyik peer vonatkozik a kiválasztott forgalomra. Egy forrás- és célpár megkettőzése egy másik peer alatt megváltoztatja a második döntést, és érintetlenül hagyja az elsőt, így a válaszok még mindig a régi átjárót követhetik, miközben a kimenő csomag az új peert veszi. Ez az aszimmetria olyan alagutat hoz létre, amely azt jelenti, hogy fent van, és semmit nem enged át.

Tartsa a szerződést a távoli végponttal kölcsönössé is: elfogadott identitás, védett címtartományok, visszatérő útvonal az érdekes előtagokhoz és engedély a szolgáltatáshoz. Egy alternatív kimenő választás, amelyet a másik fél nem vár, nem alternatív útvonal, hanem annak a fele.

Mire van szüksége egy valódi alternatív útvonalnak

Válasszon a feladathoz tervezett mechanizmust: támogatott peer-jelöltek csoportját, útvonalválasztott alagutat lebegő statikus vagy dinamikus útválasztási szomszédsággal fölötte, vagy bármilyen redundanciatervet, amelyet a platformja ehhez a szolgáltatáshoz dokumentál. Ezután írja le, melyik komponens észleli a hibát, és melyik komponens választja ki az alternatívát, mert ezek két különböző funkció, és gyakran két különböző csapat.

A címfordítás második megjelenített címet is adhat egy helyszínnek, de egyidejűleg megváltoztatja a szelektorokat, a naplózást és a forrásalapú hozzáférési szabályokat. Tekintse ezt kifejezett követelménynek, nem pedig két kétértelmű bejegyzés kerülőmegoldásának.

Három állapotot teszteljen, ne egyet

A konfiguráció csak akkor kész, ha védhető válasza van a normál működésre, az elsődleges meghibásodásának állapotára és az elsődlegeshez való visszatérésre. Tesztelje mindhármat, és jegyezze fel, melyik házirend-bejegyzés és melyik peer szolgálta ki mindegyiket. Az első állapot után megálló teszt bizonyítja, hogy a terv működik, amikor semmi sincs baj, és ez az az állapot, amelyet nem kellett ellenőriznie.

Különböztesse meg a beállított átfedést a régi és új asszociációk jogszerű együttélésétől a kulcsújítás során. Több aktív SA normális és ideiglenes; két bejegyzés, amely egy folyamért harcol, állandó és láthatatlan.