Модул ASA FirePOWER нема управљачку руту до FMC-а

FMC приказује модул као недоступан, регистрација стоји на чекању, а ping из унутрашњости ASA уређаја ради беспрекорно. На постојећој ASA FirePOWER инсталацији та комбинација је нормална. Модул има сопствену управљачку адресу, сопствени подразумевани гејтвеј и сопствене одлуке о рутирању, а дељење физичке управљачке везе са ASA уређајем на неким платформама не спаја то у један мрежни стек. Два уређаја одговарају са два различита гледишта на истој жици.

Следеће се односи на модуле који су већ у употреби. Утврдите модел кућишта, тип модула и подржану верзију софтвера пре примене било које шеме портова из приручника.

Нацртајте модул као засебан хост

Започните шему управљачком IP адресом модула, маском и подразумеваним гејтвејом, VLAN-ом који стварно носи ту везу и адресом FMC-а коју треба достићи. Затим у засебном правоугаонику запишите адресе интерфејса ASA уређаја и његову пуну табелу рутирања. Ако два правоугаоника на крају деле подмрежу са адресама различитих власника, пронашли сте занимљиви део проблема.

Приручник за ASA FirePOWER модул показује како се распоред портова разликује међу платформама, укључујући заједничко управљачко ожичење где ASA и модул имају засебне адресе у истом сегменту. Та хардверска шема је улазни податак за пројектовање, а не фуснота.

Пронађите где се прекида повратна путања

Узмите распоред са рутирањем кроз језгро. Модул шаље саобраћај према FMC-у у језгро Layer 3, језгро прослеђује удаљени управљачки одредиште ка унутрашњем интерфејсу ASA уређаја, а VPN локације га носи на другу страну. Удаљена локација затим треба руту назад у управљачку подмрежу модула. Сваки корак у том ланцу може бити исправан док та последња рута недостаје, и зато квар тако често изгледа као покварен тунел.

Прочитајте сопствени поглед ASA уређаја пре било какве измене:

show interface ip brief
show route
show running-config interface

Трећа наредба је важна јер адреса интерфејса коју сте заборавили је управо оно што повратну путању доводи на погрешан уређај.

Проверите шта ASA сматра повезаним

Ако ASA има адресу у управљачкој подмрежи модула, његова повезана рута поседује тај префикс. Статичка рута ка језгру не потискује власништво повезане руте, па се пакет враћа на ASA и тамо се зауставља. Регистрација тада пада у тачки која нема никакве везе са акредитивима.

Не закључујте да је одређена провера против лажног представљања одбацила пакет, осим ако пред собом немате сопствена запажања уређаја. Уместо тога упоредите улазни интерфејс, изабрану руту до одредишта и подржану границу прослеђивања између управљања и података за ту платформу. Те три чињенице обично открију сукоб топологије пре него што ико почне да ресетује кључеве регистрације.

Изаберите исправку која задржава модул повезаним

Уклањање адресе ASA уређаја из тог сегмента и физичко искључивање заједничког порта нису истоветне радње. На платформама где модул иде преко исте физичке управљачке везе, искључивање порта уклања једину везу модула — претворили бисте проблем рутирања у мртав уређај. Преферирајте измену која прерасподељује власништво над управљачким рутирањем и припремите је уз присутног власника мреже.

Друга подржана опција је да административна путања ASA уређаја добије сопствени сегмент, тако да управљачка подмрежа модула има једног власника. То кошта једну адресу и мало документације и трајно уклања нејасноћу. Који год пут да изаберете, потом потврдите да модул још увек достиже и FMC и своје DNS или NTP изворе.

Региструјте се тек када путања буде усклађена

Када повратна путања буде чиста, испланирајте управљачку повезаност и параметре регистрације према одговарајућем приручнику за издање FMC-а и модула. Држите тајне регистрације изван заједничких белешки и тикета и одуприте се искушењу да се поново региструјете као дијагностички корак: нови кључ на поквареној путањи даје само исти квар са новијом временском ознаком.

Прихватите путању из сопственог управљачког стека модула, а не из ping-а који потиче са ASA уређаја, јер је извор теста управо оно што је под сумњом. Забележите следећи скок модула, избор VPN-а на ASA уређају и повратну руту FMC-а и задржите независан метод опоравка за обе управљачке улоге. Управо тај запис раздваја поправљени пренос од успешне регистрације.

Када се модул коначно појави у FMC-у, поново покрените исте три наредбе и сачувајте излаз поред шеме. Следећој особи која дотакне тај управљачки сегмент требаће управо то поређење.