Dois mapas crypto, um só fluxo: a entrada posterior não é backup

Adicione uma segunda entrada de mapa crypto para o mesmo par de endereços, aponte-a para outro peer e você escreveu um plano de failover. Esse é o mito, e ele sobrevive porque parece qualquer outra lista ordenada que você configurou. A sequência em um mapa crypto decide qual entrada reivindica um novo fluxo, não qual entrada assume quando um peer para de responder. Nada nessa lista monitora a ponta remota, então a segunda entrada fica ali sem reivindicar nada.

O mito: ordem significa reserva

Uma lista ordenada com duas entradas e uma definição compartilhada parece primária e secundária. A semelhança termina na sintaxe. A documentação do ASA da Cisco descreve o mapa crypto como o modelo de política que combina o tráfego protegido e nomeia o arranjo de peers para ele, e a combinação ocorre contra a entrada que reivindica o fluxo primeiro. A disponibilidade de um peer remoto não faz parte dessa avaliação.

O que você construiu é uma política que nunca será consultada para esse fluxo, mais um comentário em um registro de mudanças que afirma redundância.

A sequência reivindica o fluxo, e apenas uma vez

Cada entrada contém uma lista de controle de acesso ou uma definição de fluxo protegido, e cada novo pacote de saída é comparado a essas definições na ordem. A primeira entrada cuja definição corresponde possui o fluxo e seu peer. Uma segunda entrada com definição idêntica nunca chega a sua vez, porque a primeira já correspondeu; uma segunda entrada com definição mais estreita atende apenas fluxos que a primeira não reivindicou.

Esse comportamento é útil quando você recorta exceções deliberadamente de uma política ampla, e é inútil como mecanismo de failover. Verifique o que realmente aconteceu com show crypto map e show crypto ipsec sa peer, e então siga um pacote sintético pelo caminho que você acredita que ele toma. O rastreamento nomeará a entrada que o reivindicou, e essa é a única resposta que importa.

Seleção de rota e propriedade da política são decisões separadas

Uma tabela de roteamento responde para onde o pacote é encaminhado. A política crypto responde qual proteção e qual peer se aplicam ao tráfego selecionado. Duplicar um par de origem e destino sob outro peer muda a segunda decisão e deixa a primeira intacta, então as respostas podem continuar seguindo o gateway antigo enquanto o pacote de saída pega o novo peer. Essa assimetria produz um túnel que se declara ativo e não deixa passar nada.

Mantenha também recíproco o contrato com a ponta remota: identidade aceita, faixas de endereços protegidas, uma rota de retorno para os prefixos interessantes e permissão para o serviço. Uma escolha de saída alternativa que o outro lado não espera não é um caminho alternativo, é metade de um.

Do que um caminho alternativo real precisa

Escolha um mecanismo projetado para a tarefa: um grupo suportado de candidatos a peer, um túnel roteado com uma estática flutuante ou uma adjacência de roteamento dinâmico por cima, ou qualquer projeto de redundância que sua plataforma documente para esse serviço. Depois anote qual componente detecta a falha e qual componente seleciona a alternativa, porque são duas funções diferentes e muitas vezes duas equipes diferentes.

A tradução de endereços também pode dar a um site um segundo endereço apresentado, mas ela muda seletores, registro e regras de acesso baseadas na origem ao mesmo tempo. Trate isso como um requisito explícito e não como uma gambiarra para duas entradas ambíguas.

Teste três estados, não um

A configuração só está pronta quando tem uma resposta defensável para a operação normal, para o estado de falha do primário e para o retorno ao primário. Teste os três e registre qual entrada de política e qual peer atendeu cada um. Um teste que para após o primeiro estado prova que o projeto funciona quando nada está errado, e esse é o estado que você não precisava verificar.

Distinga também a sobreposição configurada da coexistência legítima de associações antigas e novas durante uma regeneração de chaves. Várias SA ativas são normais e temporárias; duas entradas disputando um fluxo são permanentes e invisíveis.