Failback op de ASA: wat er werkelijk beweegt als de route terugkomt
Dat een route terugkeert naar de primaire verbinding betekent niet dat oude stromen zijn verhuisd. Bekijk de uplink, de tunnel, de verbindingstabel en het applicatieresultaat samen.
Op een ASA met twee uplinks is failback niet het omgekeerde van failover. De route naar de peer verandert, en daarna moet het platform drie afzonderlijke toestandsmachines op één lijn brengen: de routetabel, de IKE- en IPsec-beveiligingsassociaties en de verbindingstabel. Elk kan achterlopen op de andere, en precies die vertraging noemen de meeste mensen een tunnel die niet terugkomt.
Wat failback werkelijk verandert
De route-opzoeking is het zichtbare deel. Wanneer het bewaakte object herstelt, komt de bewaakte route naar het buitenadres van de peer terug, en het volgende pakket dat de ASA verstuurt, volgt weer de primaire link. Alles daarna hangt af van de vraag of de bestaande toestand overeenkomt met het nieuwe pad.
ARP en NAT zijn de stille afhankelijkheden. Een nieuwe next hop heeft een oplosbare gateway nodig en een vertaling die nog bij het verre uiteinde past, anders gaan de eerste pakketten na de failback nergens heen en lijkt de route in orde terwijl niets werkt.
Vier gezichtspunten op één tijdlijn
Leg dezelfde vier dingen vast vóór, tijdens en na de overgang, want één momentopname kan niet zeggen welke laag is bewogen.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Een route die nooit veranderde en een route die veranderde terwijl een oudere verbinding zijn doorstuurtoestand behield, leveren dezelfde klacht en volledig ander bewijs op.
Waarom oude verbindingen op het reservepad blijven
De ASA breekt een stroom niet af omdat een route is veranderd. Bestaande verbindingen houden de doorstuur beslissing waarmee ze zijn gemaakt, en het platform biedt aparte regelingen voor hoe lang dat is toegestaan: floating-connection timeout en connection holddown. de handleiding voor verbindingsinstellingen van de ASA 9.24 van Cisco behandelt ze als twee verschillende vragen, en precies zo gedragen ze zich. De ene regelt het voortbestaan van een bestaande stroom, de andere wanneer nieuwe stromen het voorkeurspad mogen gebruiken.
Lees de geldende waarden voor uw versie voordat u een van beide wijzigt. Ze verlagen sluit sessies die mensen nog gebruiken. Ze verhogen laat de failback lijken alsof die nooit gebeurde, omdat nieuwe verbindingen al die tijd het oude pad blijven nemen.
Een tunnel onderhandelt geen nieuwe sleutels omdat een route terugkwam
IPsec-beveiligingsassociaties dragen hun eigen onderhandelde levensduur en overleven de routewijziging die ze droeg. Een tunnel kan dus tijdens een failback overeind blijven terwijl zijn buitenadressering niet meer bij het gebruikte pad past, en dat is het argument voor DPD en voor ontwerpen die het peeradres vastzetten in plaats van het te laten zweven.
Crypto-map- en VTI-ontwerpen gedragen zich hier anders, en de Cisco-documentatie voor 9.24 VTI beschrijft de routegebaseerde optie. De oude algemene bewering dat een ASA geen routegebaseerde VPN's kan draaien, geldt niet voor ondersteunde versies.
Lees het bewijs in deze volgorde
Begin bij het controlevlak: show route voor het gekozen pad, show interface voor de linkstatus en de tellers van de SLA-monitor voor het bewaakte object. Lees daarna show crypto ikev2 sa, of het IKEv1-equivalent, om te zien welke peer leeft, gevolgd door show crypto ipsec sa voor de beschermde stromen. Vernauw vervolgens de verbindingstabel met show conn address <host> en vergelijk de interfacekolom bij oude en nieuwe vermeldingen. Schrijf de uitvoer met tijdstempels op, want de volgorde ervan is de diagnose.
Sluit af met een applicatietest: één stroom die al bestond en één die is gemaakt nadat de route terugkwam. Als de oude stroom faalt en de nieuwe werkt, hebt u een verhaal over verbindingstoestand. Als beide falen, zijn de tunnel of het beleid fout en is de verbindingstabel een afleiding.
Houd dat verslag in dezelfde vorm gedurende alle drie de fasen en noteer de exacte versie. Wanneer de tijdlijn blijft wijzen op één enkele overgang, stuurt u het verslag naar de supportafdeling in plaats van een bug-ID te raden.