โมดูล ASA FirePOWER ไม่มีเส้นทางจัดการไปยัง FMC

FMC แสดงโมดูลว่าเข้าถึงไม่ได้ การลงทะเบียนค้างอยู่ที่สถานะรอ และ ping จากภายใน ASA ทำงานได้อย่างสมบูรณ์ ในการติดตั้ง ASA FirePOWER ที่มีอยู่ ชุดค่านี้เป็นเรื่องปกติ โมดูลมีที่อยู่จัดการของตัวเอง มีเกตเวย์เริ่มต้นของตัวเอง และมีการตัดสินใจเรื่องเส้นทางของตัวเอง และการแชร์การเชื่อมต่อจัดการทางกายภาพกับ ASA บนบางแพลตฟอร์มไม่ได้รวมสิ่งเหล่านั้นเป็นสแตกเครือข่ายเดียว สองอุปกรณ์ตอบจากสองมุมมองที่ต่างกันบนสายเดียวกัน

สิ่งที่ตามมาข้างล่างใช้กับโมดูลที่ใช้งานอยู่แล้ว ระบุรุ่นของแชสซี ชนิดของโมดูล และเวอร์ชันซอฟต์แวร์ที่รองรับก่อนนำแผนภาพพอร์ตใด ๆ จากคู่มือไปใช้

วาดโมดูลเป็นโฮสต์แยกต่างหาก

เริ่มแผนภาพด้วย IP จัดการของโมดูล เน็ตมาสก์ และเกตเวย์เริ่มต้น VLAN ที่รับส่งการเชื่อมต่อนั้นจริง ๆ และที่อยู่ FMC ที่ต้องเข้าถึง จากนั้นในกล่องแยกต่างหาก ให้เขียนที่อยู่Interfaceของ ASA และตารางเส้นทางทั้งหมด ถ้าสองกล่องลงเอยด้วยการแชร์ซับเน็ตที่มีที่อยู่ของผู้ครอบครองต่างกัน คุณพบส่วนที่น่าสนใจของปัญหาแล้ว

คู่มือโมดูล ASA FirePOWER แสดงให้เห็นว่าการจัดวางพอร์ตแตกต่างกันระหว่างแพลตฟอร์มอย่างไร รวมถึงการเดินสายจัดการที่ใช้ร่วมกันซึ่ง ASA และโมดูลมีที่อยู่แยกกันในเซกเมนต์เดียวกัน แผนภาพฮาร์ดแวร์นั้นเป็นข้อมูลเข้าในการออกแบบ ไม่ใช่เชิงอรรถ

หา จุดที่เส้นทางขากลับขาด

ลองใช้รูปแบบที่กำหนดเส้นทางผ่านคอร์ โมดูลส่งทราฟฟิกที่มุ่งไปยัง FMC ไปยังคอร์ Layer 3 คอร์ส่งต่อปลายทางจัดการระยะไกลไปยังอินเทอร์เฟซด้านในของ ASA และ VPN ของไซต์นำส่งไปยังอีกด้านหนึ่ง จากนั้นไซต์ระยะไกลต้องการเส้นทางกลับไปยังซับเน็ตจัดการของโมดูล ทุกจุดในห่วงโซ่นั้นอาจถูกต้องในขณะที่เส้นทางสุดท้ายนั้นขาดไป และนั่นคือเหตุผลที่ความล้มเหลวมักดูเหมือนอุโมงค์ที่ขาด

อ่านมุมมองของ ASA เองก่อนแก้ไขสิ่งใด:

show interface ip brief
show route
show running-config interface

คำสั่งที่สามสำคัญเพราะที่อยู่Interfaceที่คุณลืมนั้นคือสิ่งที่ทำให้เส้นทางขากลับไปลงที่อุปกรณ์ผิดตัว

ตรวจสอบว่า ASA มองอะไรว่าเชื่อมต่ออยู่

ถ้า ASA มีที่อยู่ในซับเน็ตจัดการของโมดูล เส้นทางที่เชื่อมต่อของมันจะเป็นเจ้าของคำนำหน้านั้น เส้นทางแบบคงที่ไปยังคอร์ไม่ได้แทนที่ความเป็นเจ้าของเส้นทางที่เชื่อมต่อ แพ็กเก็ตจึงกลับมาที่ ASA และหยุดอยู่ที่นั่น การลงทะเบียนจึงล้มเหลว ณ จุดที่ไม่มีอะไรเกี่ยวข้องกับข้อมูลรับรองเลย

อย่าสรุปว่าการตรวจสอบการปลอมแปลงเฉพาะอย่างใดอย่างหนึ่งทิ้งแพ็กเก็ตนั้น เว้นแต่คุณจะมีข้อสังเกตของอุปกรณ์เองอยู่ตรงหน้า ให้เปรียบเทียบอินเทอร์เฟซขาเข้า เส้นทางปลายทางที่เลือก และขอบเขตการส่งต่อระหว่างการจัดการกับข้อมูลที่รองรับสำหรับแพลตฟอร์มนั้นแทน ข้อเท็จจริงสามข้อนี้มักเผยความขัดแย้งของโทโพโลยี ก่อนที่ใครจะเริ่มรีเซ็ตกุญแจลงทะเบียน

เลือกการแก้ไขที่ทำให้โมดูลยังเชื่อมต่อได้

การเอาที่อยู่ของ ASA ออกจากเซกเมนต์นั้นกับการปิดพอร์ตที่ใช้ร่วมกันทางกายภาพไม่ใช่การกระทำที่เทียบเท่ากัน บนแพลตฟอร์มที่โมดูลวิ่งบนการเชื่อมต่อจัดการทางกายภาพเดียวกัน การปิดพอร์ตจะตัดการเชื่อมต่อเดียวของโมดูลออก — คุณจะเปลี่ยนปัญหาการกำหนดเส้นทางให้กลายเป็นอุปกรณ์ที่ตายแล้ว ให้เลือกการเปลี่ยนแปลงที่จัดสรรความเป็นเจ้าของการกำหนดเส้นทางจัดการใหม่ และเตรียมการโดยมีเจ้าของเครือข่ายอยู่ด้วย

ตัวเลือกที่รองรับอีกอย่างคือให้เส้นทางบริหารของ ASA มีเซกเมนต์ของตัวเอง เพื่อให้ซับเน็ตจัดการของโมดูลมีเจ้าของเพียงรายเดียว สิ่งนี้มีค่าใช้จ่ายเป็นที่อยู่หนึ่งรายการและเอกสารเล็กน้อย และขจัดความกำกวมอย่างถาวร ไม่ว่าคุณจะเลือกเส้นทางใด ให้ยืนยันภายหลังว่าโมดูลยังเข้าถึงทั้ง FMC และแหล่ง DNS หรือ NTP ของมันได้

ลงทะเบียนเมื่อเส้นทางสอดคล้องกันแล้วเท่านั้น

เมื่อเส้นทางขากลับสะอาดแล้ว ให้วางแผนการเชื่อมต่อจัดการและพารามิเตอร์การลงทะเบียนจากคู่มือเวอร์ชันของ FMC และโมดูลที่ตรงกัน เก็บความลับการลงทะเบียนไว้นอกบันทึกและตั๋วที่แชร์กัน และต้านทานการลงทะเบียนซ้ำเป็นขั้นตอนวินิจฉัย: กุญแจใหม่บนเส้นทางที่ขาดเพียงสร้างความล้มเหลวเดิมพร้อมตราเวลาที่ใหม่กว่า

ยอมรับเส้นทางจากสแตกจัดการของโมดูลเอง ไม่ใช่จาก ping ที่ริเริ่มจาก ASA เพราะแหล่งที่มาของการทดสอบคือสิ่งที่อยู่ภายใต้ความสงสัย บันทึกฮอปถัดไปของโมดูล การเลือก VPN ของ ASA และเส้นทางตอบกลับของ FMC และเก็บวิธีกู้คืนที่เป็นอิสระสำหรับบทบาทจัดการทั้งสอง บันทึกนั้นคือสิ่งที่แยกการขนส่งที่ซ่อมแล้วออกจากการลงทะเบียนที่สำเร็จ

เมื่อโมดูลปรากฏใน FMC ในที่สุด ให้รันสามคำสั่งเดิมอีกครั้งและบันทึกผลลัพธ์ไว้ข้างแผนภาพ คนถัดไปที่แตะเซกเมนต์จัดการนั้นจะต้องใช้การเปรียบเทียบนั้น