Dua Peta Crypto, Satu Aliran: Entri Kemudian Bukan Sandaran

Tambahkan entri peta crypto kedua untuk pasangan alamat yang sama, halakan ia ke peer lain, dan anda telah menulis pelan failover. Itulah mitosnya, dan ia bertahan kerana kelihatan seperti mana-mana senarai tersusun lain yang anda konfigurasikan. Urutan dalam peta crypto menentukan entri mana yang menuntut aliran baharu, bukan entri mana yang mengambil alih apabila peer berhenti menjawab. Tiada apa-apa dalam senarai itu memantau hujung jauh, jadi entri kedua hanya duduk di sana tanpa menuntut apa-apa.

Mitos: urutan bermaksud sandaran

Senarai tersusun dengan dua entri dan satu definisi dikongsi terasa seperti primer dan sekunder. Persamaan itu berakhir pada sintaksis. Dokumentasi ASA Cisco menerangkan peta crypto sebagai model dasar yang memadankan trafik terlindung dan menamakan susunan peer untuknya, dan pemadanan berlaku terhadap entri yang menuntut aliran terlebih dahulu. Ketersediaan peer jauh bukan sebahagian daripada penilaian itu.

Apa yang anda bina ialah dasar yang tidak akan pernah dirujuk untuk aliran itu, ditambah komen dalam rekod perubahan yang mendakwa lebihan.

Urutan menuntut aliran, dan hanya sekali

Setiap entri menyimpan senarai kawalan akses atau definisi aliran terlindung, dan setiap paket keluar baharu dibandingkan dengan definisi itu mengikut urutan. Entri pertama yang definisinya sepadan memiliki aliran dan peer-nya. Entri kedua dengan definisi serupa tidak pernah mendapat giliran, kerana yang pertama sudah sepadan; entri kedua dengan definisi lebih sempit hanya melayani aliran yang tidak dituntut oleh yang pertama.

Tingkah laku itu berguna apabila anda sengaja memotong pengecualian daripada dasar yang luas, dan ia tidak berguna sebagai mekanisme failover. Semak apa yang sebenarnya berlaku dengan show crypto map dan show crypto ipsec sa peer, kemudian jejaki paket sintetik melalui laluan yang anda percaya ia ambil. Jejak itu akan menamakan entri yang menuntutnya, dan itulah satu-satunya jawapan yang penting.

Pemilihan laluan dan pemilikan dasar adalah keputusan berasingan

Jadual penghalaan menjawab ke mana paket itu dihantar. Dasar crypto menjawab perlindungan dan peer mana yang terpakai kepada trafik yang dipilih. Menduplikasi pasangan sumber dan destinasi di bawah peer lain mengubah keputusan kedua dan membiarkan yang pertama tidak tersentuh, jadi balasan mungkin masih mengikut gateway lama sementara paket keluar mengambil peer baharu. Asimetri itu menghasilkan terowong yang melaporkan aktif dan tidak melepaskan apa-apa.

Kekalkan juga kontrak dengan hujung jauh secara timbal balik: identiti yang diterima, julat alamat terlindung, laluan balik untuk awalan yang menarik dan kebenaran untuk perkhidmatan. Pilihan keluar alternatif yang tidak dijangka oleh pihak lain bukan laluan alternatif, ia adalah separuh daripadanya.

Apa yang diperlukan oleh laluan alternatif sebenar

Pilih mekanisme yang direka untuk tugas itu: kumpulan calon peer yang disokong, terowong dihalakan dengan statik terapung atau kekedalaman penghalaan dinamik di atasnya, atau reka bentuk lebihan apa pun yang didokumenkan oleh platform anda untuk perkhidmatan itu. Kemudian catatkan komponen mana yang mengesan kegagalan dan komponen mana yang memilih alternatif, kerana itu dua fungsi berbeza dan selalunya dua pasukan berbeza.

Terjemahan alamat juga boleh memberi tapak alamat kedua yang dibentangkan, tetapi ia mengubah pemilih, pengelogan dan peraturan akses berasaskan sumber pada masa yang sama. Anggap itu sebagai keperluan eksplisit dan bukan sebagai jalan pintas untuk dua entri yang kabur.

Uji tiga keadaan, bukan satu

Konfigurasi hanya selesai apabila ia mempunyai jawapan yang boleh dipertahankan untuk operasi normal, untuk keadaan gagal primer dan untuk kembali ke primer. Uji ketiga-tiganya dan catat entri dasar dan peer mana yang melayani setiap satu. Ujian yang berhenti selepas keadaan pertama membuktikan reka bentuk berfungsi apabila tiada yang salah, dan itulah keadaan yang anda tidak perlu semak.

Bezakan juga pertindihan yang dikonfigurasikan daripada kewujudan bersama sah persatuan lama dan baharu semasa penjanaan semula kunci. Beberapa SA aktif adalah normal dan sementara; dua entri yang berebut satu aliran adalah kekal dan tidak kelihatan.