Failback op der ASA: wat wierklech beweegt, wann d'Route zeréckkënnt
Datt eng Route op de primären Nowand zeréckkënnt, heescht net datt al Flëss geplënnert sinn. Kuckt den Uplink, den Tunnel, d'Verbindungstabell an d'Resultat vun der App zesummen.
Op enger ASA mat zwéin Uplinks ass failback net d'Ëmkeert vum failover. D'Route zum Peer ännert sech, an duerno muss d'Plattform dräi getrennt Zoustandmaschinnen an Einklang bréngen: d'Routentabell, d'IKE- an IPsec-Sécherheetsassociatiounen an d'Verbindungstabell. Jiddwereng ka bannent deenen aneren hannendrun bleiwen, an dat Zéien ass et, wat déi meescht Leit als en Tunnel beschreiwen, dee net zeréckkënnt.
Wat failback wierklech ännert
D'Routesich ass de sichtbaren Deel. Wann dat iwwerwaacht Objet sech erhëlt, kënnt déi iwwerwaacht Route op d'baussen Adress vum Peer zeréck, an de nächste Pak, deen d'ASA schéckt, follegt nees dem primäre Link. Alles duerno hänkt dovun of, ob den existéierende Zoustand mam neie Wee iwwereneen ass.
ARP an NAT sinn déi stëll Ofhängegkeeten. En neien next hop brauch en opléisbare Gateway an eng Iwwersetzung déi nach zum wäiten Enn passt, soss ginn déi éischt Päck no dem failback niergendwou hin an d'Route gesäit gutt aus, während näischt fonctionéiert.
Véier Bléck op enger Zäitlinn
Notéiert déiselwecht véier Saachen virum Iwwergank, während deem an duerno, well een eenzegen Schnappschoss Iech net ka soen wéi eng Schicht sech beweegt huet.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Eng Route déi ni geännert huet an eng Route déi sech geännert huet während eng eeler Verbindung hire Weitergab-Zoustand behalen huet, ginn déiselwecht Beschwéierde an ganz aner Beweiser.
Firwat al Verbindungen um Backuppad bleiwen
D'ASA brécht e Floss net of well eng Route sech geännert huet. Etabléiert Verbindungen behalen d'Weidergabsentscheedung mat där si erstallt goufen, an d'Plattform bitt getrennt Steierungen dofir wéi laang dat erlaabt ass: floating-connection timeout an connection holddown. Dem Cisco seng Den Guide fir d'Verbindungsastellungen an der ASA 9.24 behandelt si als getrennte Froen, an genau sou behuele si sech. Eng regeiert d'Iwwerliewe vun engem existéierende Floss, déi aner wéini nei Flëss de bevorzugte Wee kënnen notzen.
Liest déi gëlteg Wäerter fir Är Verëffentlechung ier Dir eng vun deenen zwou ännert. Se erofsetzen schléisst Sessiounen déi d'Leit nach notzen. Se eropsetzen mécht de failback wéi wann en ni geschitt wier, well nei Verbindungen déi ganzen Zäit de ale Wee huelen.
En Tunnel verhandelt keng nei Schlëssel well eng Route zeréckkoum
IPsec-Sécherheetsassociatiounen droen hir eege verhandelt Liewensdauer an iwwerliewen d'Routeännerung déi si gedroen huet. En Tunnel kann dowéinst iwwer e failback eraus op bleiwen, während seng baussen Adresséierung net méi mam benotzte Wee iwwereneen ass, an dat ass d'Argument fir DPD a fir Designer déi d'Peeradress festspieren amplaz se schwiefen ze loossen.
Crypto-Map- a VTI-Designen behuelen sech hei anescht, an dem Cisco seng Dokumentatioun fir 9.24 VTI beschreift déi routebaséiert Optioun. Déi al allgemeng Behauptung datt eng ASA keng routebaséiert VPN'en ka bedreiwen, gilt net fir ënnerstëtzte Verëffentlechungen.
Liest d'Beweiser an dëser Reihenfolg
Fänkt mat der Kontrollfläch un: show route fir de gewielte Wee, show interface fir de Linkzoustand an d'Zieler vum SLA-Monitor fir dat iwwerwaacht Objet. Liest duerno show crypto ikev2 sa, oder den IKEv1-Äquivalent, fir ze gesinn wéi en Peer lieft, duerno show crypto ipsec sa fir déi geschützt Flëss. Dann engt d'Verbindungstabell mat show conn address <host> an a vergläicht d'Interface-Kolonn bei alen an neien Entréen. Schreift d'Ausgaben mat Zäitstempel op, well hir Reihenfolg ass d'Diagnos.
Schléisst mat engem Applikatiounstest of: ee Floss deen et schonn gouf an een dee no der Zeréckkomst vun der Route entstanen ass. Wann den ale Floss feelt an den neien fonctionéiert, hutt Dir eng Geschicht iwwer de Verbindungszoustand. Wann allebéid feelen, ass den Tunnel oder d'Politik falsch an d'Verbindungstabell ass eng Ofleenkung.
Halt dës Notiz an der selwechter Form iwwer all dräi Phasen a notéiert déi genau Verëffentlechung. Wann d'Zäitlinn weider op een eenzegen Iwwergank weist, schéckt d'Notiz un den Support amplaz eng Bug-ID ze roden.