ASA дээрх failback: маршрут буцаж ирэхэд үнэхээр юу шилждэг вэ
Маршрут үндсэн зам руу буцаж ирэх нь хуучин урсгалууд шилжсэн гэсэн үг биш. Uplink, туннель, холболтын хүснэгт, аппын үр дүнг хамт ажиглаарай.
Хоёр uplink бүхий ASA дээр failback нь failover-ийн эсрэг үйлдэл биш. Peer рүү хүрэх маршрут өөрчлөгдөж, дараа нь платформ гурван тусдаа төлөвийн машиныг зохицуулах ёстой: маршрутын хүснэгт, IKE ба IPsec аюулгүй байдлын ассоциациуд, холболтын хүснэгт. Тус бүр нь бусдаасаа хоцрох боломжтой бөгөөд хүмүүсийн ихэнх нь буцаж ирдэггүй туннель гэж яг тэр хоцролтыг хэлдэг.
failback үнэхээр юуг өөрчилдөг
Маршрут хайлт нь харагдах хэсэг. Хянаж буй объект сэргэхэд peer-ийн гадаад хаяг руу хүрэх хяналтын маршрут буцаж ирэх бөгөөд ASA-ийн илгээх дараагийн пакет дахин үндсэн холбоосоор явна. Үүний дараах бүхэн одоо байгаа төлөв шинэ замтай нийцэж байгаа эсэхээс хамаарна.
ARP ба NAT бол чимээгүй хамаарлууд. Шинэ next hop-д шийдэгдэх боломжтой гарц ба алслагдсан төгсгөлд тохирох хөрвүүлэлт хэрэгтэй, эс бөгөөс failback-ийн дараах эхний пакетууд хаашаа ч явахгүй бөгөөд юу ч ажиллахгүй байтлаа маршрут зөв харагдана.
Нэг цагийн шугам дээрх дөрвөн харагдац
Шилжилтийн өмнө, үеэр болон дараа нь ижил дөрвөн зүйлийг бүртгээрэй, учир нь нэг агшин зураг аль давхарга шилжсэнийг хэлж чадахгүй.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Хэзээ ч өөрчлөгдөөгүй маршрут ба хуучин холболт өөрийн дамжуулах төлөвийг хадгалж байх үед өөрчлөгдсөн маршрут ижил гомдол ба огт өөр нотолгоо өгдөг.
Хуучин холболтууд нөөц зам дээр яагаад үлддэг
ASA нь маршрут өөрчлөгдсөнөөр урсгалыг таслахгүй. Тогтсон холболтууд үүсгэгдсэн дамжуулах шийдвэрээ хадгалж, платформ үүнийг хэдий хугацаанд зөвшөөрөхийг тусдаа удирдлагаар өгдөг: floating-connection timeout ба connection holddown. Cisco-ийн ASA 9.24 холболтын тохиргооны гарын авлага эдгээрийг тусдаа асуулт гэж үздэг бөгөөд тэд яг тийнхүү ажилладаг. Нэг нь одоо байгаа урсгалын оршин тогтнолыг, нөгөө нь шинэ урсгалууд хэзээ илүүд үзсэн замыг ашиглаж болохыг зохицуулна.
Аль нэгийг нь өөрчлөхийн өмнө өөрийн хувилбарт хүчинтэй утгуудыг уншаарай. Тэдгээрийг буулгах нь хүмүүсийн ашиглаж буй сессүүдийг хаана. Өсгөх нь failback огт болоогүй мэт харагдуулна, учир нь шинэ холболтууд бүх хугацаанд хуучин замаар явсаар байна.
Маршрут буцаж ирсэнээр туннель түлхүүрээ дахин тохирохгүй
IPsec аюулгүй байдлын ассоциациуд өөрсдийн тохиролцсон амьдрах хугацааг агуулж, тэднийг зөөсөн маршрутын өөрчлөлтийг даван туулдаг. Тиймээс туннель failback-ийн туршид дээгүүр байх боломжтой боловч түүний гадаад хаяглалт ашиглагдаж буй замд тохирохгүй болно; энэ нь DPD болон peer хаягийг хөвөхөөр үлдээхгүйгээр тогтоодог загваруудын үндэслэл юм.
crypto-map ба VTI загварууд энд өөрөөр ажилладаг, мөн Cisco-ийн 9.24 VTI баримт бичиг маршрутад суурилсан хувилбарыг тайлбарладаг. ASA маршрутад суурилсан VPN ажиллуулж чадахгүй гэсэн хуучин ерөнхий мэдэгдэл дэмжигдсэн хувилбаруудад хамаарахгүй.
Нотолгоог энэ дарааллаар уншаарай
Удирдлагын хавтгайгаас эхлээрэй: сонгосон замд show route, холбоосын төлөвт show interface, хянаж буй объектод SLA мониторын тоолуурууд. Дараа нь аль peer амьд байгааг харахын тулд show crypto ikev2 sa эсвэл IKEv1-ийн эквивалентыг уншаад, дараа нь хамгаалагдсан урсгалуудад show crypto ipsec sa. Дараа нь show conn address <host> ашиглан холболтын хүснэгтийг нарийсгаж, хуучин ба шинэ бичлэгүүд дэх интерфейсийн баганыг харьцуулна. Гаралтыг цагийн тэмдэгтэй бичиж аваарай, учир нь тэдгээрийн дараалал нь оношилгоо юм.
Аппликейшн туршилтаар дуусга: аль хэдийн байсан нэг урсгал ба маршрут буцаж ирсний дараа үүссэн нэг урсгал. Хуучин урсгал бүтэлгүйтэж, шинэ нь ажиллавал холболтын төлөвийн түүх байна. Хоёулаа бүтэлгүйтвэл туннель эсвэл бодлого буруу бөгөөд холболтын хүснэгт нь анхаарал сарниулах зүйл юм.
Тэр бүртгэлийг гурван үе шатанд ижил хэлбэрээр хадгалж, яг хувилбарыг тэмдэглээрэй. Цагийн шугам нэг л шилжилтийг заасаар байвал алдааны ID-г таамаглахын оронд бүртгэлийг дэмжлэгт илгээгээрэй.