Две крипто мапе, један ток: каснији унос није резерва

Додајте други унос крипто мапе за исти пар адреса, усмерите га ка другом партнеру и написали сте план пребацивања при квару. То је мит и он опстаје јер изгледа као свака друга уређена листа коју сте конфигурисали. Редослед у крипто мапи одлучује који унос захтева нови ток, а не који унос преузима када партнер престане да одговара. Ништа на тој листи не надгледа удаљени крај, па други унос само стоји тамо и ништа не захтева.

Мит: редослед значи резерву

Уређена листа са два уноса и једном заједничком дефиницијом делује као примарна и секундарна. Сличност се завршава на синтакси. Cisco документација за ASA описује крипто мапу као модел политике који упарује заштићени саобраћај и именује распоред партнера за њега, а упаривање се врши према уносу који први захтева ток. Доступност удаљеног партнера није део те процене.

Оно што сте изградили је политика која никада неће бити консултована за тај ток, плус коментар у запису промене који тврди редундансу.

Редослед захтева ток, и то само једном

Сваки унос држи листу контроле приступа или дефиницију заштићеног тока, а сваки нови одлазни пакет се пореди са тим дефиницијама по редоследу. Први унос чија се дефиниција поклапа поседује ток и његовог партнера. Други унос са идентичном дефиницијом никада не добија ред, јер се први већ поклопио; други унос са ужом дефиницијом служи само токовима које први није захтевао.

То понашање је корисно када намерно изрезујете изузетке из широке политике, а бескорисно је као механизам пребацивања при квару. Проверите шта се стварно догодило са show crypto map и show crypto ipsec sa peer, затим пратите синтетички пакет путањом за коју верујете да је прелази. Праћење ће именовати унос који га је захтевао, и то је једини одговор који је важан.

Избор руте и власништво над политиком су одвојене одлуке

Табела рутирања одговара куда се пакет прослеђује. Крипто политика одговара која заштита и који партнер се примењују на изабрани саобраћај. Дуплирање пара извора и одредишта под другим партнером мења другу одлуку и оставља прву нетакнутом, па одговори могу и даље да прате стари пролаз док одлазни пакет узима новог партнера. Та асиметрија ствара тунел који извештава да је активан и не пропушта ништа.

Одржите и узајамност уговора са удаљеним крајем: прихваћени идентитет, заштићени опсези адреса, повратну руту за занимљиве префиксе и дозволу за услугу. Алтернативни одлазни избор који друга страна не очекује није алтернативна путања, већ половина једне.

Шта је потребно правој алтернативној путањи

Изаберите механизам пројектован за задатак: подржану групу кандидата за партнере, рутиран тунел са лебдећом статичком или динамичком рутирачком суседношћу преко њега, или било који дизајн редундансе који ваша платформа документује за ту услугу. Затим запишите која компонента открива квар и која компонента бира алтернативу, јер су то две различите функције и често два различита тима.

Превод адреса може и локацији да да другу представљену адресу, али истовремено мења селекторе, евидентирање и правила приступа заснована на извору. Третирајте то као експлицитан захтев, а не као заобилазно решење за два нејасна уноса.

Тестирајте три стања, не једно

Конфигурација је завршена само када има одбрањив одговор за нормалан рад, за стање квара примарног и за повратак на примарни. Тестирајте сва три и запишите који унос политике и који партнер је служио сваком. Тест који се заустави после првог стања доказује да дизајн ради када ништа није погрешно, а то је стање које није требало да проверавате.

Разликујте и конфигурисано преклапање од легитимне коегзистенције старих и нових асоцијација током обнове кључева. Неколико активних SA је нормално и привремено; два уноса која се боре за један ток су трајна и невидљива.