Failback na ASA: čo sa naozaj presunie, keď sa trasa vráti
Návrat trasy na primárnu cestu neznamená, že sa staré toky presunuli. Sledujte spolu uplink, tunel, tabuľku spojení a výsledok aplikácie.
Na ASA s dvoma uplinkmi nie je failback opakom failoveru. Trasa k peeru sa zmení a platforma potom musí zosúladiť tri oddelené stavové stroje: routovaciu tabuľku, bezpečnostné asociácie IKE a IPsec a tabuľku spojení. Každý môže za ostatnými zaostávať a práve to zaostávanie väčšina ľudí opisuje ako tunel, ktorý sa nevracia.
Čo failback naozaj mení
Vyhľadanie trasy je viditeľná časť. Keď sa sledovaný objekt obnoví, sledovaná trasa k vonkajšej adrese peeru sa vráti a ďalší paket, ktorý ASA odošle, ide opäť po primárnom spoji. Všetko po tom závisí od toho, či súčasný stav zodpovedá novej ceste.
ARP a NAT sú tiché závislosti. Nový next hop potrebuje preložiteľnú bránu a preklad, ktorý stále zodpovedá vzdialenej strane, inak prvé pakety po failbacku nikam nevedú a trasa vyzerá v poriadku, kým nič nefunguje.
Štyri pohľady na jednej časovej osi
Zaznamenajte tie isté štyri veci pred prechodom, počas neho a po ňom, pretože jediný snímok vám nepovie, ktorá vrstva sa posunula.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Trasa, ktorá sa nikdy nezmenila, a trasa, ktorá sa zmenila, kým si staršie spojenie ponechalo svoj stav preposielania, dávajú rovnakú sťažnosť a úplne odlišné dôkazy.
Prečo staré spojenia zostávajú na záložnej ceste
ASA nezruší tok preto, že sa zmenila trasa. Nadviazané spojenia si držia rozhodnutie o preposielaní, s ktorým boli vytvorené, a platforma ponúka samostatné ovládacie prvky pre to, ako dlho je to dovolené: floating-connection timeout a connection holddown. príručka nastavení spojení pre ASA 9.24 od Cisco ich berie ako odlišné otázky, a presne tak sa aj správajú. Jeden riadi prežitie existujúceho toku, druhý riadi, kedy smú nové toky použiť preferovanú cestu.
Pred zmenou ktorejkoľvek z nich si prečítajte platné hodnoty pre svoju verziu. Ich zníženie zatvára relácie, ktoré ľudia ešte používajú. Ich zvýšenie robí z failbacku niečo, čo sa nikdy nestalo, pretože nové spojenia celý čas idú po starej ceste.
Tunel nevyjednáva nové kľúče preto, že sa vrátila trasa
Bezpečnostné asociácie IPsec nesú vlastnú vyjednanú životnosť a prežívajú zmenu trasy, ktorá ich niesla. Tunel preto môže zostať hore počas failbacku, hoci jeho vonkajšie adresovanie už nezodpovedá používanej ceste; to je argument pre DPD a pre návrhy, ktoré adresu peeru fixujú namiesto toho, aby ju nechali plávať.
Návrhy s crypto-map a VTI sa tu správajú inak a dokumentácia Cisco k 9.24 VTI opisuje variant založený na trasách. Staré paušálne tvrdenie, že ASA nevie prevádzkovať VPN založené na trasách, neplatí pre podporované verzie.
Čítajte dôkazy v tomto poradí
Začnite v riadiacej rovine: show route pre zvolenú cestu, show interface pre stav spoja a počítadlá monitora SLA pre sledovaný objekt. Potom prečítajte show crypto ikev2 sa, alebo ekvivalent pre IKEv1, aby ste videli, ktorý peer je živý, a následne show crypto ipsec sa pre chránené toky. Potom zúžte tabuľku spojení pomocou show conn address <host> a porovnajte stĺpec rozhrania pri starých a nových záznamoch. Výstupy zapisujte s časovými značkami, pretože ich poradie je diagnóza.
Skončite testom aplikácie: jeden tok, ktorý už existoval, a jeden vytvorený po návrate trasy. Ak starý tok zlyhá a nový funguje, máte príbeh o stave spojenia. Ak zlyhajú oba, tunel alebo politika sú nesprávne a tabuľka spojení je rozptýlenie.
Udržujte tento záznam v rovnakom tvare vo všetkých troch fázach a poznačte presnú verziu. Keď časová os stále ukazuje na jediný prechod, pošlite záznam podpore, namiesto aby ste hádali ID chyby.