ASA FirePOWER մոդուլը FMC-ի կառավարման երթուղի չունի

FMC-ն մոդուլը ցույց է տալիս որպես անհասանելի, գրանցումը մնում է սպասման մեջ, իսկ ASA-ի ներսից ping-ը կատարյալ աշխատում է։ Գործող ASA FirePOWER տեղակայման դեպքում այդ համակցությունը նորմալ է։ Մոդուլն ունի իր կառավարման հասցեն, իր լռելյայն դարպասը և իր երթուղային որոշումները, և որոշ հարթակներում ASA-ի հետ ֆիզիկական կառավարման միացումը համօգտագործելը դրանք չի միաձուլում մեկ ցանցային կույտի մեջ։ Երկու սարքեր պատասխանում են նույն լարի վրա երկու տարբեր տեսանկյուններից։

Հետևյալը վերաբերում է արդեն շահագործվող մոդուլներին։ Նախքան ուղեցույցից պորտերի ցանկացած սխեմա կիրառելը որոշեք շասսիի մոդելը, մոդուլի տեսակը և աջակցվող ծրագրային տարբերակը։

Նկարեք մոդուլը որպես առանձին հոսթ

Սկսեք սխեման մոդուլի կառավարման IP-ով, դիմակով և լռելյայն դարպասով, այն VLAN-ով, որը փաստացի կրում է այդ միացումը, և այն FMC հասցեով, որին պետք է հասնել։ Այնուհետև առանձին վանդակում գրեք ASA-ի ինտերֆեյսների հասցեները և նրա ամբողջական երթուղային աղյուսակը։ Եթե երկու վանդակները վերջում կիսում են ենթացանց, որի հասցեները պատկանում են տարբեր կողմերի, դուք գտել եք խնդրի հետաքրքիր մասը։

ASA FirePOWER մոդուլի ուղեցույցը ցույց է տալիս, թե ինչպես են պորտերի դասավորությունները տարբերվում հարթակների միջև, ներառյալ համօգտագործվող կառավարման լարերը, որտեղ ASA-ն և մոդուլը նույն սեգմենտում ունեն առանձին հասցեներ։ Այդ ապարատային սխեման նախագծի մուտքային տվյալ է, ոչ թե ծանոթագրություն։

Գտեք, թե որտեղ է կտրվում վերադարձի ուղին

Վերցրեք միջուկով երթուղավորված դասավորություն։ Մոդուլը FMC-ուղղված տրաֆիկը ուղարկում է Layer 3 միջուկ, միջուկը հեռավոր կառավարման նպատակակետը փոխանցում է ASA-ի ներքին ինտերֆեյսին, իսկ կայքի VPN-ը տանում է այն մյուս կողմ։ Այնուհետև հեռավոր կայքին անհրաժեշտ է վերադարձի երթուղի դեպի մոդուլի կառավարման ենթացանց։ Այդ շղթայի ամեն քայլը կարող է ճիշտ լինել, մինչ վերջին երթուղին բացակայում է, և դրա համար ձախողումը հաճախ կոտրված թունելի տեսք ունի։

Նախքան որևէ բան փոխելը կարդացեք հենց ASA-ի տեսքը՝

show interface ip brief
show route
show running-config interface

Երրորդ հրամանը կարևոր է, որովհետև մոռացված ինտերֆեյսի հասցեն հենց այն է, ինչը վերադարձի ուղին վայրէջք է տալիս սխալ սարքին։

Ստուգեք, թե ինչն է ASA-ն համարում միացված

Եթե ASA-ն հասցե ունի մոդուլի կառավարման ենթացանցում, նրա միացված երթուղին տիրապետում է այդ նախածանցին։ Միջուկի ուղղությամբ ստատիկ երթուղին չի տեղահանում միացված երթուղու սեփականությունը, ուստի փաթեթը վերադառնում է ASA և կանգ է առնում այնտեղ։ Գրանցումն այդ ժամանակ ձախողվում է մի կետում, որը կապ չունի հավատարմագրերի հետ։

Մի՛ եզրակացրեք, որ կոնկրետ հակակեղծիքային ստուգումը գցել է փաթեթը, եթե ձեր առջև չկան հենց սարքի դիտարկումները։ Փոխարենը համեմատեք մուտքային ինտերֆեյսը, ընտրված նպատակակետի երթուղին և այդ հարթակի համար աջակցվող կառավարման և տվյալների փոխանցման սահմանը։ Այդ երեք փաստերը սովորաբար բացահայտում են տոպոլոգիայի հակասությունը նախքան ինչ-որ մեկը կսկսի վերականգնել գրանցման բանալիները։

Ընտրեք ուղղում, որը մոդուլը միացված է պահում

ASA-ի հասցեն այդ սեգմենտից հեռացնելը և համօգտագործվող պորտը ֆիզիկապես անջատելը համարժեք գործողություններ չեն։ Այն հարթակներում, որտեղ մոդուլն անցնում է նույն ֆիզիկական կառավարման միացումով, պորտն անջատելը վերացնում է մոդուլի միակ կապը — դուք երթուղային խնդիրը վերածել եք մեռած սարքի։ Նախապատվություն տվեք այն փոփոխությանը, որը վերաբաշխում է կառավարման երթուղայնության սեփականությունը, և պատրաստեք այն ցանցի սեփականատիրոջ ներկայությամբ։

Երկրորդ աջակցվող տարբերակը ASA-ի վարչական ուղուն սեփական սեգմենտ տալն է, որպեսզի մոդուլի կառավարման ենթացանցն ունենա մեկ սեփականատեր։ Դա արժե մեկ հասցե և մի փոքր փաստաթղթավորում, և ընդմիշտ վերացնում է երկիմաստությունը։ Ինչ ուղի էլ ընտրեք, դրանից հետո հաստատեք, որ մոդուլը դեռ հասնում է և՛ FMC-ին, և՛ իր DNS կամ NTP աղբյուրներին։

Գրանցվեք միայն ուղին համահունչ դառնալուց հետո

Երբ վերադարձի ուղին մաքուր է, պլանավորեք կառավարման կապակցվածությունը և գրանցման պարամետրերը համապատասխան FMC և մոդուլի թողարկման ուղեցույցից։ Գրանցման գաղտնիքները պահեք համօգտագործվող նշումներից և տոմսերից դուրս, և դիմացեք վերագրանցվելու գայթակղությանը որպես ախտորոշիչ քայլ. կոտրված ուղու վրա նոր բանալին արտադրում է նույն ձախողումը միայն ավելի նոր ժամանակադրոշմով։

Ընդունեք ուղին մոդուլի սեփական կառավարման կույտից, այլ ոչ թե ASA-ից սկսված ping-ից, որովհետև թեստի աղբյուրը հենց այն է, ինչը կասկածի տակ է։ Գրանցեք մոդուլի հաջորդ ցատկը, ASA-ի VPN ընտրությունը և FMC-ի պատասխան երթուղին, և պահեք անկախ վերականգնման մեթոդ երկու կառավարման դերերի համար։ Հենց այդ գրառումն է բաժանում վերանորոգված տրանսպորտը հաջող գրանցումից։

Երբ մոդուլը վերջապես հայտնվի FMC-ում, նորից գործարկեք նույն երեք հրամանները և պահեք արդյունքը սխեմայի կողքին։ Հաջորդ մարդը, ով կդիպչի այդ կառավարման սեգմենտին, կարիք կունենա հենց այդ համեմատությանը։