Failback ASA ierīcē: kas patiešām pārvietojas, kad maršruts atgriežas
Maršruta atgriešanās uz primāro nenozīmē, ka vecās plūsmas ir pārvietotas. Vienlaikus vērojiet uplinku, tuneli, savienojumu tabulu un lietotnes rezultātu.
ASA ar diviem uplinkiem failback nav failover pretstats. Maršruts uz peer mainās, un pēc tam platformai jāsaskaņo trīs atsevišķas stāvokļa mašīnas: maršrutu tabula, IKE un IPsec drošības asociācijas un savienojumu tabula. Katra var atpalikt no pārējām, un tieši šo aizkavi vairums cilvēku raksturo kā tuneli, kas neatgriežas.
Ko failback patiešām maina
Maršruta meklēšana ir redzamā daļa. Kad uzraudzītais objekts atjaunojas, uzraudzītais maršruts uz peer ārējo adresi atgriežas, un nākamā pakete, ko ASA sūta, atkal iet pa primāro saiti. Viss pēc tam ir atkarīgs no tā, vai esošais stāvoklis atbilst jaunajam ceļam.
ARP un NAT ir klusās atkarības. Jaunam next hop vajag atrisināmu vārteju un tulkojumu, kas joprojām atbilst tālajam galam, citādi pirmās paketes pēc failback nekur neaiziet, un maršruts izskatās kārtībā, kamēr nekas nedarbojas.
Četri skatījumi vienā laika līnijā
Pierakstiet tos pašus četrus aspektus pirms pārejas, tās laikā un pēc tam, jo viens momentuzņēmums nevar pateikt, kurš slānis pārvietojās.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Maršruts, kas nekad nav mainījies, un maršruts, kas mainījās, kamēr vecāks savienojums saglabāja savu pārsūtīšanas stāvokli, dod vienu un to pašu sūdzību un pilnīgi atšķirīgus pierādījumus.
Kāpēc vecie savienojumi paliek rezerves ceļā
ASA nepārtrauc plūsmu tāpēc, ka mainījās maršruts. Izveidotie savienojumi saglabā pārsūtīšanas lēmumu, ar kādu tie tika izveidoti, un platforma piedāvā atsevišķas vadības, cik ilgi tas ir atļauts: floating-connection timeout un connection holddown. Cisco ASA 9.24 savienojumu iestatījumu rokasgrāmata tos uzskata par atsevišķiem jautājumiem, un tieši tā tie arī uzvedas. Viens pārvalda esošās plūsmas izdzīvošanu, otrs – kad jaunās plūsmas drīkst izmantot vēlamo ceļu.
Pirms mainīt jebkuru no tiem, izlasiet jūsu versijai spēkā esošās vērtības. To samazināšana aizver sesijas, ko cilvēki vēl lieto. To palielināšana liek failback izskatīties tā, it kā tas nebūtu noticis, jo jaunie savienojumi visu laiku iet pa veco ceļu.
Tunelis neveic atslēgu atkārtotu saskaņošanu tāpēc, ka atgriezās maršruts
IPsec drošības asociācijām ir sava saskaņotā dzīves ilgums, un tās pārdzīvo maršruta maiņu, kas tās nesa. Tāpēc tunelis var palikt augšā visā failback laikā, kamēr tā ārējā adresācija vairs neatbilst izmantotajam ceļam; tas ir arguments par labu DPD un risinājumiem, kas fiksē peer adresi, nevis ļauj tai peldēt.
crypto-map un VTI risinājumi šeit uzvedas citādi, un Cisco 9.24 VTI dokumentācija apraksta maršrutā balstīto variantu. Vecais vispārīgais apgalvojums, ka ASA nevar darbināt maršrutā balstītus VPN, uz atbalstītajām versijām neattiecas.
Lasiet pierādījumus šajā secībā
Sāciet ar vadības plakni: show route izvēlētajam ceļam, show interface saites stāvoklim un SLA monitora skaitītāji uzraudzītajam objektam. Pēc tam izlasiet show crypto ikev2 sa vai IKEv1 ekvivalentu, lai redzētu, kurš peer ir dzīvs, un tad show crypto ipsec sa aizsargātajām plūsmām. Tad sašauriniet savienojumu tabulu ar show conn address <host> un salīdziniet saskarnes kolonnu vecajos un jaunajos ierakstos. Pierakstiet izvades ar laika zīmogiem, jo to secība ir diagnoze.
Beidziet ar lietotnes testu: viena plūsma, kas jau pastāvēja, un viena, kas izveidota pēc maršruta atgriešanās. Ja vecā plūsma neizdodas un jaunā darbojas, jums ir savienojuma stāvokļa stāsts. Ja neizdodas abas, tunelis vai politika ir nepareizi, un savienojumu tabula ir uzmanības novēršana.
Turiet šo pierakstu tādā pašā formā visās trijās fāzēs un pierakstiet precīzo versiju. Kad laika līnija joprojām norāda uz vienu pāreju, sūtiet pierakstu atbalsta dienestam, nevis miniet kļūdas ID.