ASA'da failback: rota geri döndüğünde gerçekte ne hareket eder
Rotanın birincil yola dönmesi eski akışların taşındığı anlamına gelmez. Uplink'i, tüneli, bağlantı tablosunu ve uygulama sonucunu birlikte izleyin.
İki uplink'i olan bir ASA'da failback, failover'ın tersi değildir. Peer'e giden rota değişir ve ardından platformun üç ayrı durum makinesini uzlaştırması gerekir: yönlendirme tablosu, IKE ve IPsec güvenlik ilişkileri ve bağlantı tablosu. Her biri diğerlerinden geride kalabilir ve çoğu insanın geri dönmeyen tünel diye anlattığı şey tam olarak bu gecikmedir.
failback gerçekte neyi değiştirir
Rota araması görünen kısımdır. İzlenen nesne iyileştiğinde, peer'in dış adresine giden izlenen rota geri döner ve ASA'nın gönderdiği sonraki paket yine birincil bağlantıyı izler. Sonrasındaki her şey, mevcut durumun yeni yolla uyuşup uyuşmadığına bağlıdır.
ARP ve NAT sessiz bağımlılıklardır. Yeni bir next hop çözümlenebilir bir ağ geçidi ve uzak uçla hâlâ eşleşen bir çeviri gerektirir; aksi halde failback sonrası ilk paketler hiçbir yere gitmez ve hiçbir şey çalışmazken rota iyi görünür.
Tek bir zaman çizelgesinde dört bakış
Aynı dört şeyi geçişten önce, sırasında ve sonra kaydedin, çünkü tek bir anlık görüntü hangi katmanın hareket ettiğini söyleyemez.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Hiç değişmeyen bir rota ile eski bir bağlantı yönlendirme durumunu korurken değişen bir rota aynı şikâyeti ve tamamen farklı kanıtları üretir.
Eski bağlantılar neden yedek yolda kalır
ASA bir rotanın değişmesi yüzünden akışı koparmaz. Kurulmuş bağlantılar oluşturuldukları yönlendirme kararını korur ve platform bunun ne kadar süreyle izinli olduğuna dair ayrı denetimler sunar: floating-connection timeout ve connection holddown. Cisco'nun ASA 9.24 bağlantı ayarları kılavuzu bunları ayrı sorular olarak ele alır ve tam olarak öyle davranırlar. Biri mevcut bir akışın hayatta kalmasını, diğeri yeni akışların tercih edilen yolu ne zaman kullanabileceğini yönetir.
İkisinden birini değiştirmeden önce sürümünüz için geçerli değerleri okuyun. Bunları düşürmek, insanların hâlâ kullandığı oturumları kapatır. Yükseltmek ise failback hiç olmamış gibi gösterir, çünkü yeni bağlantılar o süre boyunca eski yolu kullanmaya devam eder.
Rota döndü diye tünel yeniden anahtar anlaşması yapmaz
IPsec güvenlik ilişkileri kendi anlaşılmış ömürlerini taşır ve onları taşıyan rota değişikliğini atlatır. Bu nedenle bir tünel failback boyunca ayakta kalabilirken dış adreslemesi artık kullanılan yolla eşleşmez; bu da DPD ve peer adresini yüzmeye bırakmak yerine sabitleyen tasarımlar için argümandır.
crypto-map ve VTI tasarımları burada farklı davranır, ve Cisco'nun 9.24 VTI belgeleri rota tabanlı seçeneği açıklar. ASA'nın rota tabanlı VPN çalıştıramayacağına dair eski genel iddia desteklenen sürümler için geçerli değildir.
Kanıtları bu sırayla okuyun
Kontrol düzleminden başlayın: seçilen yol için show route, bağlantı durumu için show interface ve izlenen nesne için SLA izleyicisinin sayaçları. Ardından hangi peer'in canlı olduğunu görmek için show crypto ikev2 sa, ya da IKEv1 eşdeğerini okuyun, peşinden korunan akışlar için show crypto ipsec sa. Sonra bağlantı tablosunu show conn address <host> ile daraltın ve eski ile yeni kayıtlarda arayüz sütununu karşılaştırın. Çıktıları zaman damgalarıyla yazın, çünkü sıraları tanının kendisidir.
Bir uygulama testiyle bitirin: zaten var olan bir akış ve rota döndükten sonra oluşturulan bir akış. Eski akış başarısız olup yenisi çalışırsa bağlantı durumu hikâyeniz var. İkisi de başarısız olursa tünel ya da politika yanlıştır ve bağlantı tablosu dikkat dağıtıcıdır.
O kaydı üç evrede de aynı biçimde tutun ve tam sürümü not edin. Zaman çizelgesi sürekli tek bir geçişi işaret ediyorsa, hata kimliği tahmin etmek yerine kaydı desteğe gönderin.