Failback на ASA: што навистина се поместува кога рутата се враќа
Повторното враќање на рутата на примарниот пат не значи дека старите текови се преместиле. Набљудувајте ги заедно uplink врската, тунелот, табелата со врски и резултатот од апликацијата.
На ASA со два uplink, failback не е обратен процес на failover. Рутата кон peer се менува, а потоа платформата треба да усогласи три одделни машини на состојба: табелата со рути, безбедносните асоцијации IKE и IPsec и табелата со врски. Секоја може да заостане зад другите, и токму тоа заостанување повеќето луѓе го опишуваат како тунел што не се враќа.
Што всушност менува failback
Пребарувањето на рута е видливиот дел. Кога надгледуваниот објект се обнови, надгледуваната рута кон надворешната адреса на peer се враќа, и следниот пакет што ASA го праќа повторно оди по примарната врска. Сè потоа зависи од тоа дали постоечката состојба се согласува со новиот пат.
ARP и NAT се тивките зависности. Новиот next hop бара резолвирачки gateway и превод што сè уште одговара на далечниот крај, инаку првите пакети по failback не одат никаде, а рутата изгледа добро додека ништо не работи.
Четири погледи на една временска линија
Запишете ги истите четири работи пред преминот, за време на преминот и по него, бидејќи еден снимок не може да ви каже кој слој се поместил.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Рута што никогаш не се сменила и рута што се сменила додека постара врска го задржала своето состојба на проследување даваат иста жалба и сосема различни докази.
Зошто старите врски остануваат на резервниот пат
ASA не раскинува тек затоа што се сменила рута. Воспоставените врски ја задржуваат одлуката за проследување со која се создадени, а платформата нуди одделни контроли за тоа колку долго е дозволено: floating-connection timeout и connection holddown. упатството на Cisco за поставки на врски во ASA 9.24 на Cisco ги третира како различни прашања, и точно така се однесуваат. Едниот управува со преживувањето на постоечки тек, другиот со тоа кога новите текови смеат да го користат претпочитаниот пат.
Прочитајте ги важечките вредности за вашето издание пред да промените која било од двете. Нивното намалување затвора сесии што луѓето сè уште ги користат. Нивното покачување го прави failback да изгледа како никогаш да не се случил, бидејќи новите врски цело време одат по стариот пат.
Тунелот не разменува клучеви повторно затоа што се врати рута
Безбедносните асоцијации IPsec носат свој преговаран животен век и преживуваат ја промената на рутата што ги носела. Затоа тунелот може да остане подигнат низ failback додека неговото надворешно адресирање повеќе не одговара на патот што се користи; тоа е аргументот за DPD и за дизајни што ја фиксираат адресата на peer наместо да ја оставаат да лебди.
Crypto-map и VTI дизајните се однесуваат поинаку овде, а документацијата на Cisco за 9.24 VTI ја опишува опцијата заснована на рути. Стариот општ тврдење дека ASA не може да работи VPN засновани на рути не важи за поддржаните изданија.
Читајте ги доказите по овој ред
Почнете од контролната рамнина: show route за избраниот пат, show interface за состојбата на врската и бројачите на SLA мониторот за надгледуваниот објект. Потоа прочитајте show crypto ikev2 sa, или еквивалентот за IKEv1, за да видите кој peer е жив, по што show crypto ipsec sa за заштитените текови. Потоа стеснете ја табелата со врски со show conn address <host> и споредете ја колоната за интерфејс кај старите и новите записи. Запишете ги излезите со временски ознаки, бидејќи нивниот редослед е дијагнозата.
Завршете со тест на апликација: еден тек што веќе постоел и еден создаден откако рутата се вратила. Ако стариот тек не успее, а новиот работи, имате приказна за состојбата на врската. Ако обата не успеат, тунелот или политиката се погрешни, а табелата со врски е одвлекување.
Чувајте го тој запис во иста форма во сите три фази и забележете го точното издание. Кога временската линија постојано покажува на еден премин, пратете го записот до поддршката наместо да погодувате ID на грешка.