두 개의 크립토 맵, 하나의 흐름: 나중 항목은 백업이 아니다

같은 주소 쌍에 두 번째 크립토 맵 항목을 추가하고 다른 피어를 가리키면, 페일오버 계획을 작성한 셈이다. 그것이 바로 신화이며, 구성한 다른 모든 순서 목록처럼 보이기 때문에 살아남는다. 크립토 맵의 순서는 새 흐름을 어느 항목이 요구하는지를 결정하지, 피어가 응답을 멈출 때 어느 항목이 이어받는지를 결정하지 않는다. 그 목록의 어떤 것도 원격 끝을 모니터링하지 않으므로, 두 번째 항목은 아무것도 요구하지 않은 채 거기 앉아 있을 뿐이다.

신화: 순서는 폴백을 의미한다

두 항목과 하나의 공유 정의가 있는 순서 목록은 기본과 보조처럼 느껴진다. 유사성은 구문에서 끝난다. Cisco의 ASA 문서는 크립토 맵을 보호 트래픽을 일치시키고 그에 대한 피어 배치를 지정하는 정책 모델로 설명하며, 일치는 흐름을 먼저 요구하는 항목에 대해 이루어진다. 원격 피어의 가용성은 그 평가의 일부가 아니다.

당신이 구축한 것은 그 흐름에 대해 결코 조회되지 않을 정책과, 중복성을 주장하는 변경 기록의 주석이다.

순서는 흐름을 요구한다, 단 한 번

각 항목은 액세스 제어 목록이나 보호 흐름 정의를 보유하며, 새 발신 패킷은 순서에 따라 그 정의와 비교된다. 정의가 일치하는 첫 번째 항목이 흐름과 그 피어를 소유한다. 동일한 정의를 가진 두 번째 항목은 첫 번째가 이미 일치했기 때문에 결코 차례를 얻지 못하며, 더 좁은 정의를 가진 두 번째 항목은 첫 번째가 요구하지 않은 흐름만 처리한다.

이 동작은 넓은 정책에서 의도적으로 예외를 잘라낼 때 유용하며, 페일오버 메커니즘으로는 쓸모없다. show crypto map 및 show crypto ipsec sa peer로 실제로 무슨 일이 있었는지 확인한 다음, 통과한다고 믿는 경로로 합성 패킷을 추적하라. 추적은 그것을 요구한 항목을 지목할 것이며, 그것이 중요한 유일한 답이다.

경로 선택과 정책 소유권은 별개의 결정이다

라우팅 테이블은 패킷이 어디로 전달되는지 답한다. 크립토 정책은 선택된 트래픽에 어떤 보호와 어떤 피어가 적용되는지 답한다. 소스와 목적지 쌍을 다른 피어 아래에서 복제하면 두 번째 결정이 바뀌고 첫 번째는 그대로 남으므로, 응답은 여전히 이전 게이트웨이를 따르면서 발신 패킷은 새 피어를 택할 수 있다. 그 비대칭은 작동 중이라고 보고하면서 아무것도 통과시키지 않는 터널을 만든다.

원격 끝과의 계약도 상호적으로 유지하라: 허용된 ID, 보호된 주소 범위, 관심 있는 프리픽스에 대한 반환 경로, 서비스에 대한 권한. 상대방이 기대하지 않는 대체 발신 선택은 대체 경로가 아니라 그 절반이다.

진짜 대체 경로에 필요한 것

그 작업을 위해 설계된 메커니즘, 즉 지원되는 피어 후보 그룹, 그 위에 플로팅 정적 또는 동적 라우팅 인접을 갖춘 라우팅된 터널, 또는 플랫폼이 해당 서비스에 대해 문서화한 모든 중복 설계를 선택하라. 그런 다음 어떤 구성 요소가 장애를 감지하고 어떤 구성 요소가 대안을 선택하는지, 그것들이 두 가지 다른 기능이며 종종 두 개의 다른 팀이기 때문에 적어 두라.

주소 변환도 사이트에 두 번째로 제시되는 주소를 줄 수 있지만, 동시에 선택자, 로깅, 소스 기반 액세스 규칙을 바꾼다. 그것을 두 개의 모호한 항목을 위한 임시방편이 아니라 명시적 요구 사항으로 다루어라.

세 가지 상태를 테스트하라, 하나가 아니라

구성은 정상 운영, 기본 장애 상태, 기본으로의 복귀에 대해 방어 가능한 답을 가질 때에만 완료된다. 세 가지를 모두 테스트하고 각각에 어떤 정책 항목과 어떤 피어가 대응했는지 기록하라. 첫 번째 상태에서 멈추는 테스트는 아무 문제가 없을 때 설계가 작동함을 증명할 뿐이며, 그것은 확인할 필요가 없었던 상태다.

키 재생성 중 이전 및 새 연결의 정당한 공존과 구성된 중복을 구별하라. 여러 활성 SA는 정상적이고 일시적이지만, 하나의 흐름을 두고 다투는 두 항목은 영구적이고 보이지 않는다.