Dua Peta Crypto, Satu Alur: Entri Berikutnya Bukan Cadangan

Tambahkan entri peta crypto kedua untuk pasangan alamat yang sama, arahkan ke peer lain, dan Anda sudah menulis rencana failover. Itulah mitosnya, dan mitos itu bertahan karena tampak seperti daftar berurutan lain yang pernah Anda konfigurasi. Urutan dalam peta crypto menentukan entri mana yang mengklaim alur baru, bukan entri mana yang mengambil alih saat peer berhenti menjawab. Tidak ada apa pun dalam daftar itu yang memantau ujung jauh, jadi entri kedua hanya duduk di sana tanpa mengklaim apa pun.

Mitos: urutan berarti cadangan

Daftar berurutan dengan dua entri dan satu definisi bersama terasa seperti primer dan sekunder. Kemiripannya berakhir pada sintaksis. Dokumentasi ASA Cisco menggambarkan peta crypto sebagai model kebijakan yang mencocokkan lalu lintas terlindungi dan menyebutkan susunan peer untuknya, dan pencocokan terjadi terhadap entri yang mengklaim alur lebih dulu. Ketersediaan peer jarak jauh bukan bagian dari evaluasi itu.

Yang Anda bangun adalah kebijakan yang tidak akan pernah dikonsultasikan untuk alur itu, ditambah komentar dalam catatan perubahan yang mengklaim redundansi.

Urutan mengklaim alur, dan hanya sekali

Setiap entri menyimpan daftar kendali akses atau definisi alur terlindungi, dan setiap paket keluar baru dibandingkan dengan definisi tersebut dalam urutan. Entri pertama yang definisinya cocok memiliki alur dan peer-nya. Entri kedua dengan definisi identik tidak pernah mendapat giliran, karena yang pertama sudah cocok; entri kedua dengan definisi lebih sempit hanya melayani alur yang tidak diklaim yang pertama.

Perilaku itu berguna ketika Anda sengaja memotong pengecualian dari kebijakan yang luas, dan tidak berguna sebagai mekanisme failover. Periksa apa yang sebenarnya terjadi dengan show crypto map dan show crypto ipsec sa peer, lalu lacak paket sintetis melalui jalur yang Anda yakini dilaluinya. Pelacakan akan menyebutkan entri yang mengklaimnya, dan itulah satu-satunya jawaban yang penting.

Pemilihan rute dan kepemilikan kebijakan adalah keputusan terpisah

Tabel perutean menjawab ke mana paket diteruskan. Kebijakan crypto menjawab perlindungan dan peer mana yang berlaku untuk lalu lintas terpilih. Menduplikasi pasangan sumber dan tujuan di bawah peer lain mengubah keputusan kedua dan membiarkan yang pertama tidak tersentuh, sehingga balasan mungkin masih mengikuti gateway lama sementara paket keluar mengambil peer baru. Asimetri itu menghasilkan terowongan yang melaporkan aktif dan tidak melewatkan apa pun.

Jaga juga kontrak dengan ujung jauh tetap timbal balik: identitas yang diterima, rentang alamat terlindungi, rute balik untuk prefiks yang menarik dan izin untuk layanan. Pilihan keluar alternatif yang tidak diharapkan sisi lain bukan jalur alternatif, melainkan separuhnya.

Apa yang dibutuhkan jalur alternatif sejati

Pilih mekanisme yang dirancang untuk tugas itu: grup kandidat peer yang didukung, terowongan terutekan dengan statis mengambang atau kedekatan perutean dinamis di atasnya, atau desain redundansi apa pun yang didokumentasikan platform Anda untuk layanan tersebut. Lalu tuliskan komponen mana yang mendeteksi kegagalan dan komponen mana yang memilih alternatif, karena keduanya fungsi berbeda dan sering kali dua tim berbeda.

Terjemahan alamat juga dapat memberi situs alamat kedua yang ditampilkan, tetapi itu mengubah selektor, pencatatan, dan aturan akses berbasis sumber sekaligus. Perlakukan itu sebagai persyaratan eksplisit, bukan sebagai akal-akalan untuk dua entri yang ambigu.

Uji tiga keadaan, bukan satu

Konfigurasi baru selesai ketika ia memiliki jawaban yang dapat dipertahankan untuk operasi normal, untuk keadaan gagal primer, dan untuk kembali ke primer. Uji ketiganya dan catat entri kebijakan serta peer mana yang melayani masing-masing. Uji yang berhenti setelah keadaan pertama membuktikan bahwa desain berfungsi saat tidak ada yang salah, dan itulah keadaan yang tidak perlu Anda periksa.

Bedakan juga tumpang tindih yang dikonfigurasi dari koeksistensi sah asosiasi lama dan baru selama regenerasi kunci. Beberapa SA aktif adalah normal dan sementara; dua entri yang berebut satu alur bersifat permanen dan tak terlihat.