Failback-ը ASA-ում. ինչ է իրոք շարժվում, երբ երթուղին վերադառնում է
Երթուղու վերադարձը հիմնականին չի նշանակում, որ հին հոսքերը տեղափոխվել են։ Միասին դիտեք uplink-ը, թունելը, միացումների աղյուսակը և հավելվածի արդյունքը։
Երկու uplink ունեցող ASA-ում failback-ը failover-ի հակառակը չէ։ Peer-ի ուղին փոխվում է, և դրանից հետո հարթակը պետք է համաձայնեցնի երեք առանձին վիճակի մեքենաներ՝ երթուղիների աղյուսակը, IKE և IPsec անվտանգության ասոցիացիաները և միացումների աղյուսակը։ Յուրաքանչյուրը կարող է հետ մնալ մյուսներից, և հենց այդ ուշացումն են մարդիկ անվանում թունել, որը չի վերադառնում։
Ինչ է իրոք փոխում failback-ը
Երթուղու որոնումը տեսանելի մասն է։ Երբ հետևվող օբյեկտը վերականգնվում է, peer-ի արտաքին հասցեին տանող հետևվող երթուղին վերադառնում է, և ASA-ի ուղարկած հաջորդ փաթեթը կրկին գնում է հիմնական կապով։ Մնացած ամեն ինչ կախված է նրանից՝ արդյոք գոյություն ունեցող վիճակը համընկնում է նոր ուղու հետ։
ARP-ը և NAT-ը լուռ կախվածություններն են։ Նոր next hop-ին պետք է լուծելի դարպաս և թարգմանություն, որը դեռ համապատասխանում է հեռավոր կողմին, այլապես failback-ից հետո առաջին փաթեթները ոչ մի տեղ չեն գնում, և երթուղին լավ է թվում, մինչ ոչինչ չի աշխատում։
Չորս տեսանկյուն մեկ ժամանակագրության վրա
Արձանագրեք նույն չորս բաները անցումից առաջ, ընթացքում և հետո, որովհետև մեկ պատկեր չի կարող ասել, թե որ շերտը շարժվեց։
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Երթուղին, որը երբեք չի փոխվել, և երթուղին, որը փոխվել է, երբ ավելի հին միացումը պահպանել է իր փոխանցման վիճակը, տալիս են նույն բողոքը և բոլորովին այլ ապացույցներ։
Ինչու հին միացումները մնում են պահուստային ուղու վրա
ASA-ն չի քանդում հոսքը, որովհետև երթուղին փոխվեց։ Հաստատված միացումները պահպանում են այն փոխանցման որոշումը, որով ստեղծվել են, և հարթակը տալիս է առանձին կառավարում այն բանի համար, թե որքան ժամանակ է դա թույլատրվում՝ floating-connection timeout և connection holddown։ Cisco-ի ASA 9.24 միացումների կարգավորումների ուղեցույց-ը դրանք դիտարկում է որպես առանձին հարցեր, և հենց այդպես էլ նրանք վարվում են։ Մեկը կառավարում է գոյություն ունեցող հոսքի գոյատևումը, մյուսը՝ երբ նոր հոսքերը կարող են օգտվել նախընտրելի ուղուց։
Նախքան դրանցից որևէ մեկը փոխելը կարդացեք ձեր թողարկման համար գործող արժեքները։ Դրանք իջեցնելը փակում է սեսիաներ, որոնք մարդիկ դեռ օգտագործում են։ Բարձրացնելը failback-ը ցույց է տալիս այնպես, կարծես այն երբեք չի եղել, որովհետև նոր միացումները ողջ ընթացքում շարունակում են գնալ հին ուղով։
Թունելը չի վերաբանակցում բանալիները, որովհետև երթուղի վերադարձավ
IPsec անվտանգության ասոցիացիաները կրում են իրենց սեփական բանակցված կյանքի տևողությունը և վերապրում են այն երթուղու փոփոխությունը, որը նրանց տանում էր։ Այդ պատճառով թունելը կարող է մնալ բարձրացված failback-ի ընթացքում, մինչ նրա արտաքին հասցեավորումը այլևս չի համապատասխանում օգտագործվող ուղուն. սա է DPD-ի և այն լուծումների փաստարկը, որոնք ամրացնում են peer-ի հասցեն՝ թողնելու փոխարեն այն լողալ։
crypto-map և VTI լուծումներն այստեղ այլ կերպ են վարվում, և Cisco-ի 9.24 VTI փաստաթղթերը նկարագրում են երթուղու վրա հիմնված տարբերակը։ Հին ընդհանուր պնդումը, թե ASA-ն չի կարող աշխատացնել երթուղու վրա հիմնված VPN-ներ, չի գործում աջակցվող թողարկումների համար։
Կարդացեք ապացույցները այս հերթականությամբ
Սկսեք կառավարման հարթությունից՝ show route ընտրված ուղու համար, show interface կապի վիճակի համար, և SLA մոնիտորի հաշվիչները հետևվող օբյեկտի համար։ Այնուհետև կարդացեք show crypto ikev2 sa-ը կամ IKEv1-ի համարժեքը՝ տեսնելու, թե որ peer-ն է կենդանի, որից հետո show crypto ipsec sa-ը պաշտպանված հոսքերի համար։ Հետո նեղացրեք միացումների աղյուսակը show conn address <host>-ով և համեմատեք ինտերֆեյսի սյունը հին ու նոր գրառումներում։ Գրի առեք արդյունքները ժամանակի նշիչներով, որովհետև դրանց հերթականությունն է ախտորոշումը։
Ավարտեք հավելվածի թեստով՝ մեկ հոսք, որ արդեն կար, և մեկը, որը ստեղծվել է երթուղու վերադարձից հետո։ Եթե հին հոսքը ձախողվում է, իսկ նորը աշխատում է, դուք ունեք միացման վիճակի պատմություն։ Եթե երկուսն էլ ձախողվում են, թունելը կամ քաղաքականությունը սխալ են, և միացումների աղյուսակը շեղում է։
Պահեք այդ արձանագրությունը նույն ձևով բոլոր երեք փուլերում և նշեք ճշգրիտ թողարկումը։ Երբ ժամանակագրությունը շարունակում է մատնանշել մեկ անցում, ուղարկեք արձանագրությունը աջակցությանը՝ վրիպակի ID գուշակելու փոխարեն։