Den ASA FirePOWER-Modul huet keng Management-Route op FMC

FMC weist de Modul als onereechbar, d’Registrierung bleift am Suspens, an e Ping vun der Bannenzeg vun der ASA funktionéiert perfekt. Bei enger bestehender ASA FirePOWER-Deployment ass déi Kombinatioun normal. De Modul huet seng eege Management-Adress, säin eegene Standard-Gateway an seng eege Routing-Entscheedungen, an eng physesch Management-Verbindung mat der ASA op verschiddene Plattformen ze deelen fusionéiert dat net an een eenzegen Netzwerkstack. Zwee Geräter äntweren aus zwou verschiddene Siicht op der selwechter Leitung.

D’Folgendes gëllt fir Modulen déi schonn am Asaz sinn. Bestëmmt de Chassis-Modell, den Modultyp an déi ënnerstëtzt Software-Versioun ier Dir en Iergendeen Portdiagramm aus engem Guide uwendt.

Zeechent de Modul als en eegene Host

Fänkt den Diagramm mat der Management-IP vum Modul, der Mask an dem Standard-Gateway un, mam VLAN deen dës Verbindung tatsächlech dréit, an mat der FMC-Adress déi erreecht muss ginn. Da schreift an enger separater Këscht d’Interface-Adressen vun der ASA an hir komplett Routing-Tabell. Wann déi zwou Këschten um Enn en Subnetz mat Adressen a verschiddenen Hänn deelen, hutt Dir den interessante Deel vum Problem fonnt.

De Guide fir den ASA FirePOWER-Modul weist wéi d’Portanuerdnunge sech tëschend Plattformen ënnerscheeden, dorënner gemeinsam Management-Verkabelung wou d’ASA an de Modul getrennten Adressen am selwechte Segment hunn. Dee Hardware-Diagramm ass en Input fir den Design, keng Foussnott.

Fannt wou de Retourwee brécht

Huelt eng Layout déi iwwer de Kär geroutet ass. De Modul schéckt FMC-Verkehr op en Layer 3-Kär, de Kär leet d’Remote-Management-Zil Richtung Inside-Interface vun der ASA weider, an de Site-VPN dréit en op déi aner Säit. Duerno brauch de Remote-Site eng Route zréck op d’Management-Subnetz vum Modul. Jiddwer Sprong an dëser Kette ka richteg sinn wärend déi lescht Route feelt, an dofir gesäit de Feeler sou dacks aus wéi en gebrachent Tunnel.

Liest d’Siicht vun der ASA selwer ier Dir eppes ännert:

show interface ip brief
show route
show running-config interface

Den drëtten Uerder ass wichteg, well eng Interface-Adress déi Dir vergiess hutt genau dat ass wat de Retourwee um falsche Gerät lande léisst.

Kuckt wat d’ASA als verbonnen ugesäit

Wann d’ASA eng Adress am Management-Subnetz vum Modul huet, besëtzt hir Connected-Route dee Präfix. Eng statesch Route Richtung Kär verdrängt den Eegentum vun der Connected-Route net, also kënnt de Pak zréck op d’ASA an hält do un. D’Registrierung feelt dann op enger Plaz déi näischt mat Umeldungsdaten ze dinn huet.

Schléisst net drop datt eng bestëmmt Anti-Spoofing-Prüfung de Pak verworf huet, ausser Dir hutt d’Observatioune vum Apparat selwer virun Iech. Vergläicht amplaz den Ingress-Interface, déi gewielten Destination-Route an d’ënnerstëtzt Grenz tëschend Management an Daten fir déi Plattform. Déi dräi Fakten leeën de Topologiekonflikt meeschtens oppen ier iergendeen ufänkt Registrierungsschlëssel zréckzesetzen.

Wielt eng Korrektur déi de Modul verbonne léisst

D’Adress vun der ASA aus deem Segment ewechhuelen an e gemeinsame Port physesch desaktivéieren sinn net gläichwäerteg Aktiounen. Op Plattformen wou de Modul iwwer déiselwecht physesch Management-Verbindung geet, hëlt d’Desaktivéierung vum Port de eenzegen Link vum Modul ewech — Dir hätt en Routingproblem an en doudegen Apparat verwandelt. Bevorzugt d’Ännerung déi den Eegentum vum Management-Routing nei verdeelt, a preparéiert se mam Netzwerkbesëtzer dobäi.

Eng zweet ënnerstëtzt Optioun ass dem administrative Wee vun der ASA säin eegent Segment ze ginn, sou datt d’Management-Subnetz vum Modul een Eenzege Besëtzer huet. Dat kascht eng Adress an eng kleng Dokumentatioun, an et eliminéiert d’Villdeitegkeet fir ëmmer. Wéi ee Wee Dir och wielt, bestätegt duerno datt de Modul nach ëmmer souwuel FMC wéi och seng DNS- oder NTP-Quellen erreecht.

Registréiert eréischt wann de Wee kohärent ass

Wann de Retourwee propper ass, plangt d’Management-Konnektivitéit an d’Registrierungsparameter aus dem passenden Release-Guide fir FMC a Modul. Halt Registrierungsgeheimnisser aus gemeinsamen Notizen an Ticketen eraus a widersetzt Iech der Versuchung als diagnostesche Schrëtt nei ze registréieren: en neie Schlëssel op engem gebrochene Wee produzéiert just dee selwechte Feeler mat engem méi neien Zäitstempel.

Akzeptéiert de Wee aus dem Managementstack vum Modul selwer an net aus engem Ping dee vun der ASA kënnt, well d’Quell vum Test genau dat ass wat a Verdacht steet. Notéiert de nächste Sprong vum Modul, d’VPN-Auswiel vun der ASA an d’Äntwertroute vun FMC, a behält eng onofhängeg Erhuelungsmethod fir béid Managementrollen. Dee Rekord ass et deen en reparéierten Transport vun enger erfollegräicher Registrierung trennt.

Wann de Modul endlech an FMC erschéngt, fuert déiselwecht dräi Kommandos nach eng Kéier aus a späichert d’Ausgab nieft dem Diagramm. Déi nächst Persoun déi dee Management-Segment beréiert wäert genau dee Verglach brauchen.