Dalawang crypto map, isang daloy: ang huling entry ay hindi backup

Magdagdag ng pangalawang entry ng crypto map para sa parehong pares ng address, ituro ito sa ibang peer, at nakasulat ka na ng plano sa failover. Iyan ang mito, at nabubuhay ito dahil mukhang anumang iba pang nakaayos na listahan na na-configure mo. Ang pagkakasunod-sunod sa isang crypto map ang nagpapasya kung aling entry ang nag-aangkin ng bagong daloy, hindi kung aling entry ang pumapalit kapag tumigil ang isang peer sa pagsagot. Wala sa listahang iyon ang nagmamanman sa malayong dulo, kaya ang pangalawang entry ay nakaupo lamang doon nang walang inaangkin.

Ang mito: ang pagkakasunod-sunod ay nangangahulugang reserba

Ang nakaayos na listahan na may dalawang entry at isang shared na depinisyon ay parang primary at secondary. Nagtatapos ang pagkakatulad sa sintaks. Inilalarawan ng dokumentasyon ng ASA ng Cisco ang crypto map bilang modelong patakaran na tumutugma sa protektadong trapiko at nagpapangalan ng kaayusan ng peer para dito, at ang pagtutugma ay nangyayari laban sa entry na unang nag-aangkin ng daloy. Ang pagiging available ng malayong peer ay hindi bahagi ng pagsusuring iyon.

Ang itinayo mo ay isang patakarang hindi kailanman sasangguni para sa daloy na iyon, kasama ang isang komento sa talaan ng pagbabago na nagsasabing may redundancy.

Inaangkin ng pagkakasunod-sunod ang daloy, at isang beses lamang

Bawat entry ay may listahan ng kontrol sa pag-access o depinisyon ng protektadong daloy, at bawat bagong papalabas na packet ay inihahambing sa mga depinisyong iyon ayon sa pagkakasunod-sunod. Ang unang entry na tumutugma ang depinisyon ang nagmamay-ari ng daloy at ng peer nito. Ang pangalawang entry na may kaparehong depinisyon ay hindi kailanman nakakakuha ng pagkakataon, dahil tumugma na ang una; ang pangalawang entry na may mas makitid na depinisyon ay naglilingkod lamang sa mga daloy na hindi inangkin ng una.

Ang gawi na iyon ay kapaki-pakinabang kapag sinadyang nagpuputol ka ng mga eksepsiyon mula sa malawak na patakaran, at walang silbi ito bilang mekanismo ng failover. Tingnan kung ano talaga ang nangyari gamit ang show crypto map at show crypto ipsec sa peer, pagkatapos ay subaybayan ang isang sintetikong packet sa landas na inaakala mong tinatahak nito. Pangalanan ng pagsubaybay ang entry na nag-angkin nito, at iyon ang tanging sagot na mahalaga.

Ang pagpili ng ruta at pagmamay-ari ng patakaran ay magkahiwalay na desisyon

Sinasagot ng routing table kung saan ipinapasa ang packet. Sinasagot ng crypto policy kung aling proteksiyon at aling peer ang nalalapat sa piniling trapiko. Ang pagdoble ng pares ng pinagmulan at destinasyon sa ilalim ng ibang peer ay nagbabago ng pangalawang desisyon at iniiwan ang una nang hindi ginalaw, kaya ang mga sagot ay maaaring sumunod pa rin sa lumang gateway habang ang papalabas na packet ay kumukuha ng bagong peer. Ang asimetriyang iyon ay gumagawa ng tunnel na nag-uulat na aktibo at walang pinapayagang dumaan.

Panatilihin ding reciprocal ang kontrata sa malayong dulo: tinatanggap na pagkakakilanlan, mga protektadong saklaw ng address, isang rutang pabalik para sa mga kawili-wiling prefix at pahintulot para sa serbisyo. Ang alternatibong pagpiling papalabas na hindi inaasahan ng kabilang panig ay hindi alternatibong landas, ito ay kalahati nito.

Ano ang kailangan ng tunay na alternatibong landas

Pumili ng mekanismong dinisenyo para sa gawain: isang sinusuportahang grupo ng mga kandidatong peer, isang routed tunnel na may lumulutang na static o dynamic na routing adjacency sa ibabaw nito, o anumang disenyo ng redundancy na idinokumento ng iyong platform para sa serbisyong iyon. Pagkatapos ay isulat kung aling component ang tumutukoy sa pagpalya at aling component ang pumipili ng alternatibo, dahil iyon ay dalawang magkaibang tungkulin at madalas dalawang magkaibang team.

Ang pagsasalin ng address ay maaari ding magbigay sa isang site ng pangalawang ipinakita na address, ngunit sabay nitong binabago ang mga selector, pag-log at mga tuntunin sa pag-access na nakabatay sa pinagmulan. Ituring iyon na tahasang pangangailangan at hindi bilang pansamantalang solusyon para sa dalawang malabong entry.

Subukan ang tatlong estado, hindi isa

Ang configuration ay natapos lamang kapag mayroon itong maipagtatanggol na sagot para sa normal na operasyon, para sa estado ng pagpalya ng primary at para sa pagbabalik sa primary. Subukan ang lahat ng tatlo at itala kung aling entry ng patakaran at aling peer ang nagsilbi sa bawat isa. Ang pagsubok na huminto pagkatapos ng unang estado ay nagpapatunay na gumagana ang disenyo kapag walang mali, at iyon ang estadong hindi mo kailangang suriin.

Ibahin din ang naka-configure na overlap sa lehitimong pag-iral nang sabay ng luma at bagong asosasyon sa panahon ng pagbuo muli ng mga key. Maraming aktibong SA ay normal at pansamantala; ang dalawang entry na nag-aagawan sa isang daloy ay permanente at hindi nakikita.