Failback на ASA: шта се заиста помера када се рута врати
Повратак руте на примарни пут не значи да су стари токови прешли. Посматрајте заједно uplink, тунел, табелу веза и резултат апликације.
На ASA са два uplink-а failback није обрнути поступак од failover-а. Рута према peer-у се мења, а платформа затим мора да усклади три одвојена стања: табелу рута, сигурносне асоцијације IKE и IPsec и табелу веза. Свако може да касни за осталима, а управо то кашњење већина људи описује као тунел који се не враћа.
Шта failback заиста мења
Претрага рута је видљиви део. Када се праћени објекат опорави, праћена рута до спољне адресе peer-а се враћа, а следећи пакет који ASA пошаље поново иде примарним линком. Све након тога зависи од тога да ли се постојеће стање слаже са новим путем.
ARP и NAT су тихе зависности. Нови next hop тражи решив gateway и превод који још одговара удаљеној страни, иначе први пакети након failback-а не иду никуда, а рута изгледа исправно док ништа не ради.
Четири погледа на једној временској оси
Забележите исте четири ствари пре прелаза, током њега и после, јер један снимак не може да каже који се слој померио.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Рута која се никада није променила и рута која се променила док је старија веза задржала своје стање прослеђивања дају исту жалбу и сасвим различите доказе.
Зашто старе везе остају на резервном путу
ASA не руши ток зато што се рута променила. Успостављене везе задржавају одлуку о прослеђивању са којом су створене, а платформа нуди одвојене контроле за то колико је дуго то дозвољено: floating-connection timeout и connection holddown. Cisco водич кроз подешавања веза у ASA 9.24 компаније Cisco их третира као различита питања, и управо се тако понашају. Једно уређује преживљавање постојећег тока, друго када нови токови смеју да користе пожељни пут.
Прочитајте важеће вредности за своје издање пре него што промените било коју. Њихово снижавање затвара сесије које људи још користе. Подизање чини да failback изгледа као да се није догодио, јер нове везе цело време иду старим путем.
Тунел не мења кључеве јер се рута вратила
Сигурносне асоцијације IPsec носе сопствени преговарани животни век и преживљавају промену руте која их је носила. Тунел зато може остати подигнут кроз failback док његово спољно адресирање више не одговара путу који се користи, што је аргумент за DPD и за дизајне који фиксирају адресу peer-а уместо да је пусте да лебди.
Crypto-map и VTI дизајни се овде понашају другачије, а Cisco документација за 9.24 VTI описује опцију засновану на рутама. Стара општа тврдња да ASA не може да покреће VPN-ове засноване на рутама не важи за подржана издања.
Читајте доказе овим редом
Почните с контролном равни: show route за изабрани пут, show interface за стање линка и бројачи SLA монитора за праћени објекат. Затим прочитајте show crypto ikev2 sa, или еквивалент за IKEv1, да видите који је peer жив, а након тога show crypto ipsec sa за заштићене токове. Потом сузите табелу веза помоћу show conn address <host> и упоредите колону интерфејса код старих и нових уноса. Запишите излазе с временским ознакама, јер њихов редослед јесте дијагноза.
Завршите тестом апликације: један ток који је већ постојао и један створен након повратка руте. Ако стари ток падне, а нови ради, имате причу о стању везе. Ако оба падну, тунел или правило нису добри, а табела веза је одвраћање пажње.
Држите тај запис у истом облику кроз све три фазе и забележите тачно издање. Када временска оса стално показује на један прелаз, пошаљите запис подршци уместо да нагађате ID грешке.