İki crypto map, tek akış: sonraki girdi yedek değildir

Aynı adres çifti için ikinci bir crypto map girdisi ekleyin, onu başka bir peer'a yönlendirin ve bir failover planı yazmış oldunuz. Bu bir mittir ve hayatta kalır çünkü yapılandırdığınız diğer her sıralı listeye benzer. Bir crypto map'teki sıra, yeni bir akışı hangi girdinin talep ettiğini belirler, bir peer yanıt vermeyi bıraktığında hangi girdinin devralacağını değil. O listede hiçbir şey uzak ucu izlemez, bu yüzden ikinci girdi orada oturur ve hiçbir şey talep etmez.

Mit: sıra yedek anlamına gelir

İki girdili ve tek paylaşılan tanımlı sıralı bir liste birincil ve ikincil gibi hissettirir. Benzerlik sözdiziminde biter. Cisco'nun ASA belgeleri crypto map'i korunan trafiği eşleştiren ve onun için peer düzenini adlandıran politika modeli olarak tanımlar ve eşleştirme akışı ilk talep eden girdiye karşı yapılır. Uzak bir peer'ın kullanılabilirliği bu değerlendirmenin parçası değildir.

İnşa ettiğiniz şey o akış için asla danışılmayacak bir politika, artı bir değişiklik kaydında yedeklilik iddia eden bir yorumdur.

Sıra akışı talep eder ve yalnızca bir kez

Her girdi bir erişim denetim listesi veya korunan akış tanımı tutar ve her yeni giden paket bu tanımlarla sırayla karşılaştırılır. Tanımı eşleşen ilk girdi akışa ve peer'ına sahiptir. Aynı tanıma sahip ikinci bir girdi asla sıra almaz, çünkü birincisi zaten eşleşmiştir; daha dar tanımlı ikinci bir girdi yalnızca birincinin talep etmediği akışlara hizmet eder.

Bu davranış geniş bir politikadan kasıtlı olarak istisnalar kestiğinizde yararlıdır ve failover mekanizması olarak işe yaramaz. show crypto map ve show crypto ipsec sa peer ile gerçekte ne olduğunu kontrol edin, ardından sentetik bir paketi izlediğine inandığınız yol boyunca izleyin. İzleme onu talep eden girdiyi adlandıracak ve önemli olan tek yanıt budur.

Yol seçimi ve politika sahipliği ayrı kararlardır

Bir yönlendirme tablosu paketin nereye iletildiğini yanıtlar. Crypto politikası seçilen trafiğe hangi korumanın ve hangi peer'ın uygulandığını yanıtlar. Bir kaynak ve hedef çiftini başka bir peer altında çoğaltmak ikinci kararı değiştirir ve birinciyi dokunulmadan bırakır, bu yüzden yanıtlar hâlâ eski ağ geçidini izleyebilirken giden paket yeni peer'ı alır. Bu asimetri çalıştığını bildiren ve hiçbir şey geçirmeyen bir tünel üretir.

Uzak uçla sözleşmeyi karşılıklı da tutun: kabul edilen kimlik, korunan adres aralıkları, ilgi çekici önekler için dönüş yolu ve hizmet için izin. Diğer tarafın beklemediği alternatif bir giden seçim alternatif bir yol değil, onun yarısıdır.

Gerçek bir alternatif yol neye ihtiyaç duyar

İş için tasarlanmış bir mekanizma seçin: desteklenen bir peer adayları grubu, üzerinden kayan statik veya dinamik yönlendirme komşuluğu olan yönlendirilmiş bir tünel veya platformunuzun o hizmet için belgelediği her türlü yedeklilik tasarımı. Sonra hangi bileşenin arızayı algıladığını ve hangi bileşenin alternatifi seçtiğini yazın, çünkü bunlar iki farklı işlev ve çoğu zaman iki farklı ekiptir.

Adres çevirisi bir siteye ikinci bir sunulan adres de verebilir, ancak aynı anda seçicileri, günlük kaydını ve kaynak tabanlı erişim kurallarını değiştirir. Bunu iki belirsiz girdi için geçici bir çözüm değil, açık bir gereksinim olarak ele alın.

Üç durumu test edin, birini değil

Yapılandırma ancak normal çalışma, birincil arıza durumu ve birincile dönüş için savunulabilir bir yanıtı olduğunda tamamlanır. Üçünü de test edin ve her birine hangi politika girdisinin ve hangi peer'ın hizmet ettiğini kaydedin. İlk durumdan sonra duran bir test, tasarımın hiçbir şey yanlış değilken çalıştığını kanıtlar ve bu, kontrol etmeniz gerekmeyen durumdur.

Anahtar yenileme sırasında eski ve yeni ilişkilerin meşru birlikteliğini yapılandırılmış örtüşmeden de ayırın. Birkaç etkin SA normal ve geçicidir; tek bir akış için savaşan iki girdi kalıcı ve görünmezdir.