Failback pada ASA: apa yang sebenarnya bergerak apabila laluan kembali
Laluan kembali ke laluan utama tidak bermakna aliran lama telah berpindah. Perhatikan uplink, terowong, jadual sambungan dan hasil aplikasi bersama-sama.
Pada ASA dengan dua uplink, failback bukanlah kebalikan failover. Laluan ke peer berubah, dan selepas itu platform perlu menyelaraskan tiga mesin keadaan yang berasingan: jadual laluan, persatuan keselamatan IKE dan IPsec, serta jadual sambungan. Setiap satu boleh ketinggalan daripada yang lain, dan kelewatan itulah yang kebanyakan orang gambarkan sebagai terowong yang tidak kembali.
Apa yang sebenarnya diubah oleh failback
Carian laluan ialah bahagian yang kelihatan. Apabila objek yang dipantau pulih, laluan yang dipantau ke alamat luar peer kembali, dan paket seterusnya yang dihantar oleh ASA mengikut pautan utama semula. Segala-galanya selepas itu bergantung pada sama ada keadaan sedia ada sepadan dengan laluan baharu.
ARP dan NAT ialah kebergantungan senyap. Next hop baharu memerlukan gateway yang boleh diselesaikan dan terjemahan yang masih sepadan dengan hujung jauh, jika tidak paket pertama selepas failback tidak ke mana-mana dan laluan kelihatan baik sedangkan tiada apa yang berfungsi.
Empat pandangan pada satu garis masa
Rekod empat perkara yang sama sebelum, semasa dan selepas peralihan, kerana satu coretan tidak dapat memberitahu lapisan mana yang bergerak.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Laluan yang tidak pernah berubah dan laluan yang berubah semasa sambungan lama mengekalkan keadaan penghantarannya menghasilkan aduan yang sama dan bukti yang sama sekali berbeza.
Mengapa sambungan lama kekal di laluan sandaran
ASA tidak merobek aliran kerana laluan berubah. Sambungan yang telah terbentuk mengekalkan keputusan penghantaran yang digunakan semasa ia dicipta, dan platform menyediakan kawalan berasingan untuk berapa lama itu dibenarkan: floating-connection timeout dan connection holddown. Panduan tetapan sambungan ASA 9.24 daripada Cisco menganggapnya sebagai dua soalan berbeza, dan begitulah tingkah lakunya. Satu mengawal kelangsungan aliran sedia ada; satu lagi mengawal bila aliran baharu boleh menggunakan laluan pilihan.
Baca nilai berkesan untuk keluaran anda sebelum menukar mana-mana satu. Menurunkannya menutup sesi yang masih digunakan orang. Menaikkannya membuat failback kelihatan seperti tidak pernah berlaku, kerana sambungan baharu terus mengambil laluan lama sepanjang tempoh itu.
Terowong tidak berunding semula kunci kerana laluan kembali
Persatuan keselamatan IPsec membawa jangka hayat yang dirundingkan sendiri dan bertahan melalui perubahan laluan yang membawanya. Oleh itu terowong boleh kekal naik sepanjang failback sedangkan pengalamatan luarnya tidak lagi sepadan dengan laluan yang digunakan, dan inilah hujah untuk DPD serta reka bentuk yang memakukan alamat peer dan bukannya membiarkannya terapung.
Reka bentuk crypto-map dan VTI berkelakuan berbeza di sini, dan dokumentasi Cisco untuk 9.24 VTI menerangkan pilihan berasaskan laluan. Dakwaan lama yang menyeluruh bahawa ASA tidak boleh menjalankan VPN berasaskan laluan tidak terpakai untuk keluaran yang disokong.
Baca bukti dalam urutan ini
Mulakan dengan satah kawalan: show route untuk laluan terpilih, show interface untuk keadaan pautan dan pembilang monitor SLA untuk objek yang dipantau. Kemudian baca show crypto ikev2 sa, atau persamaan IKEv1, untuk melihat peer mana yang hidup, diikuti show crypto ipsec sa untuk aliran yang dilindungi. Seterusnya sempitkan jadual sambungan dengan show conn address <host> dan bandingkan lajur antara muka pada entri lama dan baharu. Tulis output dengan cap masa, kerana urutannya ialah diagnosis.
Akhiri dengan ujian aplikasi: satu aliran yang sudah wujud dan satu yang dicipta selepas laluan kembali. Jika aliran lama gagal dan yang baharu berfungsi, anda mempunyai kisah keadaan sambungan. Jika kedua-duanya gagal, terowong atau dasar itu salah dan jadual sambungan hanyalah pengalih perhatian.
Kekalkan rekod itu dalam bentuk yang sama sepanjang tiga fasa dan catat keluaran yang tepat. Apabila garis masa terus menunjuk kepada satu peralihan sahaja, hantar rekod kepada sokongan daripada meneka ID pepijat.