Failback fuq l-ASA: x'inhu tassew jiċċaqlaq meta jerġa' lura r-rotta
Li r-rotta terġa' lura għall-passa primarja ma jfissirx li l-flussi l-qodma ċċaqalqu. Osserva flimkien l-uplink, it-tunnel, it-tabella tal-konnessjonijiet u r-riżultat tal-applikazzjoni.
Fuq ASA b'żewġ uplinks, il-failback mhuwiex l-oppost tal-failover. Ir-rotta lejn il-peer tinbidel, u wara l-pjattaforma trid tlaqqa' flimkien tliet magni ta' stat separati: it-tabella tar-rotot, l-assoċjazzjonijiet tas-sigurtà IKE u IPsec, u t-tabella tal-konnessjonijiet. Kull waħda tista' tibqa' lura mill-oħrajn, u dak id-dewmien huwa dak li ħafna nies jiddeskrivu bħala tunnel li ma jerġax lura.
X'qed ibiddel tassew il-failback
It-tfittxija tar-rotta hija l-parti viżibbli. Meta l-oġġett immonitorjat jirkupra, ir-rotta monitorjata lejn l-indirizz ta' barra tal-peer terġa' lura, u l-pakkett li jmiss li tibgħat l-ASA jerġa' jsegwi l-link primarju. Kull ħaġa wara tiddependi minn jekk l-istat eżistenti jaqbilx mal-mogħdija l-ġdida.
ARP u NAT huma d-dipendenzi siekta. Next hop ġdid irid gateway li jista' jiġi riżolt u traduzzjoni li għadha taqbel mat-tarf imbiegħed, inkella l-ewwel pakketti wara l-failback ma jmorru imkien u r-rotta tidher sew waqt li xejn ma jaħdem.
Erba' perspettivi fuq linja waħda ta' żmien
Irrekordja l-istess erba' affarijiet qabel, waqt u wara t-tranżizzjoni, għax ritratt wieħed ma jistax jgħidlek liema saff ċċaqlaq.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Rotta li qatt ma nbidlet u rotta li nbidlet waqt li konnessjoni eqdem żammet l-istat tat-trażmissjoni tagħha jipproduċu l-istess ilment u provi kompletament differenti.
Għala l-konnessjonijiet qodma jibqgħu fuq il-passa tar-riżerva
L-ASA ma jċarratx fluss għax inbidlet rotta. Il-konnessjonijiet stabbiliti jżommu d-deċiżjoni tat-trażmissjoni li nħolqu biha, u l-pjattaforma toffri kontrolli separati għal kemm dan huwa permess: floating-connection timeout u connection holddown. il-gwida tas-setting tal-konnessjonijiet tal-ASA 9.24 ta' Cisco jittrattahom bħala żewġ mistoqsijiet distinti, u eżatt hekk iġibu ruħhom. Wieħed jirregola s-sopravivenza ta' fluss eżistenti; l-ieħor jirregola meta flussi ġodda jistgħu jużaw il-passa ppreferuta.
Aqra l-valuri effettivi għall-verżjoni tiegħek qabel tibdel waħda minnhom. Jekk tniżżilhom, tagħlaq sessjonijiet li n-nies għadhom jużaw. Jekk tgħollihom, il-failback jidher bħallikieku qatt ma seħħ, għax konnessjonijiet ġodda jibqgħu jużaw il-passa l-qadima għall-perjodu kollu.
Tunnel ma jerġax jinnegozja ċ-ċwievet għax ġiet lura rotta
L-assoċjazzjonijiet tas-sigurtà IPsec iġorru l-ħajja mnegozjata tagħhom stess u jgħaddu mit-tibdil fir-rotta li ġarrihom. Għalhekk tunnel jista' jibqa' għoli matul failback waqt li l-indirizzar ta' barra tiegħu ma għadux jaqbel mal-passa użat, u dan huwa l-argument favur DPD u favur disinni li jiffissaw l-indirizz tal-peer minflok iħalluh ifur.
Id-disinni crypto-map u VTI jġibu ruħhom b'mod differenti hawn, u d-dokumentazzjoni ta' Cisco għal 9.24 VTI tiddeskrivi l-għażla bbażata fuq ir-rotot. Il-pretensjoni qadima u ġenerali li ASA ma jistax iħaddem VPN ibbażati fuq ir-rotot ma tibqax valida għall-verżjonijiet appoġġjati.
Aqra l-provi f'dan l-ordni
Ibda mill-pjan ta' kontroll: show route għall-passa magħżula, show interface għall-istat tal-link u l-kontaturi tal-monitor SLA għall-oġġett monitorjat. Imbagħad aqra show crypto ikev2 sa, jew l-ekwivalenti tal-IKEv1, biex tara liema peer huwa ħaj, segwit minn show crypto ipsec sa għall-flussi protetti. Imbagħad dejjaq it-tabella tal-konnessjonijiet permezz ta' show conn address <host> u qabbel il-kolonna tal-interface fuq l-entrati qodma u ġodda. Ikteb l-outputs bit-timbri tal-ħin, għax l-ordni tagħhom hija d-dijanjosi.
Iftemm b'test tal-applikazzjoni: fluss wieħed li kien diġà jeżisti u ieħor maħluq wara li r-rotta ġiet lura. Jekk il-fluss il-qadim ifalli u dak il-ġdid jaħdem, għandek storja tal-istat tal-konnessjoni. Jekk ifallu t-tnejn, it-tunnel jew il-politika huma ħżiena u t-tabella tal-konnessjonijiet hija distrazzjoni.
Żomm dak ir-rekord fl-istess forma fit-tliet fażijiet kollha u noti l-verżjoni eżatta. Meta l-linja taż-żmien tibqa' tindika tranżizzjoni waħda biss, ibgħat ir-rekord lis-support minflok taqta' bug ID bl-addoċċ.