Dva kripto zemljevida, en tok: poznejši vnos ni varnostna kopija

Dodajte drugi vnos kripto zemljevida za isti par naslovov, usmerite ga na drugega peera in napisali ste načrt preklopa ob napaki. To je mit in preživi zato, ker je videti kot vsak drug urejen seznam, ki ste ga konfigurirali. Zaporedje v kripto zemljevidu odloča, kateri vnos zahteva nov tok, ne kateri vnos prevzame, ko peer preneha odgovarjati. Nič na tem seznamu ne spremlja oddaljenega konca, zato drugi vnos samo sedi tam in ne zahteva ničesar.

Mit: vrstni red pomeni rezervo

Urejen seznam z dvema vnosoma in eno skupno definicijo se zdi primarni in sekundarni. Podobnost se konča pri sintaksi. Dokumentacija Cisco za ASA opisuje kripto zemljevid kot model politike, ki ujame zaščiten promet in zanj poimenuje razporeditev peerov, ujemanje pa poteka proti vnosu, ki tok zahteva prvi. Razpoložljivost oddaljenega peera ni del te ocene.

Kar ste zgradili, je politika, ki ne bo nikoli obravnavana za ta tok, plus komentar v zapisu sprememb, ki trdi odvečnost.

Zaporedje zahteva tok, in to samo enkrat

Vsak vnos vsebuje seznam za nadzor dostopa ali definicijo zaščitenega toka, in vsak nov odhodni paket se primerja s temi definicijami po vrstnem redu. Prvi vnos, katerega definicija se ujema, ima v lasti tok in svojega peera. Drugi vnos z enako definicijo nikoli ne dobi vrste, ker se je prvi že ujemal; drugi vnos z ožjo definicijo streže le tokovom, ki jih prvi ni zahteval.

To vedenje je koristno, ko namerno izrezujete izjeme iz široke politike, in neuporabno kot mehanizem preklopa ob napaki. Preverite, kaj se je dejansko zgodilo z show crypto map in show crypto ipsec sa peer, nato pa sledite sintetičnemu paketu po poti, za katero verjamete, da jo ubira. Sledenje bo imenovalo vnos, ki ga je zahteval, in to je edini odgovor, ki šteje.

Izbira poti in lastništvo politike sta ločeni odločitvi

Usmerjevalna tabela odgovori, kam se paket posreduje. Kripto politika odgovori, katera zaščita in kateri peer veljata za izbrani promet. Podvajanje para vira in cilja pod drugim peerom spremeni drugo odločitev in pusti prvo nedotaknjeno, zato lahko odgovori še vedno sledijo stari prehodni točki, medtem ko odhodni paket vzame novega peera. Ta asimetrija ustvari tunel, ki poroča, da deluje, in ne spusti ničesar skozi.

Ohranite tudi vzajemnost pogodbe z oddaljenim koncem: sprejeta identiteta, zaščitena območja naslovov, povratno pot za zanimive predpone in dovoljenje za storitev. Alternativna odhodna izbira, ki je druga stran ne pričakuje, ni alternativna pot, je polovica ene.

Kaj potrebuje resnična alternativna pot

Izberite mehanizem, zasnovan za nalogo: podprto skupino kandidatov za peerje, usmerjen tunel s plavajočim statičnim ali dinamičnim usmerjevalnim sosedstvom čezenj, ali kateri koli načrt redundance, ki ga vaša platforma dokumentira za to storitev. Nato zapišite, katera komponenta zazna napako in katera komponenta izbere alternativo, ker sta to dve različni funkciji in pogosto dve različni ekipi.

Prevajanje naslovov lahko spletnemu mestu da tudi drugi predstavljeni naslov, vendar hkrati spremeni selektorje, beleženje in pravila dostopa na podlagi vira. Obravnavajte to kot izrecno zahtevo in ne kot obhod za dva dvoumna vnosa.

Preizkusite tri stanja, ne enega

Konfiguracija je končana šele, ko ima zagovorljiv odgovor za običajno delovanje, za stanje okvare primarnega in za vrnitev na primarno. Preizkusite vse tri in zabeležite, kateri vnos politike in kateri peer je služil vsakemu. Preizkus, ki se ustavi po prvem stanju, dokazuje, da zasnova deluje, ko ni nič narobe, in to je stanje, ki ga ni bilo treba preveriti.

Razlikujte tudi med konfiguriranim prekrivanjem in zakonitim soobstojem starih in novih asociacij med obnovo ključev. Več aktivnih SA je običajnih in začasnih; dva vnosa, ki se borita za en tok, sta trajna in nevidna.