failback ASA-ზე: რა მოძრაობს რეალურად, როცა მარშრუტი ბრუნდება
მარშრუტის მთავარზე დაბრუნება არ ნიშნავს, რომ ძველი ნაკადები გადავიდა. ერთად დააკვირდით uplink-ს, გვირაბს, კავშირების ცხრილს და აპლიკაციის შედეგს.
ორი uplink-ის მქონე ASA-ზე failback არ არის failover-ის საპირისპირო. peer-ისკენ მიმავალი მარშრუტი იცვლება, შემდეგ კი პლატფორმამ სამი ცალკე მდგომარეობის მანქანა უნდა შეათანხმოს: მარშრუტების ცხრილი, IKE და IPsec უსაფრთხოების ასოციაციები და კავშირების ცხრილი. თითოეული შეიძლება სხვებს ჩამორჩეს და სწორედ ამ ჩამორჩენას უწოდებს ადამიანების უმეტესობა გვირაბს, რომელიც არ ბრუნდება.
რას ცვლის failback სინამდვილეში
მარშრუტის ძიება ხილვადი ნაწილია. როცა მონიტორინგის ქვეშ მყოფი ობიექტი აღდგება, peer-ის გარე მისამართზე მიმავალი მონიტორინგული მარშრუტი ბრუნდება და ASA-ის მიერ გაგზავნილი შემდეგი პაკეტი ისევ მთავარ რგოლს მიჰყვება. ყველაფერი ამის შემდეგ დამოკიდებულია იმაზე, ეთანხმება თუ არა არსებული მდგომარეობა ახალ გზას.
ARP და NAT წყნარი დამოკიდებულებები არიან. ახალ next hop-ს სჭირდება ამოხსნადი კარიბჭე და თარგმანი, რომელიც ჯერ კიდევ ერგება შორეულ მხარეს, თორემ failback-ის შემდეგ პირველი პაკეტები არსად მიდის და მარშრუტი კარგად გამოიყურება, სანამ არაფერი მუშაობს.
ოთხი ხედვა ერთ დროის ხაზზე
ჩაიწერეთ იგივე ოთხი რამ გადასვლამდე, მის დროს და შემდეგ, რადგან ერთი კადრი ვერ გეტყვით, რომელი შრე გადაიწია.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
მარშრუტი, რომელიც არასდროს შეცვლილა, და მარშრუტი, რომელიც შეიცვალა მაშინ, როცა ძველმა კავშირმა შეინარჩუნა გადაცემის მდგომარეობა, ერთსა და იმავე საჩივარს და სრულიად განსხვავებულ მტკიცებულებას იძლევა.
რატომ რჩება ძველი კავშირები სარეზერვო გზაზე
ASA არ ანგრევს ნაკადს იმიტომ, რომ მარშრუტი შეიცვალა. დამყარებული კავშირები ინარჩუნებენ გადაცემის იმ გადაწყვეტილებას, რომლითაც შეიქმნა, და პლატფორმა ცალკე კონტროლს გვაძლევს იმაზე, რამდენ ხანს არის ეს ნებადართული: floating-connection timeout და connection holddown. Cisco-ს ASA 9.24 კავშირის პარამეტრების სახელმძღვანელო მათ ცალკე კითხვებად განიხილავს და ზუსტად ასევე იქცევიან ისინი. ერთი არსებული ნაკადის გადარჩენას მართავს, მეორე — როდის შეიძლება ახალმა ნაკადებმა სასურველი გზის გამოყენება.
სანამ რომელიმეს შეცვლით, წაიკითხეთ თქვენი გამოშვებისთვის მოქმედი მნიშვნელობები. მათი დაწევა ხურავს სესიებს, რომლებსაც ადამიანები ჯერ კიდევ იყენებენ. აწევა failback-ს ისე აჩვენებს, თითქოს არასდროს მომხდარა, რადგან ახალი კავშირები მთელი ამ დროს ძველ გზას მიჰყვება.
გვირაბი გასაღებებს არ გადაამუშავებს იმიტომ, რომ მარშრუტი დაბრუნდა
IPsec უსაფრთხოების ასოციაციები საკუთარ მოლაპარაკებულ სიცოცხლის ხანგრძლივობას ატარებენ და გადაურჩებიან იმ მარშრუტის ცვლილებას, რომელმაც ისინი გადაიტანა. ამიტომ გვირაბი შეიძლება აწეული დარჩეს failback-ის განმავლობაში, მაშინ როცა მისი გარე მისამართულება აღარ ემთხვევა გამოყენებულ გზას; ეს არის არგუმენტი DPD-ისა და იმ დიზაინების სასარგებლოდ, რომლებიც peer-ის მისამართს ამაგრებენ და არ ატივტივებენ.
crypto-map და VTI დიზაინები აქ სხვაგვარად იქცევიან, და Cisco-ს 9.24 VTI დოკუმენტაცია აღწერს მარშრუტზე დაფუძნებულ ვარიანტს. ძველი ზოგადი მტკიცება, რომ ASA ვერ უშვებს მარშრუტზე დაფუძნებულ VPN-ებს, არ მოქმედებს მხარდაჭერილ გამოშვებებზე.
წაიკითხეთ მტკიცებულებები ამ თანმიმდევრობით
დაიწყეთ მართვის სიბრტყიდან: show route არჩეული გზისთვის, show interface რგოლის მდგომარეობისთვის და SLA მონიტორის მრიცხველები მონიტორინგული ობიექტისთვის. შემდეგ წაიკითხეთ show crypto ikev2 sa, ან IKEv1-ის ეკვივალენტი, რომ ნახოთ რომელი peer ცოცხალია, რასაც მოჰყვება show crypto ipsec sa დაცული ნაკადებისთვის. შემდეგ შევიწროეთ კავშირების ცხრილი show conn address <host>-ით და შეადარეთ ინტერფეისის სვეტი ძველ და ახალ ჩანაწერებში. ჩაწერეთ გამონატანები დროის ნიშნებით, რადგან მათი რიგია დიაგნოზი.
დაასრულეთ აპლიკაციის ტესტით: ერთი ნაკადი, რომელიც უკვე არსებობდა, და ერთი, რომელიც მარშრუტის დაბრუნების შემდეგ შეიქმნა. თუ ძველი ნაკადი ვარდება და ახალი მუშაობს, თქვენ გაქვთ კავშირის მდგომარეობის ისტორია. თუ ორივე ვარდება, გვირაბი ან პოლიტიკა არასწორია და კავშირების ცხრილი ყურადღების გადატანაა.
შეინახეთ ეს ჩანაწერი იმავე ფორმით სამივე ფაზაში და მიუთითეთ ზუსტი გამოშვება. როცა დროის ხაზი კვლავ ერთ გადასვლაზე მიუთითებს, გაუგზავნეთ ჩანაწერი მხარდაჭერას და ნუ გამოიცნობთ ხარვეზის ID-ს.