Zwee Krypto-Maps, ee Flow: den späteren Entrag ass kee Backup

Füügt en zweete Crypto-Map-Entrag fir dat selwecht Adresspaar derbäi, riicht en op en aneren Peer a si hutt en Failover-Plang geschriwwen. Dat ass de Mythos, an en iwwerlieft, well en ausgesäit wéi all aner geuerdnet Lëscht, déi Dir konfiguréiert hutt. D'Reiefolleg an enger Crypto-Map entscheet, wéi en Entrag en neie Flow beansprucht, net wéi en Entrag iwwerhëlt, wann e Peer ophält ze äntweren. Näischt an där Lëscht iwwerwaacht de wäiten Enn, also sëtzt den zweeten Entrag do an beansprucht iwwerhaapt näischt.

De Mythos: Reiefolleg bedeit Auswäich

Eng geuerdnet Lëscht mat zwee Enträg an enger gemeinsamer Definitioun fillt sech wéi primär a sekundär. D'Ähnlechkeet endt bei der Syntax. D'ASA-Dokumentatioun vu Cisco beschreift d'Crypto-Map als de Policy-Modell, deen de geschützte Verkéier matseet an d'Peer-Uerdnung dofir nennt, an d'Matse geschitt géint den Entrag, deen de Flow als éischten beansprucht. D'Disponibilitéit vun engem wäite Peer ass net Deel vun där Bewäertung.

Wat Dir gebaut hutt, ass eng Policy, déi ni fir dee Flow consultéiert gëtt, plus eng Bemierkung an engem Ännerungsrekord, déi Redundanz behaapt.

D'Reiefolleg beansprucht de Flow, an nëmmen eng Kéier

All Entrag hält eng Zougangskontrolllëscht oder eng Definitioun vun engem geschützte Flow, an all neit erausgoend Paket gëtt an der Reiefolleg mat dësen Definitioune verglach. Den éischten Entrag, deem seng Definitioun passt, besëtzt de Flow an säi Peer. En zweeten Entrag mat enger identescher Definitioun kritt ni eng Ronn, well den éischten schonn gepasst huet; en zweeten Entrag mat enger méi enker Definitioun déngt nëmme Flows, déi den éischten net beansprucht huet.

Dëst Verhalen ass nëtzlech, wann Dir bewosst Ausnamen aus enger breeder Policy erausschneid, an et ass als Failover-Mechanismus nëtzlos. Préift, wat tatsächlech geschitt ass, mat show crypto map an show crypto ipsec sa peer, a verfollegt dann en syntheetesche Paket iwwer de Wee, vun deem Dir mengt, datt en en hëlt. D'Verfollegung nennt den Entrag, deen en beansprucht huet, an dat ass déi eenzeg Äntwert, déi zielt.

Routenselektioun a Policy-Eegentum sinn getrennt Entscheedungen

Eng Routingtabell äntwert, wou de Paket weidergeleet gëtt. D'Crypto-Policy äntwert, wéi eng Protektioun a wéi e Peer fir den ausgewielte Verkéier gëllen. D'Duplizéieren vun engem Quell- an Destinatiounspaar ënner engem aneren Peer ännert déi zweet Entscheedung an léisst déi éischt onberéiert, also kënnen Äntwerten nach ëmmer dem ale Gateway follegen, während dat erausgoend Paket den neie Peer hëlt. Dës Asymmetrie produzéiert en Tunnel, dee sech als aktiv mellt an näischt duerchléisst.

Halt och de Kontrakt mat dem wäiten Enn géigesäiteg: akzeptéiert Identitéit, geschützt Adressberäicher, eng Réckroute fir déi interessant Prefixen an d'Erlaabnis fir de Service. Eng alternativ erausgoend Wiel, déi déi aner Säit net erwaart, ass kee alternative Wee, et ass d'Halschent vun engem.

Wat en echte alternative Wee brauch

Wielt e Mechanismus, dee fir d'Aufgab entworf ass: eng ënnerstëtzt Grupp vu Peer-Kandidaten, en gerouteten Tunnel mat enger schwiewender statescher oder dynamescher Routing-Nopeschschaft driwwer, oder wéi en Redundanzdesign Är Plattform fir dee Service och ëmmer dokumentéiert. Schreift dann op, wéi eng Komponent de Feeler erkennt a wéi eng Komponent d'Alternativ auswielt, well dat sinn zwou verschidden Funktiounen an dacks zwou verschidden Equippen.

Adressiwwersetzung kann engem Site och eng zweet presentéiert Adress ginn, awer et ännert gläichzäiteg Selektoren, Logging a quellbaséiert Zougangsregelen. Behandelt dat als explizit Ufuerderung an net als Ëmwee fir zwee onkloer Enträg.

Test dräi Zoustänn, net een

D'Konfiguratioun ass eréischt fäerdeg, wann se eng verdedegbar Äntwert fir den normale Betrib, fir den Zoustand vum ausgefallene Primär an fir d'Réckkehr zum Primär huet. Test all dräi a notéiert, wéi en Policy-Entrag a wéi e Peer all eenzel gedéngt huet. En Test, deen no dem éischten Zoustand ophält, beweist, datt den Design funktionéiert, wann näischt falsch ass, an dat ass dee Zoustand, deen Dir net misst préiwen.

Ënnerscheet och konfiguréiert Iwwerlappung vun der legitimer Koexistenz vun ale an neie Verbänn während enger Schlësselerneierung. Méi aktiv SA sinn normal a temporär; zwee Enträg, déi ëm een Flow kämpfen, si permanent an onsichtbar.