Modul ASA FirePOWER tiada laluan pengurusan ke FMC

FMC menunjukkan modul sebagai tidak boleh dicapai, pendaftaran kekal menunggu, dan ping dari dalam ASA berfungsi dengan sempurna. Pada penggunaan ASA FirePOWER sedia ada, gabungan itu adalah normal. Modul mempunyai alamat pengurusannya sendiri, gateway lalai sendiri dan keputusan penghalaan sendiri, dan berkongsi sambungan pengurusan fizikal dengan ASA pada sesetengah platform tidak menggabungkannya menjadi satu tindanan rangkaian. Dua peranti menjawab dari dua sudut pandangan berbeza pada wayar yang sama.

Yang berikut terpakai kepada modul yang sudah beroperasi. Kenal pasti model casis, jenis modul dan versi perisian yang disokong sebelum menggunakan mana-mana rajah port daripada panduan.

Lukis modul sebagai hos berasingan

Mulakan rajah dengan IP pengurusan modul, topeng dan gateway lalai, VLAN yang benar-benar membawa sambungan itu, dan alamat FMC yang mesti dicapai. Kemudian, dalam kotak berasingan, tulis alamat antara muka ASA dan jadual penghalaan penuhnya. Jika kedua-dua kotak akhirnya berkongsi subrangkaian dengan alamat milik pemilik berbeza, anda telah menemui bahagian masalah yang menarik.

Panduan modul ASA FirePOWER menunjukkan bagaimana susunan port berbeza antara platform, termasuk pendawaian pengurusan dikongsi di mana ASA dan modul membawa alamat berasingan pada segmen yang sama. Rajah perkakasan itu ialah input kepada reka bentuk, bukan nota kaki.

Cari di mana laluan balik terputus

Ambil susun atur yang dihalakan melalui teras. Modul menghantar trafik menuju FMC ke teras Layer 3, teras memajukan destinasi pengurusan jauh ke antara muka dalaman ASA, dan VPN tapak membawanya ke sebelah sana. Tapak jauh kemudian memerlukan laluan balik ke subrangkaian pengurusan modul. Setiap lonjakan dalam rantai itu boleh betul sementara laluan terakhir itu hilang, dan itulah sebabnya kegagalan begitu kerap kelihatan seperti terowong yang rosak.

Baca pandangan ASA sendiri sebelum mengubah apa-apa:

show interface ip brief
show route
show running-config interface

Perintah ketiga penting kerana alamat antara muka yang anda terlupa itulah yang menyebabkan laluan balik mendarat pada peranti yang salah.

Semak apa yang ASA anggap bersambung

Jika ASA mempunyai alamat pada subrangkaian pengurusan modul, laluan bersambungnya memiliki awalan itu. Laluan statik menuju teras tidak mengetepikan pemilikan laluan bersambung, jadi paket kembali kepada ASA dan berhenti di situ. Pendaftaran kemudian gagal pada titik yang tiada kaitan dengan kelayakan.

Jangan membuat kesimpulan bahawa semakan anti-pemalsuan tertentu menggugurkan paket itu melainkan anda mempunyai pemerhatian peranti itu sendiri di hadapan anda. Sebaliknya bandingkan antara muka masuk, laluan destinasi yang dipilih dan sempadan pemajuan antara pengurusan dengan data yang disokong untuk platform itu. Ketiga-tiga fakta itu biasanya mendedahkan konflik topologi sebelum sesiapa mula menetapkan semula kunci pendaftaran.

Pilih pembetulan yang mengekalkan modul bersambung

Membuang alamat ASA daripada segmen itu dan melumpuhkan port dikongsi secara fizikal bukan tindakan yang setara. Pada platform di mana modul menaiki sambungan pengurusan fizikal yang sama, melumpuhkan port membuang satu-satunya pautan modul — anda akan menukar masalah penghalaan menjadi peranti mati. Utamakan perubahan yang menetapkan semula pemilikan penghalaan pengurusan, dan sediakannya dengan kehadiran pemilik rangkaian.

Pilihan kedua yang disokong ialah memberikan laluan pentadbiran ASA segmennya sendiri supaya subrangkaian pengurusan modul mempunyai satu pemilik. Itu menelan satu alamat dan sedikit dokumentasi, dan menghapuskan kekaburan secara kekal. Laluan mana pun yang anda pilih, selepas itu sahkan bahawa modul masih boleh mencapai kedua-dua FMC dan sumber DNS atau NTPnya.

Daftar hanya selepas laluan itu koheren

Setelah laluan balik bersih, rancang kesambungan pengurusan dan parameter pendaftaran daripada panduan keluaran FMC dan modul yang sepadan. Jauhkan rahsia pendaftaran daripada nota dan tiket yang dikongsi, dan tahan godaan untuk mendaftar semula sebagai langkah diagnostik: kunci baharu pada laluan yang rosak hanya menghasilkan kegagalan yang sama dengan cap masa lebih baharu.

Terima laluan daripada tindanan pengurusan modul sendiri dan bukan daripada ping yang berasal dari ASA, kerana sumber ujian itu ialah perkara yang disyaki. Catat lonjakan seterusnya modul, pilihan VPN ASA dan laluan balasan FMC, dan kekalkan kaedah pemulihan bebas untuk kedua-dua peranan pengurusan. Rekod itulah yang memisahkan pengangkutan yang dibaiki daripada pendaftaran yang berjaya.

Apabila modul akhirnya muncul dalam FMC, jalankan semula tiga perintah yang sama dan simpan keluaran di sebelah rajah. Orang seterusnya yang menyentuh segmen pengurusan itu akan memerlukan perbandingan itu.