Модулот ASA FirePOWER нема управувачка рута до FMC

FMC го прикажува модулот како недостапен, регистрацијата останува на чекање, а ping од внатрешноста на ASA работи беспрекорно. Во постоечко распоредување на ASA FirePOWER таа комбинација е нормална. Модулот има сопствена управувачка адреса, сопствена стандардна порта и сопствени одлуки за рутирање, а споделувањето физичка управувачка врска со ASA на некои платформи не ги спојува во еден мрежен стек. Два уреда одговараат од две различни гледишта на истата жица.

Следното се однесува на модули што се веќе во употреба. Утврдете го моделот на куќиштето, типот на модулот и поддржаната верзија на софтверот пред да примените која било шема на порти од прирачник.

Нацртајте го модулот како посебен домаќин

Започнете ја шемата со управувачката IP-адреса на модулот, маската и стандардната порта, VLAN-от што навистина ја носи таа врска и адресата на FMC што треба да се достигне. Потоа, во одделен правоаголник, запишете ги адресите на интерфејсите на ASA и неговата целосна табела за рутирање. Ако двата правоаголници на крајот делат подмрежа со адреси на различни сопственици, го најдовте интересниот дел од проблемот.

Прирачникот за модулот ASA FirePOWER покажува како распоредот на портите се разликува меѓу платформите, вклучително споделено управувачко поврзување каде ASA и модулот имаат одделни адреси во истиот сегмент. Таа хардверска шема е влез за дизајнот, а не фуснота.

Најдете каде се прекинува повратниот пат

Земете распоред рутиран низ јадрото. Модулот го испраќа сообраќајот кон FMC во јадро на Layer 3, јадрото ја проследува далечната управувачка дестинација кон внатрешниот интерфејс на ASA, а VPN-от на локацијата го пренесува на другата страна. Потоа на далечната локација ѝ треба рута назад до управувачката подмрежа на модулот. Секој чекор во тој синџир може да биде точен додека таа последна рута недостасува, и затоа дефектот толку често изгледа како прекинат тунел.

Прочитајте го сопствениот поглед на ASA пред да смените нешто:

show interface ip brief
show route
show running-config interface

Третата команда е важна бидејќи адреса на интерфејс што сте ја заборавиле е токму она што го доведува повратниот пат на погрешен уред.

Проверете што ASA смета за поврзано

Ако ASA има адреса во управувачката подмрежа на модулот, неговата поврзана рута го поседува тој префикс. Статичката рута кон јадрото не го потиснува сопствеништвото на поврзаната рута, па пакетот се враќа кај ASA и застанува таму. Регистрацијата потоа не успева во точка што нема никаква врска со акредитивите.

Не заклучувајте дека одредена проверка против лажно претставување го отфрлила пакетот, освен ако пред себе немате сопствени набљудувања на уредот. Наместо тоа, споредете го влезниот интерфејс, избраната рута до дестинацијата и поддржаната граница на пренос меѓу управување и податоци за таа платформа. Овие три факти обично го откриваат конфликтот во топологијата пред некој да почне да ги ресетира клучевите за регистрација.

Изберете поправка што го држи модулот поврзан

Отстранувањето на адресата на ASA од тој сегмент и физичкото оневозможување споделена порта не се еквивалентни дејства. На платформи каде модулот оди по истата физичка управувачка врска, оневозможувањето на портата ја отстранува единствената врска на модулот — ќе сте претвориле проблем со рутирање во мртов уред. Претпочитајте ја промената што го прераспределува сопствеништвото на управувачкото рутирање и подгответе ја со присутен сопственик на мрежата.

Втора поддржана опција е административниот пат на ASA да добие свој сегмент, така што управувачката подмрежа на модулот ќе има еден сопственик. Тоа чини една адреса и малку документација и трајно ја отстранува двосмисленоста. Кој и пат да го изберете, потоа потврдете дека модулот сè уште достигнува и FMC и своите DNS или NTP извори.

Регистрирајте се само откако патот ќе биде усогласен

Кога повратниот пат е чист, испланирајте ја управувачката поврзаност и параметрите за регистрација според соодветниот прирачник за издание на FMC и модулот. Држете ги тајните за регистрација надвор од споделени белешки и тикети и спротивставете се на искушението повторно да се регистрирате како дијагностички чекор: нов клуч на прекинат пат произведува само ист дефект со понов временски печат.

Прифатете го патот од сопствениот управувачки стек на модулот, а не од ping што потекнува од ASA, бидејќи изворот на тестот е токму она што е под сомнение. Запишете го следниот скок на модулот, изборот на VPN на ASA и рутата на одговорот на FMC и одржувајте независен метод за обновување за двете управувачки улоги. Токму тој запис го дели поправениот транспорт од успешната регистрација.

Кога модулот конечно ќе се појави во FMC, повторно извршете ги истите три команди и зачувајте го излезот до шемата. Следниот човек што ќе го допре тој управувачки сегмент ќе има потреба токму од таа споредба.