Du kriptografijos žemėlapiai, vienas srautas: vėlesnis įrašas nėra atsarginė kopija

Pridėkite antrą kriptografijos žemėlapio įrašą tai pačiai adresų porai, nukreipkite jį į kitą peer ir jūs parašėte perjungimo gedimo metu planą. Tai mitas, ir jis išlieka todėl, kad atrodo kaip bet kuris kitas jūsų sukonfigūruotas tvarkingas sąrašas. Kriptografijos žemėlapio seka nusprendžia, kuris įrašas pareikalauja naujo srauto, o ne kuris įrašas perima, kai peer nustoja atsakinėti. Niekas tame sąraše nestebi tolimojo galo, todėl antrasis įrašas tiesiog sėdi ten ir nieko neprašo.

Mitas: tvarka reiškia atsarginį variantą

Tvarkingas sąrašas su dviem įrašais ir viena bendra apibrėžtimi atrodo kaip pirminis ir antrinis. Panašumas baigiasi sintaksėje. Cisco ASA dokumentacija aprašo kriptografijos žemėlapį kaip politikos modelį, kuris suderina apsaugotą srautą ir nurodo jam peer išdėstymą, o suderinimas vyksta su įrašu, kuris pirmasis pareikalauja srauto. Nuotolinio peer prieinamumas nėra to vertinimo dalis.

Tai, ką sukūrėte, yra politika, kurios šiam srautui niekada nebus klausiama, plius komentaras pakeitimų įraše, kuris teigia perteklių.

Seka pareikalauja srauto, ir tik vieną kartą

Kiekvienas įrašas turi prieigos valdymo sąrašą arba apsaugoto srauto apibrėžtį, o kiekvienas naujas išeinantis paketas lyginamas su tomis apibrėžtimis seka. Pirmasis įrašas, kurio apibrėžtis atitinka, valdo srautą ir jo peer. Antrasis įrašas su identiška apibrėžtimi niekada negauna eilės, nes pirmasis jau atitiko; antrasis įrašas su siauresne apibrėžtimi aptarnauja tik srautus, kurių pirmasis nepaprašė.

Šis elgesys naudingas, kai sąmoningai išpjaunate išimtis iš plačios politikos, ir jis nenaudingas kaip perjungimo gedimo metu mechanizmas. Patikrinkite, kas iš tikrųjų įvyko su show crypto map ir show crypto ipsec sa peer, tada sekite sintetinį paketą keliu, kuriuo, jūsų manymu, jis eina. Sekimas įvardys įrašą, kuris jo pareikalavo, ir tai vienintelis atsakymas, kuris svarbus.

Maršruto pasirinkimas ir politikos nuosavybė yra atskiri sprendimai

Maršrutizavimo lentelė atsako, kur paketas persiunčiamas. Kriptografijos politika atsako, kokia apsauga ir kuris peer taikomi pasirinktam srautui. Šaltinio ir paskirties poros dubliavimas po kitu peer pakeičia antrąjį sprendimą ir palieka pirmąjį nepaliestą, todėl atsakymai gali vis dar sekti senąjį tinklų sietuvą, kol išeinantis paketas ima naują peer. Ši asimetrija sukuria tunelį, kuris praneša, kad veikia, ir nieko nepraleidžia.

Išlaikykite sutartį su tolimuoju galu abipusę: priimta tapatybė, apsaugoti adresų diapazonai, grįžimo maršrutas įdomiems prefiksams ir leidimas paslaugai. Alternatyvus išeinantis pasirinkimas, kurio kita pusė nesitiki, nėra alternatyvus kelias, tai pusė jo.

Ko reikia tikram alternatyviam keliui

Pasirinkite užduočiai sukurtą mechanizmą: palaikomą peer kandidatų grupę, maršrutizuotą tunelį su plaukiojančiu statiniu arba dinaminiu maršrutizavimo gretimumu per jį, arba bet kokį atsparumo projektą, kurį jūsų platforma dokumentuoja tai paslaugai. Tada užrašykite, kuris komponentas aptinka gedimą ir kuris komponentas pasirenka alternatyvą, nes tai dvi skirtingos funkcijos ir dažnai dvi skirtingos komandos.

Adresų vertimas taip pat gali suteikti svetainei antrą pateikiamą adresą, bet jis tuo pačiu metu keičia selektorius, registravimą ir šaltiniu pagrįstas prieigos taisykles. Traktuokite tai kaip aiškų reikalavimą, o ne kaip apeinamąjį sprendimą dviem dviprasmiškiems įrašams.

Išbandykite tris būsenas, ne vieną

Konfigūracija baigta tik tada, kai ji turi apginamą atsakymą normaliam veikimui, pirminio gedimo būsenai ir grįžimui prie pirminio. Išbandykite visas tris ir užrašykite, kuri politikos įrašo ir kuris peer aptarnavo kiekvieną. Testas, kuris sustoja po pirmos būsenos, įrodo, kad dizainas veikia, kai nieko blogo nėra, ir tai būsena, kurios jums nereikėjo tikrinti.

Taip pat atskirkite sukonfigūruotą persidengimą nuo teisėto senų ir naujų asociacijų sambūvio raktų atnaujinimo metu. Keli aktyvūs SA yra normalūs ir laikini; du įrašai, kovojantys dėl vieno srauto, yra nuolatiniai ir nematomi.