Failback na ASA: kaj se v resnici premakne, ko se pot vrne
Vrnitev poti na primarno ne pomeni, da so se stari tokovi premaknili. Skupaj opazujte uplink, tunel, tabelo povezav in rezultat aplikacije.
Na ASA z dvema uplinkoma failback ni obraten postopek failoverja. Pot do peera se spremeni, nato pa mora platforma uskladiti tri ločene stroje stanj: usmerjevalno tabelo, varnostne asociacije IKE in IPsec ter tabelo povezav. Vsak lahko zaostaja za drugimi, in prav ta zamik večina ljudi opisuje kot tunel, ki se ne vrne.
Kaj failback v resnici spremeni
Iskanje poti je vidni del. Ko si opazovani objekt opomore, se opazovana pot do zunanjega naslova peera vrne, in naslednji paket, ki ga ASA pošlje, spet sledi primarni povezavi. Vse po tem je odvisno od tega, ali se obstoječe stanje ujema z novo potjo.
ARP in NAT sta tihi odvisnosti. Novi next hop potrebuje razrešljiv prehod in prevod, ki še ustreza oddaljenemu koncu, sicer prvi paketi po failbacku ne gredo nikamor in pot je videti v redu, medtem ko nič ne deluje.
Štirje pogledi na eni časovni osi
Zabeležite iste štiri stvari pred prehodom, med njim in po njem, ker en posnetek ne more povedati, kateri sloj se je premaknil.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Pot, ki se ni nikoli spremenila, in pot, ki se je spremenila, medtem ko je starejša povezava obdržala svoje stanje posredovanja, dajeta enako pritožbo in povsem različne dokaze.
Zakaj stare povezave ostanejo na rezervni poti
ASA ne prekine toka zato, ker se je spremenila pot. Vzpostavljene povezave obdržijo odločitev o posredovanju, s katero so bile ustvarjene, platforma pa ponuja ločene kontrolnike za to, kako dolgo je to dovoljeno: floating-connection timeout in connection holddown. Ciscov priročnik za nastavitve povezav v ASA 9.24 podjetja Cisco ju obravnava kot različni vprašanji, in natanko tako se obnašata. Eden ureja preživetje obstoječega toka, drugi ureja, kdaj smejo novi tokovi uporabljati prednostno pot.
Preden spremenite katero od njiju, preberite veljavne vrednosti za svojo izdajo. Če ju znižate, zaprete seje, ki jih ljudje še uporabljajo. Če ju zvišate, je failback videti, kot da se ni zgodil, ker nove povezave ves čas hodijo po stari poti.
Tunel ne izmenja novih ključev, ker se je vrnila pot
Varnostne asociacije IPsec nosijo lastno izpogajano življenjsko dobo in preživijo spremembo poti, ki jih je nosila. Tunel lahko zato ostane dvignjen skozi failback, medtem ko se njegovo zunanje naslavljanje ne ujema več s potjo, ki se uporablja; to je argument za DPD in za zasnove, ki naslov peera fiksirajo, namesto da bi ga pustile lebdeti.
Zasnove crypto-map in VTI se tukaj obnašajo drugače, in Ciscova dokumentacija za 9.24 VTI opisuje možnost, ki temelji na poteh. Stara splošna trditev, da ASA ne more poganjati VPN-ov na osnovi poti, ne velja za podprte izdaje.
Dokaze berite v tem vrstnem redu
Začnite v krmilni ravnini: show route za izbrano pot, show interface za stanje povezave in števci monitorja SLA za opazovani objekt. Nato preberite show crypto ikev2 sa, ali ustreznik za IKEv1, da vidite, kateri peer je živ, zatem pa show crypto ipsec sa za zaščitene tokove. Nato zožite tabelo povezav s show conn address <host> in primerjajte stolpec vmesnika pri starih in novih vnosih. Izpise zapišite s časovnimi žigi, ker je njihov vrstni red diagnoza.
Končajte s testom aplikacije: en tok, ki je že obstajal, in eden, ustvarjen po vrnitvi poti. Če stari tok odpove in novi deluje, imate zgodbo o stanju povezave. Če odpovejo vsi trije, sta tunel ali politika napačna, tabela povezav pa je odvračanje pozornosti.
Ta zapis hranite v enaki obliki v vseh treh fazah in zabeležite točno izdajo. Ko časovna os še naprej kaže na en sam prehod, pošljite zapis podpori, namesto da ugibate ID napake.