Failback kwenye ASA: ni nini hasa kinachosogea njia inaporejea

Kwenye ASA yenye uplink mbili, failback si kinyume cha failover. Njia kuelekea peer hubadilika, kisha jukwaa lazima lipatanishe mashine tatu tofauti za hali: jedwali la njia, vyama vya usalama vya IKE na IPsec, na jedwali la miunganisho. Kila moja inaweza kuchelewa nyuma ya nyingine, na ucheleweshaji huo ndio watu wengi huita handaki lisilorejea.

Failback hubadilisha nini hasa

Utafutaji wa njia ni sehemu inayoonekana. Kitu kinachofuatiliwa kinapopona, njia inayofuatiliwa kuelekea anwani ya nje ya peer inarejea, na pakiti inayofuata ambayo ASA inatuma inafuata tena kiungo kikuu. Kila kitu baada ya hapo kinategemea kama hali iliyopo inapatana na njia mpya.

ARP na NAT ni tegemezi za kimya. Next hop mpya inahitaji lango linaloweza kutatuliwa na tafsiri inayolingana bado na mwisho wa mbali, vinginevyo pakiti za kwanza baada ya failback haziendi popote na njia inaonekana sawa wakati hakuna kinachofanya kazi.

Mitazamo minne kwenye mstari mmoja wa muda

Andika mambo hayo manne kabla, wakati na baada ya mpito, kwa sababu picha moja haiwezi kukuambia tabaka gani lilisogea.

Njia ambayo haikubadilika kamwe na njia iliyobadilika wakati muunganisho wa zamani ulihifadhi hali yake ya uwasilishaji hutoa malalamiko yale yale na ushahidi tofauti kabisa.

Kwa nini miunganisho ya zamani hubaki kwenye njia ya akiba

ASA haivunji mtiririko kwa sababu njia ilibadilika. Miunganisho iliyoanzishwa huhifadhi uamuzi wa uwasilishaji iliyoanzishwa nao, na jukwaa hutoa vidhibiti tofauti vya muda gani hilo linaruhusiwa: floating-connection timeout na connection holddown. mwongozo wa mipangilio ya miunganisho wa ASA 9.24 ya Cisco inazichukulia kama maswali mawili tofauti, na ndivyo zinavyotenda. Moja inadhibiti kuendelea kwa mtiririko uliopo; nyingine inadhibiti ni lini mitiririko mipya inaweza kutumia njia inayopendekezwa.

Kabla ya kubadilisha mojawapo, soma thamani zinazotumika kwa toleo lako. Kuzipunguza hufunga vipindi ambavyo watu bado wanavitumia. Kuziongeza hufanya failback ionekane kama haijatokea kamwe, kwa sababu miunganisho mipya huendelea kuchukua njia ya zamani muda wote huo.

Handaki haiingii tena mkataba wa funguo kwa sababu njia imerejea

Vyama vya usalama vya IPsec hubeba muda wake wa maisha uliojadiliwa na huhimili mabadiliko ya njia yaliyovibeba. Kwa hiyo handaki linaweza kubaki juu katika failback wakati anwani yake ya nje hailingani tena na njia inayotumika, na hii ndiyo hoja ya DPD na miundo inayofunga anwani ya peer badala ya kuiacha ielea.

Miundo ya crypto-map na VTI hufanya tofauti hapa, na nyaraka za Cisco za 9.24 VTI zinaeleza chaguo la msingi wa njia. Dai la zamani la jumla kwamba ASA haiwezi kuendesha VPN za msingi wa njia halitumiki kwa matoleo yanayotumika.

Soma ushahidi kwa mpangilio huu

Anza na ndege ya udhibiti: show route kwa njia iliyochaguliwa, show interface kwa hali ya kiungo, na vihesabu vya kifuatilia SLA kwa kitu kinachofuatiliwa. Kisha soma show crypto ikev2 sa, au kifano cha IKEv1, kuona peer yupi yuko hai, ikifuatiwa na show crypto ipsec sa kwa mitiririko iliyolindwa. Kisha punguza jedwali la miunganisho kwa show conn address <host> na linganisha safu ya kiolesura kwenye maingizo ya zamani na mapya. Andika matokeo pamoja na mihuri ya muda, kwa sababu mpangilio wake ndio utambuzi.

Maliza kwa jaribio la programu: mtiririko mmoja uliokuwepo tayari na mmoja ulioundwa baada ya njia kurejea. Ikiwa mtiririko wa zamani unashindikana na mpya unafanya kazi, una hadithi ya hali ya muunganisho. Ikiwa vyote vinashindikana, handaki au sera si sahihi na jedwali la miunganisho ni kikengeusha.

Hifadhi kumbukumbu hiyo kwa umbo lile lile katika awamu zote tatu na andika toleo kamili. Mstari wa muda unapoendelea kuashiria mpito mmoja tu, tuma kumbukumbu kwa msaada badala ya kukisia kitambulisho cha hitilafu.