ASA FirePOWER modulim nav pārvaldības maršruta uz FMC

FMC rāda moduli kā nesasniedzamu, reģistrācija paliek gaidīšanas stāvoklī, bet ping no ASA iekšpuses darbojas nevainojami. Esošā ASA FirePOWER izvietojumā šī kombinācija ir normāla. Modulim ir sava pārvaldības adrese, sava noklusējuma vārteja un savi maršrutēšanas lēmumi, un fiziskas pārvaldības savienojuma koplietošana ar ASA dažās platformās tos nesaplūdina vienā tīkla stekā. Divas ierīces atbild no diviem dažādiem skatupunktiem vienā vadā.

Tālāk teiktais attiecas uz moduļiem, kas jau ir ekspluatācijā. Pirms jebkādas portu shēmas piemērošanas no rokasgrāmatas nosakiet korpusa modeli, moduļa tipu un atbalstīto programmatūras versiju.

Uzzīmējiet moduli kā atsevišķu resursdatoru

Sāciet shēmu ar moduļa pārvaldības IP, masku un noklusējuma vārteju, VLAN, kas faktiski pārvadā šo savienojumu, un FMC adresi, kas jāsasniedz. Pēc tam atsevišķā laukā ierakstiet ASA saskarņu adreses un pilnu maršrutēšanas tabulu. Ja abi lauki galu galā dala apakštīklu ar dažādu īpašnieku adresēm, esat atradis interesanto problēmas daļu.

ASA FirePOWER moduļa rokasgrāmata parāda, kā portu izvietojums atšķiras starp platformām, tostarp koplietotu pārvaldības vadu, kur ASA un modulim ir atsevišķas adreses vienā segmentā. Šī aparatūras shēma ir projektēšanas ievade, nevis zemsvītras piezīme.

Atrodiet, kur pārtrūkst atgriešanās ceļš

Ņemiet maršrutētu caur kodolu izvietojumu. Modulis sūta uz FMC vērstu trafiku uz Layer 3 kodolu, kodols pārsūta attālo pārvaldības galamērķi uz ASA iekšējo saskarni, un vietas VPN pārnes to uz otru pusi. Tad attālajai vietai ir vajadzīgs maršruts atpakaļ uz moduļa pārvaldības apakštīklu. Katrs solis šajā ķēdē var būt pareizs, kamēr trūkst tā pēdējā maršruta, un tāpēc kļūme tik bieži izskatās kā pārtraukts tunelis.

Pirms kaut ko mainīt, izlasiet pašas ASA skatījumu:

show interface ip brief
show route
show running-config interface

Trešā komanda ir svarīga, jo aizmirstā saskarnes adrese ir tieši tas, kas atgriešanās ceļu nolaiž uz nepareizās ierīces.

Pārbaudiet, ko ASA uzskata par pievienotu

Ja ASA ir adrese moduļa pārvaldības apakštīklā, tās pievienotais maršruts pieder šim prefiksam. Statiskais maršruts uz kodolu neizspiež pievienotā maršruta īpašumtiesības, tāpēc pakete atgriežas pie ASA un tur apstājas. Reģistrācija tad neizdodas punktā, kam nav nekāda sakara ar akreditācijas datiem.

Neseciniet, ka konkrēta viltošanas novēršanas pārbaude izmeta paketi, ja vien jums priekšā nav pašas ierīces novērojumu. Tā vietā salīdziniet ienākošo saskarni, izvēlēto galamērķa maršrutu un šai platformai atbalstīto pārvaldības un datu pārsūtīšanas robežu. Šie trīs fakti parasti atklāj topoloģijas konfliktu, pirms kāds sāk atiestatīt reģistrācijas atslēgas.

Izvēlieties labojumu, kas moduli notur pievienotu

ASA adreses noņemšana no šī segmenta un koplietotā porta fiziska atspējošana nav līdzvērtīgas darbības. Platformās, kur modulis iet pa to pašu fizisko pārvaldības savienojumu, porta atspējošana noņem vienīgo moduļa saiti — jūs būtu pārvērtis maršrutēšanas problēmu mirušā ierīcē. Dodiet priekšroku izmaiņām, kas pārdala pārvaldības maršrutēšanas īpašumtiesības, un sagatavojiet tās tīkla īpašnieka klātbūtnē.

Otra atbalstītā iespēja ir dot ASA administratīvajam ceļam savu segmentu, lai moduļa pārvaldības apakštīklam būtu viens īpašnieks. Tas izmaksā vienu adresi un nedaudz dokumentācijas, un pilnībā novērš neskaidrību. Neatkarīgi no izvēlētā ceļa pēc tam pārliecinieties, ka modulis joprojām sasniedz gan FMC, gan savus DNS vai NTP avotus.

Reģistrējieties tikai tad, kad ceļš ir konsekvents

Kad atgriešanās ceļš ir tīrs, plānojiet pārvaldības savienojamību un reģistrācijas parametrus saskaņā ar atbilstošo FMC un moduļa laidiena rokasgrāmatu. Turiet reģistrācijas noslēpumus ārpus koplietotām piezīmēm un biļetēm un pretstatieties kārdinājumam reģistrēties no jauna kā diagnostikas solim: jauna atslēga bojātā ceļā rada tikai to pašu kļūmi ar jaunāku laika zīmogu.

Pieņemiet ceļu no paša moduļa pārvaldības steka, nevis no ASA iniciēta ping, jo testa avots ir tieši tas, kas ir aizdomās. Ierakstiet moduļa nākamo lēcienu, ASA VPN izvēli un FMC atbildes maršrutu, un uzturiet neatkarīgu atkopšanas metodi abām pārvaldības lomām. Tieši šis ieraksts atdala salabotu transportu no veiksmīgas reģistrācijas.

Kad modulis beidzot parādās FMC, atkārtoti palaidiet tās pašas trīs komandas un saglabājiet izvadi blakus shēmai. Nākamajai personai, kas aizskars šo pārvaldības segmentu, būs vajadzīgs tieši šis salīdzinājums.