Due mappe crypto, un solo flusso: la voce successiva non è un backup

Aggiungete una seconda voce di mappa crypto per la stessa coppia di indirizzi, puntatela a un altro peer e avete scritto un piano di commutazione automatica. Questo è il mito, e sopravvive perché sembra ogni altra lista ordinata che avete configurato. La sequenza in una mappa crypto decide quale voce rivendica un nuovo flusso, non quale voce subentra quando un peer smette di rispondere. Niente in quella lista monitora l’estremità remota, quindi la seconda voce resta lì senza rivendicare nulla.

Il mito: l’ordine significa riserva

Una lista ordinata con due voci e una definizione condivisa sembra primaria e secondaria. La somiglianza finisce alla sintassi. La documentazione ASA di Cisco descrive la mappa crypto come il modello di policy che abbina il traffico protetto e ne nomina la disposizione dei peer, e l’abbinamento avviene contro la voce che rivendica il flusso per prima. La disponibilità di un peer remoto non fa parte di quella valutazione.

Quello che avete costruito è una policy che non verrà mai consultata per quel flusso, più un commento in un registro delle modifiche che afferma ridondanza.

La sequenza rivendica il flusso, e solo una volta

Ogni voce contiene una lista di controllo degli accessi o una definizione di flusso protetto, e ogni nuovo pacchetto in uscita viene confrontato con quelle definizioni in ordine di sequenza. La prima voce la cui definizione corrisponde possiede il flusso e il suo peer. Una seconda voce con una definizione identica non arriva mai al suo turno, perché la prima ha già corrisposto; una seconda voce con una definizione più stretta serve solo i flussi che la prima non ha rivendicato.

Questo comportamento è utile quando ritagliate deliberatamente eccezioni da una policy ampia, ed è inutile come meccanismo di commutazione automatica. Verificate cosa è successo davvero con show crypto map e show crypto ipsec sa peer, poi seguite un pacchetto sintetico lungo il percorso che credete prenda. La traccia nominerà la voce che lo ha rivendicato, e questa è l’unica risposta che conta.

La selezione del percorso e la proprietà della policy sono decisioni separate

Una tabella di routing risponde a dove viene inoltrato il pacchetto. La policy crypto risponde a quale protezione e quale peer si applicano al traffico selezionato. Duplicare una coppia di origine e destinazione sotto un altro peer cambia la seconda decisione e lascia intatta la prima, quindi le risposte possono ancora seguire il vecchio gateway mentre il pacchetto in uscita prende il nuovo peer. Quell’asimmetria produce un tunnel che si dichiara attivo e non lascia passare nulla.

Mantenete anche reciproco il contratto con l’estremità remota: identità accettata, intervalli di indirizzi protetti, una rotta di ritorno per i prefissi interessanti e il permesso per il servizio. Una scelta in uscita alternativa che l’altro lato non si aspetta non è un percorso alternativo, è metà di uno.

Di cosa ha bisogno un vero percorso alternativo

Scegliete un meccanismo progettato per il compito: un gruppo supportato di peer candidati, un tunnel instradato con una statica flottante o un’adiacenza di routing dinamico sopra di esso, o qualunque progetto di ridondanza la vostra piattaforma documenti per quel servizio. Poi annotate quale componente rileva il guasto e quale componente seleziona l’alternativa, perché sono due funzioni diverse e spesso due team diversi.

La traduzione degli indirizzi può anche dare a un sito un secondo indirizzo presentato, ma cambia contemporaneamente selettori, registrazione e regole di accesso basate sull’origine. Trattatela come un requisito esplicito e non come una soluzione tampone per due voci ambigue.

Testate tre stati, non uno

La configurazione è finita solo quando ha una risposta difendibile per il funzionamento normale, per lo stato di guasto del primario e per il ritorno al primario. Testate tutti e tre e registrate quale voce di policy e quale peer ha servito ciascuno. Un test che si ferma dopo il primo stato dimostra che il progetto funziona quando nulla è sbagliato, ed è lo stato che non avevate bisogno di controllare.

Distinguete anche la sovrapposizione configurata dalla legittima coesistenza di associazioni vecchie e nuove durante una rigenerazione delle chiavi. Diverse SA attive sono normali e temporanee; due voci che si contendono un flusso sono permanenti e invisibili.