สองคริปโตแมป หนึ่งโฟลว์: รายการที่เพิ่มทีหลังไม่ใช่แบ็กอัป

เพิ่มรายการคริปโตแมปที่สองสำหรับคู่ที่อยู่เดียวกัน ชี้ไปที่พีร์อื่น แล้วคุณก็เขียนแผนสลับเมื่อล้มเหลวแล้ว นั่นคือตำนาน และมันอยู่รอดเพราะดูเหมือนรายการเรียงลำดับอื่น ๆ ที่คุณกำหนดค่าไว้ ลำดับในคริปโตแมปเป็นตัวกำหนดว่ารายการใดอ้างสิทธิ์โฟลว์ใหม่ ไม่ใช่รายการใดรับช่วงต่อเมื่อพีร์หยุดตอบ ไม่มีอะไรในรายการนั้นเฝ้าดูปลายทางไกล รายการที่สองจึงนั่งอยู่เฉย ๆ โดยไม่มีการอ้างสิทธิ์ใด ๆ

ตำนาน: ลำดับหมายถึงสำรอง

รายการเรียงลำดับที่มีสองรายการและคำจำกัดความร่วมกันหนึ่งอันให้ความรู้สึกเหมือนตัวหลักและตัวสำรอง ความคล้ายคลึงสิ้นสุดที่ไวยากรณ์ เอกสาร ASA ของ Cisco อธิบายคริปโตแมปว่าเป็นโมเดลนโยบายที่จับคู่ทราฟฟิกที่ได้รับการป้องกันและระบุการจัดวางพีร์สำหรับมัน และการจับคู่เกิดขึ้นกับรายการที่อ้างสิทธิ์โฟลว์ก่อน ความพร้อมใช้งานของพีร์ระยะไกลไม่ใช่ส่วนหนึ่งของการประเมินนั้น

สิ่งที่คุณสร้างคือนโยบายที่จะไม่ถูกปรึกษาสำหรับโฟลว์นั้นเลย บวกกับคอมเมนต์ในบันทึกการเปลี่ยนแปลงที่อ้างว่ามีความซ้ำซ้อน

ลำดับอ้างสิทธิ์โฟลว์ และเพียงครั้งเดียว

แต่ละรายการถือรายการควบคุมการเข้าถึงหรือคำจำกัดความของโฟลว์ที่ได้รับการป้องกัน และแพ็กเก็ตขาออกใหม่แต่ละแพ็กเก็ตจะถูกเปรียบเทียบกับคำจำกัดความเหล่านั้นตามลำดับ รายการแรกที่คำจำกัดความตรงกันจะเป็นเจ้าของโฟลว์และพีร์ของมัน รายการที่สองที่มีคำจำกัดความเหมือนกันจะไม่ได้คิวเลย เพราะรายการแรกตรงกันแล้ว ส่วนรายการที่สองที่มีคำจำกัดความแคบกว่าจะให้บริการเฉพาะโฟลว์ที่รายการแรกไม่ได้อ้างสิทธิ์

พฤติกรรมนั้นมีประโยชน์เมื่อคุณตัดข้อยกเว้นออกจากนโยบายกว้าง ๆ อย่างตั้งใจ และมันไร้ประโยชน์ในฐานะกลไกสลับเมื่อล้มเหลว ตรวจสอบว่าเกิดอะไรขึ้นจริงกับ show crypto map และ show crypto ipsec sa peer จากนั้นติดตามแพ็กเก็ตสังเคราะห์ไปตามเส้นทางที่คุณเชื่อว่ามันใช้ การติดตามจะระบุรายการที่อ้างสิทธิ์มัน และนั่นคือคำตอบเดียวที่สำคัญ

การเลือกเส้นทางและความเป็นเจ้าของนโยบายเป็นการตัดสินใจแยกกัน

ตารางเส้นทางตอบว่าแพ็กเก็ตถูกส่งต่อไปที่ใด นโยบายคริปโตตอบว่าการป้องกันใดและพีร์ใดใช้กับทราฟฟิกที่เลือก การทำสำเนาคู่ต้นทางและปลายทางภายใต้พีร์อื่นจะเปลี่ยนการตัดสินใจที่สองและปล่อยการตัดสินใจแรกไว้ไม่แตะต้อง คำตอบจึงอาจยังตามเกตเวย์เดิมในขณะที่แพ็กเก็ตขาออกใช้พีร์ใหม่ ความไม่สมมาตรนั้นสร้างอุโมงค์ที่รายงานว่าทำงานอยู่และไม่ปล่อยอะไรผ่านไป

รักษาสัญญากับปลายทางไกลให้ต่างตอบแทนกันด้วย: ตัวตนที่ยอมรับ ช่วงที่อยู่ที่ได้รับการป้องกัน รวมถึงเส้นทางกลับสำหรับคำนำหน้าที่สนใจและการอนุญาตสำหรับบริการ ทางเลือกขาออกทางเลือกที่อีกฝั่งไม่คาดคิดไม่ใช่เส้นทางทางเลือก แต่เป็นครึ่งหนึ่งของมัน

เส้นทางทางเลือกจริงต้องมีอะไร

เลือกกลไกที่ออกแบบมาสำหรับงานนี้: กลุ่มผู้สมัครพีร์ที่รองรับ อุโมงค์ที่กำหนดเส้นทางพร้อมสแตติกแบบลอยหรือการเชื่อมโยงข้างเคียงของการกำหนดเส้นทางแบบไดนามิกพาดผ่าน หรือการออกแบบความซ้ำซ้อนใด ๆ ที่แพลตฟอร์มของคุณจัดทำเอกสารไว้สำหรับบริการนั้น จากนั้นเขียนว่าองค์ประกอบใดตรวจจับความล้มเหลวและองค์ประกอบใดเลือกทางเลือก เพราะสิ่งเหล่านั้นเป็นสองหน้าที่ต่างกันและบ่อยครั้งเป็นสองทีมต่างกัน

การแปลที่อยู่ยังสามารถให้ที่อยู่ที่นำเสนอที่สองแก่ไซต์ได้ แต่จะเปลี่ยนตัวเลือก การบันทึก และกฎการเข้าถึงตามต้นทางในเวลาเดียวกัน มองสิ่งนั้นเป็นข้อกำหนดที่ชัดเจน ไม่ใช่ทางแก้ชั่วคราวสำหรับสองรายการที่กำกวม

ทดสอบสามสถานะ ไม่ใช่หนึ่ง

การกำหนดค่าจะเสร็จสมบูรณ์เมื่อมีคำตอบที่ปกป้องได้สำหรับการทำงานปกติ สำหรับสถานะที่ตัวหลักล้มเหลว และสำหรับการกลับไปยังตัวหลัก ทดสอบทั้งสามและบันทึกว่ารายการนโยบายใดและพีร์ใดให้บริการแต่ละสถานะ การทดสอบที่หยุดหลังสถานะแรกพิสูจน์ว่าการออกแบบทำงานเมื่อไม่มีอะไรผิด ซึ่งเป็นสถานะที่คุณไม่จำเป็นต้องตรวจสอบ

แยกแยะการทับซ้อนที่กำหนดค่าไว้จากการอยู่ร่วมกันอย่างชอบธรรมของความสัมพันธ์เก่าและใหม่ระหว่างการสร้างคีย์ใหม่ SA ที่ใช้งานอยู่หลายตัวเป็นเรื่องปกติและชั่วคราว สองรายการที่แย่งชิงโฟลว์เดียวเป็นเรื่องถาวรและมองไม่เห็น