ASAдагы failback: маршрут кайтканда чындыгында эмне жылат
Маршруттун негизгиге кайтышы эски агымдардын оошконун билдирбейт. Uplink, туннель, туташуу таблицасы жана колдонмо натыйжасын чогуу байкаңыз.
Эки uplink-и бар ASAда failback failoverдин тескериси эмес. Peerге барган маршрут өзгөрөт, андан кийин платформа үч өзүнчө абал машинасын шайкештендирүүгө тийиш: маршрут таблицасы, IKE жана IPsec коопсуздук ассоциациялары жана туташуу таблицасы. Ар бири башкалардан артта калышы мүмкүн, көпчүлүк адамдар кайтпаган туннель деп дал ошол кечигүүнү айтышат.
Failback чындыгында эмнени өзгөртөт
Маршрутту издөө көрүнгөн бөлүгү. Көзөмөлдөнгөн объект калыбына келгенде, peerдин сырткы дарегине барган көзөмөлдөнгөн маршрут кайтат жана ASA жиберген кийинки пакет кайра негизги звенодон жүрөт. Андан кийинкинин баары бардык абал жаңы жолго туура келеби-жокпу деп байланыштуу.
ARP жана NAT — үнсүз көз карандылыктар. Жаңы next hop үчүн чечилүүчү дарбаза жана алыскы учка дагы эле туура келүүчү котормо керек, болбосо failbackтен кийинки алгачкы пакеттер эч жакка барбайт жана эч нерсе иштебесе да маршрут оң көрүнөт.
Бир убакыт сызыгындагы төрт көрүнүш
Ошол эле төрт нерсени өтүүгө чейин, учурунда жана андан кийин жазыңыз, анткени бир сүрөт кайсы катмар жылганын айта албайт.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Эч качан өзгөрбөгөн маршрут жана эски туташуу өзүнүн өткөрүү абалын сактап турганда өзгөргөн маршрут бирдей нааразылык жана таптакыр башка далил берет.
Эски туташуулар эмнеге камдык жолдо калат
ASA маршрут өзгөрдү деп агымды үзбөйт. Түзүлгөн туташуулар түзүлгөн кездеги өткөрүү чечимин сактайт, ал эми платформа буга канча убакыт жол берилгенин тескөө үчүн өзүнчө башкарууларды сунуштайт: floating-connection timeout жана connection holddown. Ciscoнун ASA 9.24 туташуу жөндөөлөрү боюнча колдонмо аларды өзүнчө суроолор катары карайт жана алар дал ошондой жүрүшөт. Бирөө бар агымдын жашоосун, экинчиси жаңы агымдар качан артык көрүлгөн жолду колдоно аларын жөнгө салат.
Экөөнүн бирин өзгөртүүдөн мурун чыгарылышыңыз үчүн колдонулган маанилерди окуңуз. Аларды төмөндөтүү адамдар дагы колдонуп жаткан сессияларды жабат. Көтөрүү failback эч качан болбогондой көрсөтөт, анткени жаңы туташуулар ошол убакыт бою эски жолду ала берет.
Маршрут кайткандыктан туннель ачкычтарды кайра сүйлөшпөйт
IPsec коопсуздук ассоциациялары өздөрүнүн сүйлөшүлгөн өмүрүн алып жүрөт жана аларды алып өткөн маршрут өзгөрүүсүнөн аман калат. Ошондуктан туннель failback убагында жогору тура алат, бирок анын сырткы даректөөсү колдонулуп жаткан жолго эми туура келбейт; бул DPD жана peer дарегин калкып турууга койбой бекемдеген долбоорлор үчүн далил.
crypto-map жана VTI долбоорлору бул жерде башкача жүрүшөт, ал эми Ciscoнун 9.24 VTI документи маршрутка негизделген вариантты сүрөттөйт. ASA маршрутка негизделген VPN иштете албайт деген эски жалпы божомолдоо колдоого алынган чыгарылыштарга туура келбейт.
Далилдерди ушундай тартипте окуңуз
Башкаруу тегиздигинен баштаңыз: тандалган жол үчүн show route, звенонун абалы үчүн show interface жана көзөмөлдөнгөн объект үчүн SLA мониторунун эсептегичтери. Андан кийин кайсы peer тирүү экенин көрүү үчүн show crypto ikev2 sa же IKEv1дин эквивалентин окуңуз, анан корголгон агымдар үчүн show crypto ipsec sa. Сосун show conn address <host> менен туташуу таблицасын тарылтып, эски жана жаңы жазуулардагы интерфейс тилкесин салыштырыңыз. Чыгарууларды убакыт белгилери менен жазыңыз, анткени алардын тартиби — диагностика.
Колдонмо сыноосу менен бүтүрүңүз: мурунтан болгон бир агым жана маршрут кайткандан кийин түзүлгөн бир агым. Эски агым ийгиликсиз болуп, жаңысы иштесе, сизде туташуу абалынын окуясы бар. Экөө тең ийгиликсиз болсо, туннель же саясат туура эмес, ал эми туташуу таблицасы көңүлдү бурду.
Ал жазууну үч баскычтын баарында бирдей формада кармаңыз жана так чыгарылышты белгилеңиз. Убакыт сызыгы дайыма бир өтүүнү көрсөтүп турса, ката IDсин болжолдонун ордуна жазууну колдоо кызматына жибериңиз.