ASA FirePOWER модулунда FMCге башкаруу маршруту жок

FMC модулду жетүүгө мүмкүн эмес деп көрсөтөт, каттоо күтүүдө калат, ал эми ASAнын ичинен ping эч кемчиликсиз иштейт. Иштеп жаткан ASA FirePOWER жайгаштыруусунда бул айкалыш кадимки көрүнүш. Модулдун өз башкаруу дареги, өз демейки шлюзу жана өз маршруттоо чечимдери бар, ал эми кээ бир платформаларда ASA менен физикалык башкаруу туташуусун бөлүшүү аларды бир тармактык стекке бириктирбейт. Эки түзмөк бир зымда эки башка көз караштан жооп берет.

Төмөнкүлөр кызматта турган модулдарга тиешелүү. Нускамадан кандайдыр бир порт схемасын колдонуудан мурун корпус моделин, модулдун түрүн жана колдоого алынган программалык камсыздоонун версиясын аныктаңыз.

Модулду өзүнчө хост катары тартыңыз

Схеманы модулдун башкаруучу IP дареги, маскасы жана демейки шлюзу, ошол туташууну чындап ташыган VLAN жана жетүүгө тийиш FMC дареги менен баштаңыз. Андан кийин өзүнчө кутучага ASAнын интерфейс даректерин жана анын толук маршруттоо таблицасын жазыңыз. Эгер эки кутуча ар кандай ээлердин даректери менен бир субнетти бөлүшсө, сиз маселенин кызыктуу бөлүгүн таптыңыз.

ASA FirePOWER модулунун нускамасы порт жайгашуусу платформалар арасында кандай айырмаланарын көрсөтөт, анын ичинде ASA менен модул бир сегментте өзүнчө даректерди алып жүргөн жалпы башкаруу зымдары. Ал аппараттык схема долбоорго кириш болуп саналат, буткул эскертме эмес.

Кайтуу жолу кайда үзүлөрүн табыңыз

Ядродон маршрутталган жайгашууну алалы. Модул FMCге багытталган трафикти Layer 3 ядросуна жөнөтөт, ядро алыскы башкаруу багытын ASAнын ички интерфейсине карай өткөрөт, ал эми сайттын VPN аны экинчи тарапка алып барат. Андан кийин алыскы сайтка модулдун башкаруу субнетине кайтуу маршруту керек. Ошол чынжырдын ар бир кадамы туура болушу мүмкүн, ал эми акыркы маршрут жетишсиз болот, ошондуктан бузулуу көп учурда үзүлгөн туннелге окшошот.

Бир нерсени өзгөртүүдөн мурун ASAнын өз көрүнүшүн окуңуз:

show interface ip brief
show route
show running-config interface

Үчүнчү буйрук маанилүү, анткени унутуп калган интерфейс дареги кайтуу жолун туура эмес түзмөккө кондурган нерсе.

ASA эмнени туташкан деп эсептей турганын текшериңиз

Эгер ASAда модулдун башкаруу субнетинде дарек болсо, анын туташкан маршруту ошол префиксти ээлейт. Ядрого карай статикалык маршрут туташкан маршруттун ээлигин сүрүп чыгарбайт, ошондуктан пакет ASAга кайтып, ошол жерде токтойт. Андан кийин каттоо каттоо маалыматтарына эч кандай тиешеси жок чекитте ишке ашпай калат.

Белгилүү бир жалгандаштырууга каршы текшерүү пакетти таштап койду деген тыянак чыгарбаңыз, эгер алдыңызда түзмөктүн өз байкоолору болбосо. Анын ордуна кирүүчү интерфейсти, тандалган багыт маршрутун жана ошол платформа үчүн колдоого алынган башкаруу менен маалымат ортосундагы өткөрүү чегин салыштырыңыз. Бул үч факт адатта топология кагылышын бирөө каттоо ачкычтарын баштапкы абалга келтире электе ачып берет.

Модулду туташкан бойдон калтырган оңдоону тандаңыз

ASAнын дарегин ошол сегменттен алып салуу жана жалпы портту физикалык өчүрүү барабар аракеттер эмес. Модул ошол эле физикалык башкаруу туташуусу менен жүргөн платформаларда портту өчүрүү модулдун жалгыз байланышын жок кылат — сиз маршруттоо маселесин өлүк түзмөккө айландырдыңыз. Башкаруу маршруттоосунун ээлигин кайра бөлүштүргөн өзгөртүүнү артык көрүңүз жана аны тармак ээсинин катышуусунда даярдаңыз.

Экинчи колдоого алынган вариант — ASAнын административдик жолуна өзүнчө сегмент берүү, ошондо модулдун башкаруу субнетинен бир ээси болот. Бул бир дарекке жана аздыр-көптүр документтештирүүгө турса да, эки ачалуулукту биротоло жоёт. Кайсы жолду тандасаңыз да, андан кийин модул FMCге да, өзүнүн DNS же NTP булактарына да жете аларын тастыктаңыз.

Жол ырааттуу болгондон кийин гана каттаңыз

Кайтуу жолу таза болгондон кийин тиешелүү FMC жана модул чыгарылышынын нускамасы боюнча башкаруу туташуусун жана каттоо параметрлерин пландаңыз. Каттоо сырларын жалпы жазуулардан жана билеттерден тышкары кармаңыз жана диагностикалык кадам катары кайра каттоо азгырыгына каршы туруңуз: үзүлгөн жолдогу жаңы ачкыч жаңыраак убакыт белгиси менен ошол эле бузулушту гана жаратат.

Жолду ASAдан чыккан pingден эмес, модулдун өз башкаруу стегинен кабыл алыңыз, анткени сыноонун булагы күмөн алдындагы нерсенин өзү. Модулдун кийинки кадамын, ASAнын VPN тандоосун жана FMCнин жооп маршрутун жазып алыңыз жана эки башкаруу ролу үчүн көз карандысыз калыбына келтирүү ыкмасын сактаңыз. Ошол жазуу оңдолгон транспортту ийгиликтүү каттоодон ажыратат.

Модул акыры FMCде пайда болгондо, ошол эле үч буйрукту кайра иштетиңиз жана чыгарылышты схеманын жанына сактаңыз. Ошол башкаруу сегментине кол тийгизген кийинки адамга дал ушул салыштыруу керек болот.