ASA FirePOWER модулінде FMC-ге басқару маршруты жоқ

FMC модульді қолжетімсіз деп көрсетеді, тіркелу күтуде қалады, ал ASA ішінен ping мінсіз жұмыс істейді. Қолданыстағы ASA FirePOWER орналастыруында бұл үйлесім қалыпты жағдай. Модульдің өз басқару мекенжайы, өз әдепкі шлюзі және өз маршруттау шешімдері бар, ал кейбір платформаларда ASA-мен физикалық басқару қосылысын бөлісу оларды бір желілік стекке біріктірмейді. Екі құрылғы бір сымда екі түрлі көзқарастан жауап береді.

Төмендегілер қызметте тұрған модульдерге қатысты. Нұсқаулықтан кез келген порт схемасын қолданар алдында корпус үлгісін, модуль түрін және қолдау көрсетілетін бағдарлама нұсқасын анықтаңыз.

Модульді жеке хост ретінде сызыңыз

Схеманы модульдің басқару IP-і, маскасы мен әдепкі шлюзі, осы қосылысты нақты тасымалдайтын VLAN және жету қажет FMC мекенжайымен бастаңыз. Содан кейін бөлек ұяшықта ASA интерфейстерінің мекенжайларын және оның толық маршруттау кестесін жазыңыз. Екі ұяшық әртүрлі иелердің мекенжайларымен бір қосымша желіні бөліссе, сіз мәселенің қызықты бөлігін таптыңыз.

ASA FirePOWER модулінің нұсқаулығы платформалар арасында порт орналасуы қалай ерекшеленетінін көрсетеді, соның ішінде ASA мен модуль бір сегментте жеке мекенжайларды ұстайтын ортақ басқару сымдары. Бұл аппараттық схема жобалауға кіріс болып табылады, түбіртек емес.

Қайту жолы қай жерде үзілетінін табыңыз

Ядродан маршрутталған орналасуды алыңыз. Модуль FMC-ге бағытталған трафикті Layer 3 ядросына жібереді, ядро қашықтағы басқару межесін ASA-ның ішкі интерфейсіне қарай жібереді, ал сайттың VPN оны арғы жаққа апарады. Содан кейін қашықтағы сайтқа модульдің басқару қосымша желісіне қайту маршруты керек. Осы тізбектің әр қадамы дұрыс болуы мүмкін, ал сол соңғы маршрут жетіспеуі мүмкін, сондықтан ақау жиі үзілген туннельге ұқсайды.

Бірдеңені өзгертудің алдында ASA-ның өз көрінісін оқыңыз:

show interface ip brief
show route
show running-config interface

Үшінші пәрмен маңызды, өйткені ұмытып кеткен интерфейс мекенжайы қайту жолын дұрыс емес құрылғыға қондыратын нәрсенің дәл өзі.

ASA нені қосылған деп есептейтінін тексеріңіз

Егер ASA-да модульдің басқару қосымша желісінде мекенжай болса, оның қосылған маршруты сол префиксті иеленеді. Ядроға қарай статикалық маршрут қосылған маршруттың иелігін ығыстырмайды, сондықтан пакет ASA-ға қайтады да, сонда тоқтайды. Содан кейін тіркелу тіркелу деректеріне еш қатысы жоқ нүктеде сәтсіз аяқталады.

Белгілі бір қолдан жасауға қарсы тексеру пакетті тастады деп қорытынды жасамаңыз, егер алдыңызда құрылғының өз бақылаулары болмаса. Оның орнына кіретін интерфейсті, таңдалған меже маршрутын және сол платформа үшін қолдау көрсетілетін басқару мен деректер арасындағы жіберу шегін салыстырыңыз. Осы үш факт әдетте топология қақтығысын біреу тіркелу кілттерін қайта қоюды бастамай тұрып ашады.

Модульді қосылыста ұстайтын түзетуді таңдаңыз

ASA мекенжайын сол сегменттен алып тастау және ортақ портты физикалық өшіру тең әрекеттер емес. Модуль сол физикалық басқару қосылысымен жүретін платформаларда портты өшіру модульдің жалғыз байланысын жояды — сіз маршруттау мәселесін өлі құрылғыға айналдырдыңыз. Басқару маршруттау иелігін қайта бөлетін өзгерісті қалаңыз және оны желі иесінің қатысуымен дайындаңыз.

Екінші қолдау көрсетілетін нұсқа — ASA-ның әкімшілік жолына жеке сегмент беру, осылайша модульдің басқару қосымша желісінің бір иесі болады. Бұл бір мекенжай мен аздаған құжаттаманы талап етеді және екіұштылықты біржола жояды. Қай жолды таңдасаңыз да, кейін модульдің FMC-ге де, өзінің DNS немесе NTP көздеріне де жете алатынын растаңыз.

Жол үйлесімді болғаннан кейін ғана тіркеліңіз

Қайту жолы таза болғаннан кейін сәйкес FMC және модуль шығарылымының нұсқаулығы бойынша басқару байланысы мен тіркелу параметрлерін жоспарлаңыз. Тіркелу құпияларын ортақ жазбалар мен билеттерден тыс ұстаңыз және диагностикалық қадам ретінде қайта тіркелу азғырылуына қарсы тұрыңыз: үзілген жолдағы жаңа кілт тек жаңарақ уақыт белгісімен сол ақауды тудырады.

Жолды ASA-дан шыққан ping-нен емес, модульдің өз басқару стегінен қабылдаңыз, өйткені сынақ көзі күдік астындағы нәрсенің дәл өзі. Модульдің келесі қадамын, ASA-ның VPN таңдауы мен FMC-нің жауап маршрутын жазып алыңыз және екі басқару рөлі үшін тәуелсіз қалпына келтіру әдісін сақтаңыз. Дәл сол жазба жөнделген тасымалды сәтті тіркелуден ажыратады.

Модуль ақыры FMC-де пайда болғанда, сол үш пәрменді қайта іске қосыңыз және шығысты схеманың жанына сақтаңыз. Сол басқару сегментіне қол тигізетін келесі адамға дәл осы салыстыру қажет болады.