Две крипто мапи, еден тек: подоцнежниот запис не е резерва

Додадете втор запис во крипто мапата за истиот пар адреси, насочете го кон друг партнер и имате напишано план за префрлање при дефект. Тоа е митот и тој опстојува зашто изгледа како секоја друга подредена листа што сте ја конфигурирале. Редоследот во крипто мапата одлучува кој запис бара нов тек, а не кој запис презема кога партнерот престанува да одговара. Ништо во таа листа не го надгледува далечниот крај, па вториот запис само стои таму и не бара ништо.

Митот: редоследот значи резерва

Подредена листа со два записи и една заедничка дефиниција се чувствува како примарна и секундарна. Сличноста завршува кај синтаксата. Документацијата на Cisco за ASA ја опишува крипто мапата како модел на политика што го совпаѓа заштитениот сообраќај и ја именува поставеноста на партнерите за него, а совпаѓањето се врши против записот што прв го бара текот. Достапноста на далечен партнер не е дел од таа проценка.

Она што сте го изградиле е политика што никогаш нема да биде консултирана за тој тек, плус коментар во запис за промена што тврди вишок.

Редоследот го бара текот, и тоа само еднаш

Секој запис држи список за контрола на пристап или дефиниција на заштитен тек, а секој нов излезен пакет се споредува со тие дефиниции по редослед. Првиот запис чија дефиниција се совпаѓа го поседува текот и неговиот партнер. Втор запис со идентична дефиниција никогаш не добива ред, зашто првиот веќе се совпаднал; втор запис со потесна дефиниција служи само текстови што првиот не ги побарал.

Тоа однесување е корисно кога намерно отсекувате исклучоци од широка политика, а бескорисно е како механизам за префрлање при дефект. Проверете што навистина се случило со show crypto map и show crypto ipsec sa peer, потоа следете синтетички пакет по патеката за која верувате дека ја презема. Следењето ќе го именува записот што го побарал, и тоа е единствениот одговор што е важен.

Изборот на рута и сопственоста на политиката се одделни одлуки

Табелата за рутирање одговара каде се препраќа пакетот. Крипто политиката одговара кој заштита и кој партнер се применуваат на избраниот сообраќај. Дуплирањето на пар извор и одредиште под друг партнер ја менува втората одлука и ја остава првата недопрена, па одговорите може сѐ уште да ја следат старата порта додека излезниот пакет го зема новиот партнер. Таа асиметрија создава тунел што известува дека е активен и не пропушта ништо.

Одржете ја и реципрочноста на договорот со далечниот крај: прифатен идентитет, заштитени опсези на адреси, повратна рута за интересните префикси и дозвола за услугата. Алтернативен излезен избор што другата страна не го очекува не е алтернативна патека, туку половина од неа.

Што и треба на вистинска алтернативна патека

Изберете механизам дизајниран за задачата: поддржана група кандидати за партнери, рутиран тунел со лебдечка статичка или динамична рутирачка соседност над него, или каков и да е дизајн за вишок што вашата платформа го документира за таа услуга. Потоа запишете која компонента го открива дефектот и која компонента ја избира алтернативата, зашто тоа се две различни функции и често два различни тима.

Преводот на адреси може и на локацијата да ѝ даде втора претставена адреса, но истовремено ги менува селекторите, евидентирањето и правилата за пристап засновани на извор. Третирајте го тоа како експлицитно барање, а не како заобиколно решение за два нејасни записи.

Тестирајте три состојби, не една

Конфигурацијата е завршена само кога има одбранив одговор за нормално работење, за состојбата на дефект на примарниот и за враќање на примарниот. Тестирајте ги сите три и запишете кој запис од политиката и кој партнер служел за секој. Тестот што запира по првата состојба докажува дека дизајнот работи кога ништо не е погрешно, а тоа е состојбата што не требаше да ја проверувате.

Разликувајте го и конфигурираното преклопување од легитимната коегзистенција на стари и нови асоцијации за време на обновување на клучеви. Неколку активни SA се нормални и привремени; два записи што се борат за еден тек се постојани и невидливи.