ASA жүйесіндегі failback: маршрут қайтқанда шын мәнінде не жылжиды
Маршруттың негізгіге қайтуы ескі ағындардың орын ауыстырғанын білдірмейді. Uplink, туннель, қосылымдар кестесі мен қолданба нәтижесін бірге бақылаңыз.
Екі uplink-і бар ASA жүйесінде failback failover-дің керісі емес. Peer-ке баратын маршрут өзгереді, содан кейін платформа үш бөлек күй машинасын үйлестіруі керек: маршруттар кестесі, IKE және IPsec қауіпсіздік ассоциациялары және қосылымдар кестесі. Әрқайсысы басқаларынан қалып қоюы мүмкін, және адамдардың көбісі қайтпайтын туннель деп дәл осы кешігуді атайды.
Failback шын мәнінде нені өзгертеді
Маршрутты іздеу көрінетін бөлік. Бақыланатын нысан қалпына келгенде, peer-тің сыртқы мекенжайына баратын бақыланатын маршрут қайтады және ASA жіберетін келесі пакет қайтадан негізгі буынмен жүреді. Одан кейінгінің бәрі бар күйдің жаңа жолға сәйкес келуіне байланысты.
ARP және NAT — үнсіз тәуелділіктер. Жаңа next hop-қа шешілетін қақпа және алыс жаққа әлі сәйкес келетін аударма қажет, әйтпесе failback-тен кейінгі алғашқы пакеттер ешқайда бармайды, ал ештеңе жұмыс істемесе де маршрут дұрыс көрінеді.
Бір уақыт сызығындағы төрт көрініс
Дәл сол төрт нәрсені ауысуға дейін, оның барысында және кейін жазып алыңыз, өйткені бір сурет қай қабаттың жылжығанын айта алмайды.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Ешқашан өзгермеген маршрут пен ескі қосылым өзінің жіберу күйін сақтаған кезде өзгерген маршрут бірдей шағым мен мүлдем басқа дәлел береді.
Ескі қосылымдар неге қосалқы жолда қалады
ASA маршрут өзгерді деп ағынды бұзбайды. Орнатылған қосылымдар жасалған кездегі жіберу шешімін сақтайды, ал платформа бұған қанша уақыт рұқсат етілгені үшін бөлек басқару құралдарын ұсынады: floating-connection timeout және connection holddown. Cisco-ның ASA 9.24 қосылым параметрлерінің нұсқаулығы оларды бөлек сұрақ ретінде қарастырады және олар дәл солай әрекет етеді. Біреуі бар ағынның өмір сүруін, екіншісі жаңа ағындардың қай уақытта таңдаулы жолды пайдалана алатынын реттейді.
Екеуін де өзгертуден бұрын өз шығарылымыңыз үшін қолданыстағы мәндерді оқыңыз. Оларды төмендету адамдар әлі пайдаланып жүрген сессияларды жабады. Көтеру failback ешқашан болмағандай көрсетеді, өйткені жаңа қосылымдар сол уақыт бойы ескі жолды ала береді.
Маршрут қайтқандықтан туннель кілттерді қайта келіспейді
IPsec қауіпсіздік ассоциациялары өздерінің келісілген өмірлік мерзімін алып жүреді және оларды тасыған маршрут өзгерісінен аман қалады. Сондықтан туннель failback кезінде жоғары тұруы мүмкін, ал оның сыртқы мекенжайдануы пайдаланылып жатқан жолға енді сәйкес келмейді; бұл DPD және peer мекенжайын қалқымалы қалдырмай бекітетін құрылымдар үшін дәлел.
crypto-map және VTI құрылымдары мұнда басқаша әрекет етеді, ал Cisco-ның 9.24 VTI құжаты маршрутқа негізделген нұсқаны сипаттайды. ASA маршрутқа негізделген VPN-дерді іске қоса алмайды деген ескі жалпы тұжырым қолдау көрсетілетін шығарылымдарға жарамайды.
Дәлелдерді осы тәртіппен оқыңыз
Басқару жазықтығынан бастаңыз: таңдалған жол үшін show route, буын күйі үшін show interface және бақыланатын нысан үшін SLA мониторының санауыштары. Содан кейін қай peer тірі екенін көру үшін show crypto ikev2 sa немесе IKEv1 баламасын оқыңыз, одан кейін қорғалған ағындар үшін show crypto ipsec sa. Сосын show conn address <host> көмегімен қосылымдар кестесін тарылтып, ескі және жаңа жазбалардағы интерфейс бағанын салыстырыңыз. Шығыстарды уақыт белгілерімен жазыңыз, өйткені олардың реті — диагностика.
Қолданба сынағымен аяқтаңыз: бұрыннан болған бір ағын және маршрут қайтқаннан кейін жасалған бір ағын. Ескі ағын сәтсіз болып, жаңасы жұмыс істесе, сізде қосылым күйі туралы әңгіме бар. Екеуі де сәтсіз болса, туннель немесе саясат қате, ал қосылымдар кестесі — назарды бұру.
Ол жазбаны үш кезеңнің барлығында бірдей пішінде ұстаңыз және нақты шығарылымды белгілеңіз. Уақыт сызығы бір ауысуды көрсете берсе, қате ID-ін болжаудың орнына жазбаны қолдау қызметіне жіберіңіз.