ASA හි failback: මාර්ගය ආපසු පැමිණෙන විට සැබවින්ම චලනය වන්නේ කුමක්ද
මාර්ගය ප්‍රාථමිකයට ආපසු පැමිණීමෙන් පැරණි ප්‍රවාහ ගියා යැයි නොවේ. uplink, ටනලය, සම්බන්ධතා වගුව සහ යෙදුමේ ප්‍රතිඵලය එකට බලන්න.
uplink දෙකක් ඇති ASA එකක failback යනු failover හි ප්‍රතිවිරුද්ධය නොවේ. peer වෙත මාර්ගය වෙනස් වන අතර, පසුව වේදිකාවට වෙනස් රාජ්‍ය යන්ත්‍ර තුනක් සමඟ සමපාද කළ යුතුය: මාර්ග වගුව, IKE සහ IPsec ආරක්ෂක සමායෝග, සහ සම්බන්ධතා වගුව. එක් එක් දෙය අනෙක්වාට වඩා පසුගාමී විය හැකි අතර, බොහෝ දෙනා ආපසු නොපැමිණෙන ටනලය ලෙස විස්තර කරන්නේ එම ප්‍රමාදයයි.
failback සැබවින්ම වෙනස් කරන්නේ කුමක්ද
මාර්ග සෙවීම දෘශ්‍ය කොටසයි. නිරීක්ෂණය කරන වස්තුව සුවවන විට peer හි බාහිර ලිපිනයට ඇති නිරීක්ෂණ මාර්ගය ආපසු පැමිණේ, සහ ASA යවන ඊළඟ පැකට්ටුව නැවත ප්‍රාථමික සබැඳිය අනුගමනය කරයි. ඉන් පසු සියල්ල රඳා පවතින්නේ පවතින තත්ත්වය නව මාර්ගයට ගැලපේද යන්න මතය.
ARP සහ NAT නිශ්ශබ්ද යැපීම් වේ. නව next hop එකකට විසඳිය හැකි ගේට්වේ එකක් සහ දුර කෙළවරට තවමත් ගැලපෙන පරිවර්තනයක් අවශ්‍යය, එසේ නොමැති නම් failback ට පසු පළමු පැකට්ටු කොහේවත් යන්නේ නැති අතර කිසිවක් වැඩ නොකරන විට මාර්ගය හොඳින් පෙනේ.
එක් කාලරේඛාවක් මත දර්ශන හතරක්
වෙනසට පෙර, අතරතුර සහ පසුව එම කරුණු හතරම සටහන් කරන්න, මන්ද එක් ඡායාරූපයකට කුමන ස්තරය චලනය වුණාදැයි කිව නොහැක.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
කිසිදා නොවෙනස් වූ මාර්ගයක් සහ පැරණි සම්බන්ධතාවක් තම යැවීමේ තත්ත්වය රඳවා ගනිමින් වෙනස් වූ මාර්ගයක් එකම පැමිණිල්ල සහ සම්පූර්ණයෙන්ම වෙනස් සාක්ෂි ලබා දෙයි.
පැරණි සම්බන්ධතා උපස්ථ මාර්ගයේ රැඳී ඇත්තේ ඇයි
මාර්ගය වෙනස් වූ නිසා ASA ප්‍රවාහයක් කඩන්නේ නැත. ස්ථාපිත සම්බන්ධතා ඒවා නිර්මාණය කළ යැවීමේ තීරණය රඳවා ගනී, සහ එය කොපමණ කාලයක් අනුමතද යන්නට වේදිකාව වෙනස් පාලන ලබා දෙයි: floating-connection timeout සහ connection holddown. Cisco හි ASA 9.24 සම්බන්ධතා සැකසුම් මාර්ගෝපදේශය ඒවා වෙනස් ප්‍රශ්න ලෙස සලකන අතර, හැසිරීමද හරියට එසේමය. එකක් පවතින ප්‍රවාහයේ පැවැත්ම පාලනය කරයි; අනෙක නව ප්‍රවාහවලට කවදා මනාප මාර්ගය භාවිත කළ හැකිද යන්න පාලනය කරයි.
දෙකෙන් එකක් වෙනස් කිරීමට පෙර ඔබේ නිකුතුවට බලපවත්නා අගයන් කියන්න. ඒවා අඩු කිරීමෙන් මිනිසුන් තවම භාවිත කරන සැසි වැසේ. ඒවා වැඩි කිරීමෙන් failback කිසිදා සිදු නොවූ ලෙස පෙනේ, මන්ද නව සම්බන්ධතා එම මුළු කාලයේම පැරණි මාර්ගය ගනී.
මාර්ගය ආපසු ආ නිසා ටනලය නැවත යතුරු ගිවිස නොගනී
IPsec ආරක්ෂක සමායෝග තමන්ගේම සාකච්ඡා කළ ආයුෂ දරන අතර ඒවා රැගෙන ගිය මාර්ග වෙනසින් ජීවත් වේ. එබැවින් ටනලයක් failback පුරා ඉහළින් පවතින්නට පුළුවන්, එහි බාහිර ලිපිනකරණය භාවිත මාර්ගයට තවදුරටත් නොගැලපුනත්; මෙය DPD සහ peer ලිපිනය පාවෙන්නට නොහරිා ස්ථිර කරන නිර්මාණවලට හිතකර තර්කයයි.
crypto-map සහ VTI නිර්මාණ මෙහි වෙනස් ලෙස හැසිරේ, සහ Cisco හි 9.24 VTI ලේඛනය මාර්ග පාදක විකල්පය විස්තර කරයි. ASA ට මාර්ග පාදක VPN ධාවනය කළ නොහැක යන පැරණි පොදු ප්‍රකාශය අනුග්‍රහය ලබන නිකුතු සඳහා වලංගු නොවේ.
සාක්ෂි මෙම අනුපිළිවෙලින් කියන්න
පාලන තලයෙන් අරඹන්න: තෝරාගත් මාර්ගය සඳහා show route, සබැඳි තත්ත්වය සඳහා show interface, සහ නිරීක්ෂණය කරන වස්තුව සඳහා SLA මොනිටරයේ ගණක. ඉන්පසු කුමන peer සජීවීද බලන්න show crypto ikev2 sa, හෝ IKEv1 සමානය කියන්න, ඉන්පසු ආරක්ෂිත ප්‍රවාහ සඳහා show crypto ipsec sa. පසුව show conn address <host> මගින් සම්බන්ධතා වගුව පටු කර පැරණි සහ නව සටහන්වල අතුරුමුහුණත තීරුව සසඳන්න. ප්‍රතිදාන කාල මුද්‍රා සමඟ ලියන්න, මන්ද ඒවායේ අනුපිළිවෙලම රෝග විනිශ්චයයි.
යෙදුම් පරීක්ෂණයකින් අවසන් කරන්න: දැනටමත් තිබූ එක් ප්‍රවාහයක් සහ මාර්ගය ආපසු ආ පසු සාදන ලද තවත් එකක්. පැරණි ප්‍රවාහය අසාර්ථක වී නව එක වැඩ කරන්නේ නම්, ඔබට සම්බන්ධතා තත්ත්වයේ කතාවක් ඇත. දෙකම අසාර්ථක නම් ටනලය හෝ ප්‍රතිපත්තිය වැරදි අතර සම්බන්ධතා වගුව අවධානය වෙනතකට හරවන දෙයකි.
එම වාර්තාව පියවර තුනේම එකම හැඩයෙන් තබා නිශ්චිත නිකුතුව සටහන් කරන්න. කාලරේඛාව නිතරම එක් වෙනසක් වෙත යොමු වන්නේ නම්, දෝෂ ID අනුමාන කරනවාට වඩා වාර්තාව ආධාරක කණ්ඩායමට යවන්න.