Moduli ASA FirePOWER nuk ka rrugë menaxhimi drejt FMC

FMC e shfaq modulin si të paarritshëm, regjistrimi mbetet në pritje, dhe një ping nga brenda ASA-s funksionon pa të meta. Në një vendosje ekzistuese të ASA FirePOWER, ai kombinim është normal. Moduli ka adresën e vet të menaxhimit, gateway-in e vet të parazgjedhur dhe vendimet e veta të rrugëzimit, dhe ndarja e një lidhjeje fizike menaxhimi me ASA-n në disa platforma nuk i bashkon ato në një stog të vetëm rrjeti. Dy pajisje përgjigjen nga dy këndvështrime të ndryshme në të njëjtin tel.

Sa vijon vlen për module që janë tashmë në shërbim. Përcaktoni modelin e shasisë, llojin e modulit dhe versionin e softuerit të mbështetur përpara se të aplikoni çdo skemë portash nga një udhëzues.

Vizatoni modulin si një host të veçantë

Filloni skemën me IP-në e menaxhimit të modulit, maskën dhe gateway-in e parazgjedhur, VLAN-in që e transporton vërtet atë lidhje, dhe adresën e FMC që duhet arritur. Më pas, në një kuti të veçantë, shkruani adresat e ndërfaqeve të ASA-s dhe tabelën e plotë të rrugëzimit. Nëse dy kutitë përfundojnë duke ndarë një nënrrjet me adresa të pronarëve të ndryshëm, keni gjetur pjesën interesante të problemit.

Udhëzuesi i modulit ASA FirePOWER tregon si ndryshojnë rregullimet e portave midis platformave, duke përfshirë instalimin e përbashkët të menaxhimit ku ASA dhe moduli mbajnë adresa të ndara në të njëjtin segment. Ai diagram hardueri është një hyrje për projektimin, jo një fusnotë.

Gjeni ku thyhet rruga e kthimit

Merrni një rregullim të rrugëzuar përmes bërthamës. Moduli dërgon trafikun drejt FMC-s në një bërthamë Layer 3, bërthama përcjell destinacionin e menaxhimit në distancë drejt ndërfaqes së brendshme të ASA-s, dhe VPN-ja e sitit e çon atë në anën tjetër. Siti në distancë ka nevojë më pas për një rrugë kthimi drejt nënrrjetit të menaxhimit të modulit. Çdo hap në atë zinxhir mund të jetë i saktë ndërsa ajo rruga e fundit mungon, dhe për këtë arsye dështimi duket kaq shpesh si një tunel i thyer.

Lexoni pamjen e vetë ASA-s përpara se të ndryshoni çdo gjë:

show interface ip brief
show route
show running-config interface

Komanda e tretë ka rëndësi, sepse një adresë ndërfaqeje që harruat është pikërisht ajo që e bën rrugën e kthimit të ulet në pajisjen e gabuar.

Kontrolloni çfarë ASA e konsideron të lidhur

Nëse ASA ka një adresë në nënrrjetin e menaxhimit të modulit, rruga e saj e lidhur zotëron atë prefiks. Një rrugë statike drejt bërthamës nuk e zhvendos pronësinë e rrugës së lidhur, kështu që paketa kthehet te ASA dhe ndalon atje. Regjistrimi më pas dështon në një pikë që nuk ka asnjë lidhje me kredencialet.

Mos konkludoni se një kontroll i caktuar kundër falsifikimit e hodhi paketën, përveç nëse keni përpara vëzhgimet e vetë pajisjes. Krahasoni në vend të kësaj ndërfaqen hyrëse, rrugën e destinacionit të zgjedhur dhe kufirin e përcjelljes midis menaxhimit dhe të dhënave që mbështetet për atë platformë. Këto tre fakte zakonisht zbulojnë konfliktin e topologjisë përpara se dikush të fillojë të rivendosë çelësat e regjistrimit.

Zgjidhni një korrigjim që e mban modulin të lidhur

Heqja e adresës së ASA-s nga ai segment dhe çaktivizimi fizik i një porte të përbashkët nuk janë veprime ekuivalente. Në platformat ku moduli kalon në të njëjtën lidhje fizike menaxhimi, çaktivizimi i portës heq lidhjen e vetme të modulit — do të kishit kthyer një problem rrugëzimi në një pajisje të vdekur. Preferoni ndryshimin që rishpërndan pronësinë e rrugëzimit të menaxhimit, dhe përgatiteni atë me pronarin e rrjetit të pranishëm.

Një opsion i dytë i mbështetur është t’i jepet rrugës administrative të ASA-s segmenti i vet, kështu që nënrrjeti i menaxhimit të modulit të ketë një pronar të vetëm. Kjo kushton një adresë dhe pak dokumentacion, dhe e eliminon paqartësinë përgjithmonë. Cilëndo rrugë të zgjidhni, më pas konfirmoni që moduli ende arrin si FMC-në ashtu edhe burimet e tij DNS ose NTP.

Regjistrohuni vetëm kur rruga të jetë koherente

Pasi rruga e kthimit të jetë e pastër, planifikoni lidhjen e menaxhimit dhe parametrat e regjistrimit sipas udhëzuesit përkatës të versionit të FMC-s dhe modulit. Mbani sekretet e regjistrimit jashtë shënimeve dhe biletave të përbashkëta, dhe kundërshtoni tundimin për t’u regjistruar përsëri si hap diagnostik: një çelës i ri në një rrugë të thyer prodhon vetëm të njëjtin dështim me një vulë kohe më të re.

Pranoni rrugën nga stogu i menaxhimit i vetë modulit dhe jo nga një ping që niset nga ASA, sepse burimi i provës është pikërisht ajo që është nën dyshim. Regjistroni hapin tjetër të modulit, zgjedhjen e VPN-së në ASA dhe rrugën e përgjigjes së FMC-s, dhe mbani një metodë të pavarur rikuperimi për të dy rolet e menaxhimit. Ai regjistrim është ai që ndan një transport të riparuar nga një regjistrim i suksesshëm.

Kur moduli më në fund shfaqet në FMC, ekzekutoni përsëri të njëjtat tre komanda dhe ruani daljen pranë diagramit. Personi i radhës që prek atë segment menaxhimi do të ketë nevojë pikërisht për atë krahasim.