ASA FirePOWER モジュールに FMC への管理経路がない

FMC はモジュールを到達不能と表示し、登録は保留のまま止まり、ASA の内側からの ping は問題なく通ります。既存の ASA FirePOWER 導入では、この組み合わせは正常です。モジュールは独自の管理アドレス、独自のデフォルトゲートウェイ、独自のルーティング判断を持ち、一部のプラットフォームで ASA と物理的な管理接続を共有しても、それらが一つのネットワークスタックに統合されるわけではありません。同じ配線上で二つの装置が二つの異なる見解に答えるのです。

以下はすでに稼働中のモジュールに当てはまります。ガイドのポート図を適用する前に、シャーシの型番、モジュールの種類、対応ソフトウェアリリースを確認してください。

モジュールを独立したホストとして描く

まずモジュールの管理 IP、マスク、デフォルトゲートウェイ、その接続を実際に運ぶ VLAN、到達すべき FMC のアドレスを図に起こします。次に別の枠に ASA のインターフェースアドレスと完全なルーティングテーブルを書きます。二つの枠が異なる持ち主のアドレスで同じサブネットを共有しているなら、問題の興味深い部分を見つけたことになります。

ASA FirePOWER モジュールガイドは、プラットフォームごとにポート配置がどう異なるかを示しており、ASA とモジュールが同じセグメントで別々のアドレスを持つ共有管理配線も含まれます。そのハードウェア図は設計への入力であり、脚注ではありません。

戻り経路が途切れる箇所を探す

コア経由の構成を考えます。モジュールは FMC 向けの通信を Layer 3 コアへ送り、コアは遠隔の管理宛先を ASA の内側インターフェースへ転送し、拠点の VPN がそれを反対側へ運びます。すると遠隔拠点にはモジュールの管理サブネットへの戻り経路が必要です。その連鎖のどの段も正しいまま最後の経路だけが欠けることがあり、だからこそ障害は壊れたトンネルのように見えることが多いのです。

何かを変更する前に ASA 自身の見え方を読みます。

show interface ip brief
show route
show running-config interface

三番目のコマンドが重要なのは、忘れていたインターフェースアドレスこそが戻り経路を誤った装置に着地させるからです。

ASA が何を接続済みと見なすか確認する

ASA がモジュールの管理サブネット上にアドレスを持っていると、その接続経路がこのプレフィックスを所有します。コア向きの静的経路は接続経路の所有権を押しのけないため、パケットは ASA に戻ってそこで止まります。登録はその後、認証情報とは無関係な地点で失敗します。

特定のスプーフィング対策チェックがパケットを落としたと結論づけるのは、装置自身の観測が目の前にない限りやめてください。代わりに、入力インターフェース、選択された宛先経路、そのプラットフォームで対応する管理とデータの転送境界を比較します。この三つの事実は通常、誰かが登録キーをリセットし始める前にトポロジーの衝突を露呈します。

モジュールを接続したままにする修正を選ぶ

そのセグメントから ASA のアドレスを外すことと、共有ポートを物理的に無効化することは同じ行為ではありません。モジュールが同じ物理管理接続を相乗りしているプラットフォームでは、ポートを無効にするとモジュール唯一のリンクが失われます。ルーティングの問題を死んだ装置に変えてしまうだけです。管理ルーティングの所有権を移す変更を優先し、ネットワークの所有者の立ち会いのもとで段階的に進めてください。

もう一つの対応可能な選択肢は、ASA の管理経路に専用セグメントを与え、モジュールの管理サブネットの所有者を一つにすることです。アドレス一つと少しの文書化で済み、曖昧さを恒久的に除けます。どちらの道を選ぶにせよ、その後でモジュールが FMC と DNS や NTP の双方に到達できることを確認してください。

経路が整合してから登録する

戻り経路がきれいになったら、対応する FMC とモジュールのリリースガイドに沿って管理接続と登録パラメーターを計画します。登録の秘密は共有メモやチケットに残さず、診断手順として再登録したくなる誘惑に抗ってください。壊れた経路に新しい鍵を置いても、より新しい時刻印のついた同じ失敗が生まれるだけです。

経路は ASA 発の ping ではなく、モジュール自身の管理スタックから受け入れてください。試験の出所こそが疑わしい対象だからです。モジュールの次ホップ、ASA の VPN 選択、FMC の応答経路を記録し、両方の管理役割について独立した復旧手段を保ちます。その記録が、修理された伝送と成功した登録を分けるのです。

モジュールがついに FMC に現れたら、同じ三つのコマンドを再実行し、出力を図の隣に保存してください。その管理セグメントに触れる次の人は、まさにその比較を必要とします。