ASAలో failback: మార్గం తిరిగి వచ్చినప్పుడు నిజంగా ఏమి కదులుతుంది
మార్గం ప్రాథమికానికి తిరిగి రావడం పాత ప్రవాహాలు కదిలాయని కాదు. uplink, టన్నెల్, కనెక్షన్ పట్టిక మరియు అప్లికేషన్ ఫలితాన్ని కలిసి చూడండి.
రెండు uplink ఉన్న ASAలో failback అనేది failover యొక్క వ్యతిరేకం కాదు. peer వైపు మార్గం మారుతుంది, ఆ తర్వాత ప్లాట్‌ఫారమ్ మూడు వేర్వేరు స్థితి యంత్రాలను సమన్వయం చేయాలి: మార్గ పట్టిక, IKE మరియు IPsec భద్రతా సంఘాలు, మరియు కనెక్షన్ పట్టిక. ప్రతిదీ ఇతరుల కంటే వెనుకబడవచ్చు, ఆ ఆలస్యాన్నే చాలామంది తిరిగి రాని టన్నెల్ అంటారు.
failback నిజంగా ఏమి మారుస్తుంది
మార్గ శోధన కనిపించే భాగం. పర్యవేక్షించబడే వస్తువు కోలుకున్నప్పుడు peer యొక్క బాహ్య చిరునామాకు ఉన్న పర్యవేక్షిత మార్గం తిరిగి వస్తుంది, ASA పంపే తదుపరి ప్యాకెట్ మళ్లీ ప్రాథమిక లింక్ ద్వారా వెళ్తుంది. దాని తర్వాత ప్రతిదీ ఉన్న స్థితి కొత్త మార్గంతో సరిపోతుందా అన్నదానిపై ఆధారపడి ఉంటుంది.
ARP మరియు NAT నిశ్శబ్ద ఆధారాలు. కొత్త next hop కి పరిష్కరించగల గేట్‌వే మరియు దూరపు చివరతో ఇంకా సరిపోయే అనువాదం అవసరం, లేకపోతే failback తర్వాత మొదటి ప్యాకెట్లు ఎక్కడికీ వెళ్లవు, ఏమీ పని చేయకపోయినా మార్గం బాగానే కనిపిస్తుంది.
ఒకే కాలరేఖపై నాలుగు దృశ్యాలు
మార్పుకు ముందు, మధ్యలో మరియు తర్వాత అదే నాలుగు విషయాలను నమోదు చేయండి, ఎందుకంటే ఒక స్నాప్‌షాట్ ఏ పొర కదిలిందో చెప్పలేదు.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
ఎప్పుడూ మారని మార్గం మరియు పాత కనెక్షన్ తన ఫార్వార్డింగ్ స్థితిని నిలుపుకుంటున్నప్పుడు మారిన మార్గం ఒకే ఫిర్యాదును మరియు పూర్తిగా భిన్నమైన సాక్ష్యాన్ని ఇస్తాయి.
పాత కనెక్షన్లు బ్యాకప్ మార్గంలో ఎందుకు ఉంటాయి
మార్గం మారిందని ASA ప్రవాహాన్ని తెగతెంపులు చేయదు. స్థాపించబడిన కనెక్షన్లు సృష్టించబడిన ఫార్వార్డింగ్ నిర్ణయాన్ని నిలుపుకుంటాయి, అది ఎంతకాలం అనుమతించబడుతుందనే దానికి ప్లాట్‌ఫారమ్ వేర్వేరు నియంత్రణలను ఇస్తుంది: floating-connection timeout మరియు connection holddown. Cisco యొక్క ASA 9.24 కనెక్షన్ సెట్టింగ్‌ల మార్గదర్శిని వాటిని వేర్వేరు ప్రశ్నలుగా పరిగణిస్తుంది, ప్రవర్తన సరిగ్గా అలాగే ఉంటుంది. ఒకటి ఉన్న ప్రవాహం నిలవడాన్ని నియంత్రిస్తుంది; మరొకటి కొత్త ప్రవాహాలు ఎప్పుడు ఇష్టమైన మార్గాన్ని ఉపయోగించవచ్చో నియంత్రిస్తుంది.
వాటిలో ఏదైనా మార్చే ముందు మీ విడుదలకు వర్తించే విలువలను చదవండి. వాటిని తగ్గించడం ప్రజలు ఇంకా ఉపయోగిస్తున్న సెషన్లను మూసివేస్తుంది. పెంచడం failback ఎప్పుడూ జరగనట్లుగా చూపిస్తుంది, ఎందుకంటే కొత్త కనెక్షన్లు ఆ మొత్తం సమయంలో పాత మార్గాన్నే తీసుకుంటాయి.
మార్గం తిరిగి రావడంతో టన్నెల్ మళ్లీ కీలు చర్చించుకోదు
IPsec భద్రతా సంఘాలు తమ సొంత చర్చించిన ఆయుష్షును మోస్తాయి మరియు వాటిని మోసిన మార్గ మార్పును తట్టుకుంటాయి. అందువల్ల టన్నెల్ failback అంతటా పైన ఉండవచ్చు, దాని బాహ్య చిరునామా ఇకపై ఉపయోగించే మార్గంతో సరిపోకపోయినా; ఇదే DPD మరియు peer చిరునామాను తేలియాడనివ్వకుండా స్థిరపరిచే డిజైన్లకు అనుకూల వాదన.
crypto-map మరియు VTI డిజైన్లు ఇక్కడ భిన్నంగా ప్రవర్తిస్తాయి, మరియు Cisco యొక్క 9.24 VTI పత్రం మార్గ ఆధారిత ఎంపికను వివరిస్తుంది. ASA మార్గ ఆధారిత VPNలను నడపలేదనే పాత సాధారణ ప్రకటన మద్దతు ఉన్న విడుదలలకు వర్తించదు.
సాక్ష్యాలను ఈ క్రమంలో చదవండి
నియంత్రణ తలం నుండి ప్రారంభించండి: ఎంచుకున్న మార్గానికి show route, లింక్ స్థితికి show interface, మరియు పర్యవేక్షిత వస్తువుకు SLA మానిటర్ కౌంటర్లు. తర్వాత ఏ peer సజీవంగా ఉందో చూడటానికి show crypto ikev2 sa, లేదా IKEv1 సమానమైనది చదవండి, ఆ తర్వాత రక్షిత ప్రవాహాలకు show crypto ipsec sa. తర్వాత show conn address <host> తో కనెక్షన్ పట్టికను సంకుచితం చేసి పాత మరియు కొత్త నమోదుల్లో ఇంటర్‌ఫేస్ నిలువును పోల్చండి. అవుట్‌పుట్‌లను సమయ ముద్రలతో రాయండి, ఎందుకంటే వాటి క్రమమే నిర్ధారణ.
అప్లికేషన్ పరీక్షతో ముగించండి: ఇప్పటికే ఉన్న ఒక ప్రవాహం మరియు మార్గం తిరిగి వచ్చిన తర్వాత సృష్టించిన మరొకటి. పాత ప్రవాహం విఫలమై కొత్తది పని చేస్తే, మీకు కనెక్షన్ స్థితి కథ ఉంది. రెండూ విఫలమైతే టన్నెల్ లేదా విధానం తప్పు మరియు కనెక్షన్ పట్టిక దృష్టి మళ్లించేది.
ఆ రికార్డును మూడు దశల్లోనూ ఒకే ఆకారంలో ఉంచి ఖచ్చితమైన విడుదలను నమోదు చేయండి. కాలరేఖ నిరంతరం ఒకే మార్పును సూచిస్తుంటే, బగ్ ID ఊహించడం బదులు రికార్డును మద్దతుకు పంపండి.