ASA da failback: marshrut qaytganda aslida nima siljiydi
Marshrutning asosiyga qaytishi eski oqimlar ko'chganini bildirmaydi. Uplink, tunnel, ulanishlar jadvali va ilova natijasini birga kuzating.
Ikki uplinkli ASA da failback failoverning teskarisi emas. Peer ga boruvchi marshrut o'zgaradi, so'ngra platforma uchta alohida holat mashinasini uyg'unlashtirishi kerak: marshrutlar jadvali, IKE va IPsec xavfsizlik assotsiatsiyalari va ulanishlar jadvali. Har biri boshqalardan orqada qolishi mumkin, va ko'pchilik odamlar qaytmaydigan tunnel deb aynan shu kechikishni aytadi.
failback aslida nimani o'zgartiradi
Marshrut qidiruvi ko'rinadigan qism. Kuzatilayotgan obyekt tiklansa, peer ning tashqi manziliga boruvchi kuzatilayotgan marshrut qaytadi va ASA yuboradigan keyingi paket yana asosiy havola bo'ylab ketadi. Undan keyingi hamma narsa mavjud holat yangi yo'lga mos kelishiga bog'liq.
ARP va NAT jimgina bog'liqliklardir. Yangi next hop uchun hal qilinadigan shlyuz va uzoq tomonga hali mos keladigan tarjima kerak, aks holda failback dan keyingi birinchi paketlar hech qayerga ketmaydi va hech narsa ishlamasa ham marshrut yaxshi ko'rinadi.
Bitta vaqt chizig'idagi to'rt ko'rinish
Xuddi shu to'rt narsani o'tishdan oldin, uning davomida va keyin yozib oling, chunki bitta surat qaysi qatlam siljiganini ayta olmaydi.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Hech qachon o'zgarmagan marshrut va eski ulanish o'zining uzatish holatini saqlab qolgan holda o'zgargan marshrut bir xil shikoyat va butunlay boshqa dalillarni beradi.
Eski ulanishlar nega zaxira yo'lda qoladi
Marshrut o'zgargani uchun ASA oqimni uzmaydi. O'rnatilgan ulanishlar yaratilgan paytdagi uzatish qarorini saqlaydi, platforma esa bunga qancha vaqt ruxsat berilishini boshqarish uchun alohida boshqaruvlarni taqdim etadi: floating-connection timeout va connection holddown. Cisco ning ASA 9.24 ulanish sozlamalari bo'yicha qo'llanma ularni alohida savollar deb biladi va ular aynan shunday ishlaydi. Biri mavjud oqimning omon qolishini, ikkinchisi yangi oqimlar qachon afzal yo'ldan foydalanishi mumkinligini boshqaradi.
Ikkalasidan birini o'zgartirishdan oldin versiyangiz uchun amaldagi qiymatlarni o'qing. Ularni pasaytirish odamlar hali ishlatayotgan sessiyalarni yopadi. Oshirish failback hech qachon bo'lmagandek ko'rsatadi, chunki yangi ulanishlar shu vaqt davomida eski yo'ldan boradi.
Marshrut qaytgani uchun tunnel kalitlarni qayta kelishmaydi
IPsec xavfsizlik assotsiatsiyalari o'zlarining kelishilgan umrini olib yuradi va ularni olib o'tgan marshrut o'zgarishidan omon qoladi. Shuning uchun tunnel failback davomida yuqorida turishi mumkin, uning tashqi manzillash endi ishlatilayotgan yo'lga mos kelmasa ham; bu DPD va peer manzilini suzishga qo'yib bermasdan mahkamlaydigan loyihalar uchun dalildir.
crypto-map va VTI loyihalari bu yerda boshqacha ishlaydi, va Cisco ning 9.24 VTI hujjati marshrutga asoslangan variantni tavsiflaydi. ASA marshrutga asoslangan VPN larni ishga tushira olmaydi degan eski umumiy da'vo qo'llab-quvvatlanadigan versiyalar uchun to'g'ri kelmaydi.
Dalillarni shu tartibda o'qing
Boshqaruv tekisligidan boshlang: tanlangan yo'l uchun show route, havola holati uchun show interface va kuzatilayotgan obyekt uchun SLA monitori hisoblagichlari. Keyin qaysi peer tirikligini ko'rish uchun show crypto ikev2 sa, yoki IKEv1 ekvivalentini o'qing, so'ngra himoyalangan oqimlar uchun show crypto ipsec sa. So'ng show conn address <host> bilan ulanishlar jadvalini toraytiring va eski va yangi yozuvlardagi interfeys ustunini solishtiring. Natijalarni vaqt belgilari bilan yozing, chunki ularning tartibi tashxis hisoblanadi.
Ilova sinovi bilan yakunlang: allaqachon mavjud bo'lgan bitta oqim va marshrut qaytganidan keyin yaratilgan bittasi. Eski oqim muvaffaqiyatsiz bo'lib, yangisi ishlasa, sizda ulanish holati haqida hikoya bor. Ikkalasi ham muvaffaqiyatsiz bo'lsa, tunnel yoki siyosat noto'g'ri va ulanishlar jadvali chalg'ituvchi narsa.
O'sha yozuvni uch bosqichning barchasida bir xil shaklda saqlang va aniq versiyani qayd eting. Vaqt chizig'i doim bitta o'tishni ko'rsatsa, xato ID sini taxmin qilish o'rniga yozuvni qo'llab-quvvatlash xizmatiga yuboring.