Failback ASA įrenginyje: kas iš tikrųjų juda, kai maršrutas grįžta
Maršruto grįžimas į pagrindinį dar nereiškia, kad seni srautai persikėlė. Stebėkite uplinką, tunelį, jungčių lentelę ir programos rezultatą kartu.
ASA su dviem uplinkais failback nėra atvirkštinis failover veiksmas. Maršrutas į peer pasikeičia, o tada platforma turi suderinti tris atskiras būsenos mašinas: maršrutų lentelę, IKE ir IPsec saugos asociacijas ir jungčių lentelę. Kiekviena gali atsilikti nuo kitų, ir būtent tas atsilikimas yra tai, ką dauguma žmonių vadina tuneliu, kuris negrįžta.
Ką failback iš tikrųjų keičia
Maršruto paieška yra matoma dalis. Kai stebimas objektas atsistato, stebimas maršrutas į peer išorinį adresą grįžta, o kitas ASA siunčiamas paketas vėl eina pagrindine jungtimi. Viskas po to priklauso nuo to, ar esama būsena atitinka naują kelią.
ARP ir NAT yra tylios priklausomybės. Naujam next hop reikia išsprendžiamos tarpinės stoties ir vertimo, kuris dar atitinka tolimąjį galą, kitaip pirmieji paketai po failback niekur nenueina, o maršrutas atrodo tvarkingai, nors niekas neveikia.
Keturi požiūriai vienoje laiko ašyje
Užrašykite tuos pačius keturis dalykus prieš perėjimą, jo metu ir po jo, nes viena akimirka negali pasakyti, kuris sluoksnis pajudėjo.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Maršrutas, kuris niekada nepasikeitė, ir maršrutas, kuris pasikeitė senesnei jungčiai išlaikius savo persiuntimo būseną, duoda tą patį nusiskundimą ir visiškai skirtingus įrodymus.
Kodėl senos jungtys lieka atsarginiame kelyje
ASA nenutraukia srauto todėl, kad pasikeitė maršrutas. Užmegztos jungtys išlaiko persiuntimo sprendimą, su kuriuo buvo sukurtos, o platforma siūlo atskirus valdiklius tam, kiek laiko tai leidžiama: floating-connection timeout ir connection holddown. Cisco ASA 9.24 prisijungimų nustatymų vadovas juos traktuoja kaip atskirus klausimus, ir būtent taip jie elgiasi. Vienas valdo esamo srauto išlikimą, kitas – kada nauji srautai gali naudoti pageidaujamą kelią.
Prieš keisdami bet kurį iš jų, perskaitykite jūsų versijai galiojančias reikšmes. Juos sumažinus uždaromos sesijos, kurias žmonės dar naudoja. Juos padidinus failback atrodo taip, lyg nebūtų įvykęs, nes naujos jungtys visą tą laiką eina senu keliu.
Tunelis nepersidera dėl raktų, nes grįžo maršrutas
IPsec saugos asociacijos turi savo suderėtą gyvavimo trukmę ir išgyvena maršruto pakeitimą, kuris jas nešė. Todėl tunelis gali likti pakeltas per failback, nors jo išorinis adresavimas nebeatitinka naudojamo kelio; tai argumentas už DPD ir už sprendimus, kurie fiksuoja peer adresą, o ne leidžia jam plaukti.
crypto-map ir VTI sprendimai čia elgiasi kitaip, o Cisco 9.24 VTI dokumentacija aprašo maršrutais pagrįstą variantą. Senas bendras teiginys, kad ASA negali vykdyti maršrutais pagrįstų VPN, galioja ne palaikomoms versijoms.
Skaitykite įrodymus šia tvarka
Pradėkite nuo valdymo plokštumos: show route pasirinktam keliui, show interface jungties būsenai ir SLA monitoriaus skaitikliai stebimam objektui. Tada perskaitykite show crypto ikev2 sa, arba IKEv1 atitikmenį, kad pamatytumėte, kuris peer gyvas, po to show crypto ipsec sa apsaugotiems srautams. Tuomet susiaurinkite jungčių lentelę su show conn address <host> ir palyginkite sąsajos stulpelį senuose ir naujuose įrašuose. Užrašykite išvestis su laiko žymomis, nes jų tvarka yra diagnozė.
Užbaikite programos testu: vienas srautas, kuris jau egzistavo, ir vienas, sukurtas po to, kai maršrutas grįžo. Jei senas srautas nepavyksta, o naujas veikia, turite jungties būsenos istoriją. Jei nepavyksta abu, tunelis arba politika neteisingi, o jungčių lentelė yra dėmesio nukreipimas.
Išlaikykite tą įrašą toje pačioje formoje visose trijose fazėse ir užrašykite tikslią versiją. Kai laiko ašis vis rodo į vieną perėjimą, siųskite įrašą palaikymo tarnybai, o ne spėliokite klaidos ID.