Modul ASA FirePOWER nemá žiadnu správu trasy do FMC

FMC zobrazuje modul ako nedostupný, registrácia zostáva v stave čakania a ping zvnútra ASA funguje bezchybne. V existujúcom nasadení ASA FirePOWER je táto kombinácia normálna. Modul má vlastnú adresu správy, vlastnú predvolenú bránu a vlastné rozhodnutia o smerovaní, a zdieľanie fyzického spojenia správy s ASA na niektorých platformách ich nezlučuje do jedného sieťového zásobníka. Dve zariadenia odpovedajú z dvoch rôznych uhlov pohľadu na tom istom kábli.

Nasledujúce platí pre moduly, ktoré sú už v prevádzke. Pred použitím akejkoľvek schémy portov z príručky určite model šasi, typ modulu a podporovanú verziu softvéru.

Nakreslite modul ako samostatného hostiteľa

Začnite schému adresou IP správy modulu, maskou a predvolenou bránou, sieťou VLAN, ktorá toto pripojenie skutočne prenáša, a adresou FMC, ktorú treba dosiahnuť. Potom do samostatného rámčeka napíšte adresy rozhraní ASA a jeho úplnú smerovaciu tabuľku. Ak oba rámčeky napokon zdieľajú podsiete s adresami rôznych vlastníkov, našli ste zaujímavú časť problému.

Príručka k modulu ASA FirePOWER ukazuje, ako sa usporiadanie portov medzi platformami líši, vrátane zdieľaného vedenia správy, kde ASA aj modul nesú samostatné adresy v tom istom segmente. Táto hardvérová schéma je vstupom pre návrh, nie poznámkou pod čiarou.

Nájdite, kde sa prerušuje spiatočná cesta

Zoberte usporiadanie smerované cez jadro. Modul posiela prevádzku určenú pre FMC do jadra Layer 3, jadro preposiela vzdialené miesto správy k vnútornému rozhraniu ASA a VPN lokality ho prenáša na druhú stranu. Vzdialená lokalita potom potrebuje trasu späť do podsiete správy modulu. Každý krok v tomto reťazci môže byť správny, kým posledná trasa chýba, a preto zlyhanie tak často vyzerá ako prerušený tunel.

Prečítajte si vlastný pohľad ASA pred akoukoľvek zmenou:

show interface ip brief
show route
show running-config interface

Tretí príkaz je dôležitý, pretože adresa rozhrania, na ktorú ste zabudli, je presne to, čo privedie spiatočnú cestu na nesprávne zariadenie.

Overte, čo ASA považuje za pripojené

Ak má ASA adresu v podsieti správy modulu, jeho pripojená trasa vlastní tento prefix. Statická trasa smerom k jadru nevytláča vlastníctvo pripojenej trasy, takže paket sa vráti na ASA a tam sa zastaví. Registrácia potom zlyhá v bode, ktorý nemá nič spoločné s prihlasovacími údajmi.

Nedomnievajte sa, že paket zahodila konkrétna kontrola proti podvrhnutiu, ak pred sebou nemáte vlastné pozorovania zariadenia. Namiesto toho porovnajte vstupné rozhranie, zvolenú trasu k cieľu a podporovanú hranicu preposielania medzi správou a dátami pre danú platformu. Tieto tri skutočnosti zvyčajne odhalia konflikt topológie skôr, než niekto začne resetovať registračné kľúče.

Zvoľte opravu, ktorá modul udrží pripojený

Odstránenie adresy ASA z tohto segmentu a fyzické vypnutie zdieľaného portu nie sú rovnocenné úkony. Na platformách, kde modul ide po tom istom fyzickom spojení správy, vypnutie portu odstráni jediné spojenie modulu — premenili by ste problém smerovania na mŕtve zariadenie. Uprednostnite zmenu, ktorá prerozdeľuje vlastníctvo smerovania správy, a pripravte ju za prítomnosti vlastníka siete.

Druhou podporovanou možnosťou je dať administratívnej ceste ASA vlastný segment, aby podsiete správy modulu patril jeden vlastník. Stojí to jednu adresu a trochu dokumentácie a nejednoznačnosť natrvalo odstraňuje. Nech si vyberiete akúkoľvek cestu, potom potvrďte, že modul stále dosiahne FMC aj svoje zdroje DNS alebo NTP.

Registrujte až vtedy, keď je cesta súvislá

Keď je spiatočná cesta čistá, naplánujte pripojenie správy a registračné parametre podľa zodpovedajúcej príručky k vydaniu FMC a modulu. Udržujte registračné tajomstvá mimo zdieľaných poznámok a lístkov a odolajte pokušeniu znova sa registrovať ako diagnostickému kroku: nový kľúč na prerušenej ceste vyprodukuje len rovnaké zlyhanie s novšou časovou pečiatkou.

Prijmite cestu z vlastného zásobníka správy modulu, nie z pingu iniciovaného ASA, pretože zdroj testu je práve to, čo je podozrivé. Zaznamenajte ďalší skok modulu, voľbu VPN na ASA a odpoveďovú trasu FMC a pre obe roly správy si ponechajte nezávislú metódu obnovy. Práve tento záznam oddeľuje opravenú prepravu od úspešnej registrácie.

Keď sa modul konečne objaví vo FMC, znova spustite tie isté tri príkazy a uložte výstup vedľa schémy. Ďalší človek, ktorý sa dotkne tohto segmentu správy, bude potrebovať presne toto porovnanie.