Divas kripto kartes, viena plūsma: vēlākais ieraksts nav rezerve

Pievienojiet otru kripto kartes ierakstu tam pašam adrešu pārim, vērsiet to uz citu peer, un jūs esat uzrakstījis pārejas kļūmes laikā plānu. Tas ir mīts, un tas izdzīvo, jo izskatās kā jebkurš cits jūsu konfigurētais sakārtotais saraksts. Kripto kartes secība nosaka, kurš ieraksts pieprasa jaunu plūsmu, nevis kurš ieraksts pārņem, kad peer pārstāj atbildēt. Nekas tajā sarakstā neuzrauga tālo galu, tāpēc otrais ieraksts vienkārši sēž tur un neko nepieprasa.

Mīts: secība nozīmē rezervi

Sakārtots saraksts ar diviem ierakstiem un vienu kopīgu definīciju šķiet kā primārais un sekundārais. Līdzība beidzas sintaksē. Cisco ASA dokumentācija apraksta kripto karti kā politikas modeli, kas saskaņo aizsargāto trafiku un nosauc tam peer izvietojumu, un saskaņošana notiek pret ierakstu, kas plūsmu pieprasa pirmais. Attālināta peer pieejamība nav šī novērtējuma daļa.

Tas, ko esat uzbūvējis, ir politika, kurai šai plūsmai nekad netiks jautāts, plus komentārs izmaiņu ierakstā, kas apgalvo dublēšanos.

Secība pieprasa plūsmu, un tikai vienreiz

Katrs ieraksts satur piekļuves kontroles sarakstu vai aizsargātas plūsmas definīciju, un katrs jauns izejošais pakets tiek salīdzināts ar šīm definīcijām secībā. Pirmais ieraksts, kura definīcija atbilst, pieder plūsma un tās peer. Otrs ieraksts ar identisku definīciju nekad nesaņem kārtu, jo pirmais jau atbilda; otrs ieraksts ar šaurāku definīciju apkalpo tikai plūsmas, ko pirmais nepieprasīja.

Šī uzvedība ir noderīga, kad apzināti izgriežat izņēmumus no plašas politikas, un tā ir bezjēdzīga kā pārejas kļūmes laikā mehānisms. Pārbaudiet, kas faktiski notika ar show crypto map un show crypto ipsec sa peer, pēc tam izsekojiet sintētisku paketi pa ceļu, kuru, jūsuprāt, tas izmanto. Izsekošana nosauks ierakstu, kas to pieprasīja, un tā ir vienīgā atbilde, kurai ir nozīme.

Maršruta izvēle un politikas īpašumtiesības ir atsevišķi lēmumi

Maršrutēšanas tabula atbild, kur pakets tiek pārsūtīts. Kripto politika atbild, kura aizsardzība un kurš peer attiecas uz izvēlēto trafiku. Avota un galamērķa pāra dublēšana zem cita peer maina otro lēmumu un atstāj pirmo neskartu, tāpēc atbildes joprojām var sekot vecajai vārtejai, kamēr izejošais pakets izvēlas jauno peer. Šī asimetrija rada tuneli, kas ziņo, ka darbojas, un neko nelaiž cauri.

Saglabājiet arī līgumu ar tālo galu abpusēju: pieņemtā identitāte, aizsargātie adrešu diapazoni, atgriešanās maršruts interesantajiem prefiksiem un atļauja pakalpojumam. Alternatīva izejošā izvēle, ko otra puse negaida, nav alternatīvs ceļš, tā ir puse no tā.

Kas vajadzīgs īstam alternatīvam ceļam

Izvēlieties uzdevumam paredzētu mehānismu: atbalstītu peer kandidātu grupu, maršrutētu tuneli ar peldošu statisko vai dinamisko maršrutēšanas blakusumu tam pāri, vai jebkuru dublēšanas dizainu, ko jūsu platforma dokumentē šim pakalpojumam. Pēc tam pierakstiet, kura komponente konstatē kļūmi un kura komponente izvēlas alternatīvu, jo tās ir divas dažādas funkcijas un bieži divas dažādas komandas.

Adrešu tulkošana var arī dot vietnei otru uzrādīto adresi, bet tā vienlaikus maina selektorus, reģistrēšanu un uz avotu balstītus piekļuves noteikumus. Uztveriet to kā skaidru prasību, nevis kā apietu risinājumu diviem neskaidriem ierakstiem.

Pārbaudiet trīs stāvokļus, nevis vienu

Konfigurācija ir pabeigta tikai tad, kad tai ir aizstāvams atbilde normālai darbībai, primārā kļūmes stāvoklim un atgriešanās pie primārā. Pārbaudiet visus trīs un pierakstiet, kurš politikas ieraksts un kurš peer apkalpoja katru. Tests, kas apstājas pēc pirmā stāvokļa, pierāda, ka dizains darbojas, kad nekas nav nepareizi, un tas ir stāvoklis, kas jums nebija jāpārbauda.

Šķiriet arī konfigurēto pārklāšanos no likumīgās veco un jauno asociāciju līdzāspastāvēšanas atslēgu atjaunošanas laikā. Vairāki aktīvi SA ir normāli un pagaidu; divi ieraksti, kas cīnās par vienu plūsmu, ir pastāvīgi un neredzami.