Dy harta crypto, një rrjedhë: hyrja e mëvonshme nuk është kopje rezervë

Shtoni një hyrje të dytë të hartës crypto për të njëjtin çift adresash, drejtojeni nga një peer tjetër dhe keni shkruar një plan kalimi në dështim. Ky është miti, dhe ai mbijeton sepse duket si çdo listë tjetër e renditur që keni konfiguruar. Sekuenca në një hartë crypto vendos cila hyrje kërkon një rrjedhë të re, jo cila hyrje merr kontrollin kur një peer ndalon së përgjigjuri. Asgjë në atë listë nuk monitoron skajin e largët, kështu që hyrja e dytë thjesht rri atje pa kërkuar asgjë.

Miti: rendi do të thotë rezervë

Një listë e renditur me dy hyrje dhe një përkufizim të përbashkët duket si primare dhe sekondare. Ngjashmëria mbaron në sintaksë. Dokumentacioni i Cisco për ASA e përshkruan hartën crypto si modelin e politikës që përputh trafikun e mbrojtur dhe emërton rregullimin e peer-ve për të, dhe përputhja bëhet kundrejt hyrjes që kërkon rrjedhën e para. Disponueshmëria e një peer-i të largët nuk është pjesë e asaj vlerësimi.

Ajo që keni ndërtuar është një politikë që nuk do të konsultohet kurrë për atë rrjedhë, plus një koment në një regjistër ndryshimesh që pretendon tepricë.

Sekuenca kërkon rrjedhën, dhe vetëm një herë

Çdo hyrje mban një listë kontrolli aksesi ose një përkufizim të rrjedhës së mbrojtur, dhe çdo paketë e re dalëse krahasohet me ato përkufizime sipas rendit. Hyrja e parë, përkufizimi i së cilës përputhet, zotëron rrjedhën dhe peer-in e saj. Një hyrje e dytë me përkufizim identik nuk merr kurrë radhën, sepse e para tashmë është përputhur; një hyrje e dytë me përkufizim më të ngushtë shërben vetëm rrjedhat që e para nuk i kërkoi.

Kjo sjellje është e dobishme kur prisni qëllimisht përjashtime nga një politikë e gjerë, dhe është e pavlefshme si mekanizëm kalimi në dështim. Kontrolloni çfarë ndodhi në të vërtetë me show crypto map dhe show crypto ipsec sa peer, më pas ndiqni një paketë sintetike përgjatë rrugës që mendoni se merr. Gjurmimi do të emërtojë hyrjen që e kërkoi, dhe kjo është e vetmja përgjigje që ka rëndësi.

Zgjedhja e rrugës dhe pronësia e politikës janë vendime të ndara

Një tabelë rrugëtimi përgjigjet se ku përcilllet paketa. Politika crypto përgjigjet se cila mbrojtje dhe cili peer zbatohen për trafikun e zgjedhur. Dyfishimi i një çifti burim-destinacion nën një peer tjetër ndryshon vendimin e dytë dhe lë të parin të paprekur, kështu që përgjigjet mund të vazhdojnë të ndjekin portën e vjetër ndërsa paketa dalëse merr peer-in e ri. Kjo asimetri prodhon një tunel që raporton se është aktiv dhe nuk lë asgjë të kalojë.

Mbani gjithashtu reciprocitetin e kontratës me skajin e largët: identiteti i pranuar, intervalet e adresave të mbrojtura, një rrugë kthimi për prefikset me interes dhe leje për shërbimin. Një zgjedhje alternative dalëse që pala tjetër nuk e pret nuk është rrugë alternative, është gjysma e një të tillë.

Çfarë i nevojitet një rruge alternative të vërtetë

Zgjidhni një mekanizëm të projektuar për detyrën: një grup i mbështetur kandidatësh peer, një tunel i rrugëtuar me një statik fluturues ose një fqinjësi rrugëtimi dinamik mbi të, ose çdo projekt teprice që platforma juaj dokumenton për atë shërbim. Më pas shkruani cili komponent zbulon dështimin dhe cili komponent zgjedh alternativën, sepse ato janë dy funksione të ndryshme dhe shpesh dy ekipe të ndryshme.

Përkthimi i adresave mund t'i japë një faqeje edhe një adresë të dytë të paraqitur, por ndryshon njëkohësisht përzgjedhësit, regjistrimin dhe rregullat e aksesit të bazuara në burim. Trajtojeni atë si një kërkesë të qartë dhe jo si një zgjidhje e përkohshme për dy hyrje të paqarta.

Testoni tre gjendje, jo një

Konfigurimi përfundon vetëm kur ka një përgjigje të mbrojtshme për funksionimin normal, për gjendjen e dështimit të primarit dhe për kthimin te primari. Testoni të treja dhe regjistroni cila hyrje politike dhe cili peer shërbeu secilën. Një test që ndalon pas gjendjes së parë provon që projekti funksionon kur asgjë nuk është gabim, dhe kjo është gjendja që nuk kishit nevojë ta kontrollonit.

Dalloni gjithashtu mbivendosjen e konfiguruar nga bashkëjetesa legjitime e asociacioneve të vjetra dhe të reja gjatë një rigjenerimi çelësash. Disa SA aktive janë normale dhe të përkohshme; dy hyrje që luftojnë për një rrjedhë janë të përhershme dhe të padukshme.