ASA FirePOWER modulis neturi valdymo maršruto į FMC

FMC rodo modulį kaip nepasiekiamą, registracija lieka laukimo būsenoje, o ping iš ASA vidaus veikia nepriekaištingai. Esamoje ASA FirePOWER diegimo aplinkoje šis derinys yra normalus. Modulis turi savo valdymo adresą, savo numatytąjį šliuzą ir savo maršrutizavimo sprendimus, o fizinės valdymo jungties dalijimasis su ASA kai kuriose platformose nesulieja to į vieną tinklo steką. Du įrenginiai atsako iš dviejų skirtingų požiūrių tame pačiame laide.

Toliau pateikta taikoma moduliams, kurie jau eksploatuojami. Prieš taikydami bet kokią prievadų schemą iš vadovo, nustatykite korpuso modelį, modulio tipą ir palaikomą programinės įrangos versiją.

Nubraižykite modulį kaip atskirą hostą

Pradėkite schemą nuo modulio valdymo IP, kaukės ir numatytojo šliuzo, VLAN, kuris iš tikrųjų perduoda tą jungtį, ir FMC adreso, kurį reikia pasiekti. Tada atskirame langelyje užrašykite ASA sąsajų adresus ir visą jos maršrutizavimo lentelę. Jei abu langeliai galiausiai dalijasi potinkliu su skirtingų savininkų adresais, radote įdomiąją problemos dalį.

ASA FirePOWER modulio vadovas rodo, kaip prievadų išdėstymas skiriasi tarp platformų, įskaitant bendrą valdymo laidus, kai ASA ir modulis tame pačiame segmente turi atskirus adresus. Ta aparatinės įrangos schema yra projektavimo įvestis, o ne išnaša.

Raskite, kur nutrūksta grįžimo kelias

Imkite branduoliu maršrutizuotą išdėstymą. Modulis siunčia į FMC skirtą srautą į Layer 3 branduolį, branduolys perduoda nuotolinę valdymo paskirties vietą ASA vidinės sąsajos link, o vietos VPN perneša tai į kitą pusę. Tada nuotolinei vietai reikia maršruto atgal į modulio valdymo potinklį. Kiekvienas tos grandinės žingsnis gali būti teisingas, kol to paskutinio maršruto trūksta, ir todėl gedimas taip dažnai atrodo kaip nutrūkęs tunelis.

Prieš ką nors keisdami perskaitykite pačios ASA vaizdą:

show interface ip brief
show route
show running-config interface

Trečioji komanda svarbi, nes pamirštas sąsajos adresas yra būtent tai, kas nukreipia grįžimo kelią į netinkamą įrenginį.

Patikrinkite, ką ASA laiko prijungtu

Jei ASA turi adresą modulio valdymo potinklyje, jo prijungtas maršrutas valdo tą prefiksą. Statinis maršrutas branduolio link neišstumia prijungto maršruto nuosavybės, todėl paketas grįžta į ASA ir ten sustoja. Registracija tada nepavyksta taške, kuris neturi nieko bendra su prisijungimo duomenimis.

Nedarykite išvados, kad konkreti apsaugos nuo klastojimo patikra atmetė paketą, jei priešais neturite paties įrenginio stebėjimų. Vietoj to palyginkite įeinantį sąsają, pasirinktą paskirties maršrutą ir tos platformos palaikomą valdymo bei duomenų perdavimo ribą. Šie trys faktai paprastai atskleidžia topologijos konfliktą prieš kam nors pradedant iš naujo nustatyti registracijos raktus.

Pasirinkite pataisą, kuri palieka modulį prijungtą

Pašalinti ASA adresą iš to segmento ir fiziškai išjungti bendrą prievadą nėra lygiaverčiai veiksmai. Platformose, kuriose modulis eina ta pačia fizine valdymo jungtimi, prievado išjungimas pašalina vienintelę modulio jungtį — pavertėte maršrutizavimo problemą negyvu įrenginiu. Pirmenybę teikite pakeitimui, kuris perskirsto valdymo maršrutizavimo nuosavybę, ir parengkite jį dalyvaujant tinklo savininkui.

Antra palaikoma galimybė yra suteikti ASA administraciniam keliui atskirą segmentą, kad modulio valdymo potinklis turėtų vieną savininką. Tai kainuoja vieną adresą ir šiek tiek dokumentacijos, ir visam laikui pašalina dviprasmiškumą. Kad ir kurį kelią pasirinktumėte, po to patvirtinkite, kad modulis vis dar pasiekia ir FMC, ir savo DNS ar NTP šaltinius.

Registruokitės tik tada, kai kelias nuoseklus

Kai grįžimo kelias švarus, suplanuokite valdymo jungiamumą ir registracijos parametrus pagal atitinkamą FMC ir modulio leidimo vadovą. Laikykite registracijos paslaptis už bendrų užrašų ir bilietų ribų ir atsispirkite pagundai registruotis iš naujo kaip diagnostikos žingsniui: naujas raktas nutrūkusiame kelyje tik sukuria tą patį gedimą su naujesne laiko žyma.

Priimkite kelią iš paties modulio valdymo steko, o ne iš ASA inicijuoto ping, nes bandymo šaltinis yra būtent tai, kas kelia įtarimą. Užrašykite kito modulio šuolį, ASA VPN pasirinkimą ir FMC atsakymo maršrutą bei palaikykite nepriklausomą atkūrimo metodą abiem valdymo vaidmenims. Būtent tas įrašas atskiria suremontuotą transportą nuo sėkmingos registracijos.

Kai modulis pagaliau pasirodys FMC, paleiskite tas pačias tris komandas iš naujo ir išsaugokite išvestį šalia schemos. Kitam žmogui, kuris palies tą valdymo segmentą, prireiks būtent šio palyginimo.