Dve krypto mapy, jeden tok: neskorší záznam nie je záloha

Pridajte druhý záznam krypto mapy pre ten istý pár adries, nasmerujte ho na iného peera a napísali ste plán prepnutia pri výpadku. To je mýtus a prežíva preto, lebo vyzerá ako každý iný zoradený zoznam, ktorý ste nakonfigurovali. Poradie v krypto mape rozhoduje, ktorý záznam si nárokuje nový tok, nie ktorý záznam preberá riadenie, keď peer prestane odpovedať. Nič v tom zozname nesleduje vzdialený koniec, takže druhý záznam tam len sedí a nič si nenárokuje.

Mýtus: poradie znamená zálohu

Zoradený zoznam s dvoma záznamami a jednou spoločnou definíciou pôsobí ako primárny a sekundárny. Podobnosť sa končí pri syntaxi. Dokumentácia Cisco pre ASA opisuje krypto mapu ako model politiky, ktorý páruje chránenú prevádzku a určuje pre ňu usporiadanie peerov, a párovanie prebieha proti záznamu, ktorý si tok nárokuje prvý. Dostupnosť vzdialeného peera nie je súčasťou tohto vyhodnotenia.

To, čo ste postavili, je politika, na ktorú sa pre tento tok nikdy nikto neopýta, plus komentár v zázname zmien, ktorý tvrdí redundanciu.

Poradie si tok nárokuje, a len raz

Každý záznam drží zoznam riadenia prístupu alebo definíciu chráneného toku a každý nový odchádzajúci paket sa porovnáva s týmito definíciami v poradí. Prvý záznam, ktorého definícia sedí, vlastní tok a jeho peera. Druhý záznam s identickou definíciou sa nikdy nedostane na rad, pretože prvý už sedel; druhý záznam s užšou definíciou obsluhuje len toky, ktoré si prvý nenárokoval.

Toto správanie je užitočné, keď zámerne vyrezávate výnimky zo širokej politiky, a je zbytočné ako mechanizmus prepnutia pri výpadku. Skontrolujte, čo sa skutočne stalo, pomocou show crypto map a show crypto ipsec sa peer, a potom prejdite syntetický paket cestou, o ktorej veríte, že ju absolvuje. Sledovanie pomenuje záznam, ktorý si ho nárokoval, a to je jediná odpoveď, na ktorej záleží.

Výber trasy a vlastníctvo politiky sú samostatné rozhodnutia

Smerovacia tabuľka odpovedá, kam sa paket preposiela. Krypto politika odpovedá, ktorá ochrana a ktorý peer sa vzťahujú na vybranú prevádzku. Duplikovanie páru zdroja a cieľa pod iným peerom mení druhé rozhodnutie a prvé necháva nedotknuté, takže odpovede môžu stále sledovať starú bránu, kým odchádzajúci paket ide cez nového peera. Táto asymetria vytvára tunel, ktorý hlási, že je aktívny, a nič neprepúšťa.

Udržujte tiež vzájomnosť zmluvy so vzdialeným koncom: prijatá identita, chránené rozsahy adries, spiatočnú trasu pre zaujímavé prefixy a povolenie pre službu. Alternatívna odchádzajúca voľba, ktorú druhá strana neočakáva, nie je alternatívna cesta, ale polovica jednej.

Čo potrebuje skutočná alternatívna cesta

Vyberte mechanizmus navrhnutý pre úlohu: podporovanú skupinu kandidátov na peerov, smerovaný tunel s plávajúcim statickým alebo dynamickým smerovacím susedstvom cez neho, alebo akýkoľvek dizajn redundancie, ktorý vaša platforma pre túto službu dokumentuje. Potom zapíšte, ktorá komponenta výpadok zisťuje a ktorá komponenta vyberá alternatívu, pretože to sú dve rôzne funkcie a často dva rôzne tímy.

Preklad adries môže lokalite dať aj druhú prezentovanú adresu, ale zároveň mení selektory, logovanie a pravidlá prístupu založené na zdroji. Berte to ako výslovnú požiadavku, nie ako obchádzku pre dva nejednoznačné záznamy.

Testujte tri stavy, nie jeden

Konfigurácia je hotová až vtedy, keď má obhájiteľnú odpoveď pre bežnú prevádzku, pre stav výpadku primárneho a pre návrat k primárnemu. Otestujte všetky tri a zaznamenajte, ktorý záznam politiky a ktorý peer obslúžil každý z nich. Test, ktorý sa zastaví po prvom stave, dokazuje, že dizajn funguje, keď nič nie je zle, a to je stav, ktorý ste kontrolovať nemuseli.

Rozlišujte aj nakonfigurované prekrývanie od legitímnej koexistencie starých a nových asociácií počas obnovy kľúčov. Niekoľko aktívnych SA je normálnych a dočasných; dva záznamy bojujúce o jeden tok sú trvalé a neviditeľné.