Două hărți crypto, un singur flux: intrarea ulterioară nu este o rezervă

Adăugați o a doua intrare de hartă crypto pentru aceeași pereche de adrese, îndreptați-o spre alt peer și ați scris un plan de comutare la eșec. Acesta este mitul, și el supraviețuiește pentru că arată ca orice altă listă ordonată pe care ați configurat-o. Secvența dintr-o hartă crypto decide ce intrare revendică un flux nou, nu ce intrare preia controlul când un peer nu mai răspunde. Nimic din acea listă nu monitorizează capătul îndepărtat, așa că a doua intrare stă acolo fără să revendice nimic.

Mitul: ordinea înseamnă rezervă

O listă ordonată cu două intrări și o definiție comună pare primară și secundară. Asemănarea se termină la sintaxă. Documentația Cisco pentru ASA descrie harta crypto ca modelul de politică ce potrivește traficul protejat și numește aranjamentul de peer pentru el, iar potrivirea se face față de intrarea care revendică fluxul prima. Disponibilitatea unui peer îndepărtat nu face parte din acea evaluare.

Ceea ce ați construit este o politică ce nu va fi niciodată consultată pentru acel flux, plus un comentariu într-un registru de modificări care afirmă redundanță.

Secvența revendică fluxul, și doar o dată

Fiecare intrare conține o listă de control al accesului sau o definiție de flux protejat, iar fiecare pachet nou de ieșire este comparat cu acele definiții în ordine. Prima intrare a cărei definiție se potrivește deține fluxul și peer-ul său. O a doua intrare cu definiție identică nu primește niciodată rândul, pentru că prima s-a potrivit deja; o a doua intrare cu definiție mai îngustă servește doar fluxurile pe care prima nu le-a revendicat.

Acel comportament este util când decupați deliberat excepții dintr-o politică largă, și este inutil ca mecanism de comutare la eșec. Verificați ce s-a întâmplat de fapt cu show crypto map și show crypto ipsec sa peer, apoi urmăriți un pachet sintetic pe calea pe care credeți că o ia. Urmărirea va numi intrarea care l-a revendicat, și acesta este singurul răspuns care contează.

Selectarea rutei și proprietatea politicii sunt decizii separate

Un tabel de rutare răspunde unde este redirecționat pachetul. Politica crypto răspunde ce protecție și ce peer se aplică traficului selectat. Duplicarea unei perechi sursă-destinație sub alt peer schimbă a doua decizie și o lasă pe prima neatinsă, așa că răspunsurile pot urma în continuare vechea poartă în timp ce pachetul de ieșire ia noul peer. Această asimetrie produce un tunel care raportează că este activ și nu lasă nimic să treacă.

Păstrați și reciprocitatea contractului cu capătul îndepărtat: identitate acceptată, intervale de adrese protejate, o rută de retur pentru prefixele interesante și permisiunea pentru serviciu. O alegere alternativă de ieșire pe care cealaltă parte nu o așteaptă nu este o cale alternativă, este jumătate dintr-una.

De ce are nevoie o cale alternativă reală

Alegeți un mecanism proiectat pentru sarcină: un grup acceptat de candidați peer, un tunel rutat cu un static flotant sau o adiacență de rutare dinamică deasupra, sau orice proiect de redundanță pe care platforma dumneavoastră îl documentează pentru acel serviciu. Apoi notați ce componentă detectează defectul și ce componentă selectează alternativa, pentru că acestea sunt două funcții diferite și adesea două echipe diferite.

Traducerea adreselor poate oferi unui site și o a doua adresă prezentată, dar schimbă simultan selectori, jurnalizare și reguli de acces bazate pe sursă. Tratați asta ca o cerință explicită și nu ca o soluție provizorie pentru două intrări ambigue.

Testați trei stări, nu una

Configurația este terminată doar când are un răspuns de apărat pentru operarea normală, pentru starea de defect a primarului și pentru revenirea la primar. Testați toate trei și notați ce intrare de politică și ce peer au servit fiecare. Un test care se oprește după prima stare dovedește că proiectul funcționează când nimic nu este greșit, iar aceasta este starea pe care nu trebuia să o verificați.

Distingeți și suprapunerea configurată de coexistența legitimă a asocierilor vechi și noi în timpul unei regenerări de chei. Mai multe SA active sunt normale și temporare; două intrări care se luptă pentru un flux sunt permanente și invizibile.