ASA FirePOWER modulining FMC ga boshqaruv yo‘nalishi yo‘q

FMC modulni yetib bo‘lmaydigan deb ko‘rsatadi, ro‘yxatga olish kutish holatida qoladi, ASA ichidan ping esa benuqson ishlaydi. Mavjud ASA FirePOWER joriy etishida bu birikma odatiy hol. Modulning o‘z boshqaruv manzili, o‘z standart shlyuzi va o‘z yo‘naltirish qarorlari bor, va ba’zi platformalarda ASA bilan jismoniy boshqaruv ulanishini bo‘lishish ularni bitta tarmoq stekiga birlashtirmaydi. Ikkita qurilma bir simda ikki xil nuqtai nazardan javob beradi.

Quyidagilar allaqachon xizmatda bo‘lgan modullarga tegishli. Qo‘llanmadagi har qanday port sxemasini qo‘llashdan oldin korpus modelini, modul turini va qo‘llab-quvvatlanadigan dasturiy ta’minot versiyasini aniqlang.

Modulni alohida xost sifatida chizing

Sxemani modulning boshqaruv IP si, maskasi va standart shlyuzi, shu ulanishni amalda olib yuruvchi VLAN va yetib borish kerak bo‘lgan FMC manzili bilan boshlang. So‘ng alohida katakda ASA ning interfeys manzillari va uning to‘liq yo‘naltirish jadvalini yozing. Ikki katak oxir-oqibat turli egalarga tegishli manzillar bilan bitta quyi tarmoqni bo‘lishsa, muammoning qiziqarli qismini topdingiz.

ASA FirePOWER moduli qo‘llanmasi portlar joylashuvi platformalar bo‘yicha qanday farq qilishini ko‘rsatadi, jumladan ASA va modul bir segmentda alohida manzillarga ega bo‘lgan umumiy boshqaruv simlari. Bu apparat sxemasi loyihalash uchun kirish ma’lumoti, izoh emas.

Qaytish yo‘li qayerda uzilishini toping

Yadro orqali yo‘naltirilgan joylashuvni oling. Modul FMC ga ketayotgan trafikni Layer 3 yadrosiga yuboradi, yadro uzoq boshqaruv manzilini ASA ning ichki interfeysiga yo‘naltiradi, sayt VPN esa uni narigi tomonga olib boradi. So‘ng uzoq saytga modulning boshqaruv quyi tarmog‘iga qaytish yo‘li kerak. Bu zanjirdagi har bir qadam to‘g‘ri bo‘lishi mumkin, ammo o‘sha oxirgi yo‘l yetishmaydi, shuning uchun nosozlik ko‘pincha uzilgan tunnelga o‘xshaydi.

Biror narsani o‘zgartirishdan oldin ASA ning o‘z ko‘rinishini o‘qing:

show interface ip brief
show route
show running-config interface

Uchinchi buyruq muhim, chunki unutgan interfeys manzilingiz qaytish yo‘lini noto‘g‘ri qurilmaga tushirib qo‘yadigan narsaning o‘zi.

ASA nimani ulangan deb hisoblashini tekshiring

Agar ASA modulning boshqaruv quyi tarmog‘ida manzilga ega bo‘lsa, uning ulangan yo‘nalishi shu prefiksga egalik qiladi. Yadro tomon statik yo‘nalish ulangan yo‘nalish egaligini siqib chiqarmaydi, shuning uchun paket ASA ga qaytadi va shu yerda to‘xtaydi. Keyin ro‘yxatga olish hisob ma’lumotlariga hech qanday aloqasi bo‘lmagan nuqtada muvaffaqiyatsizlikka uchraydi.

Muayyan anti-spoofing tekshiruvi paketni tashlab yubordi degan xulosaga kelmang, agar oldingizda qurilmaning o‘z kuzatuvlari bo‘lmasa. Buning o‘rniga kiruvchi interfeysni, tanlangan manzil yo‘nalishini va shu platforma uchun qo‘llab-quvvatlanadigan boshqaruv va ma’lumot o‘rtasidagi uzatish chegarasini solishtiring. Bu uch fakt odatda kimdir ro‘yxatga olish kalitlarini tiklashni boshlashidan oldin topologiya ziddiyatini fosh qiladi.

Modulni ulangan holda qoldiradigan tuzatishni tanlang

O‘sha segmentdan ASA manzilini olib tashlash va umumiy portni jismonan o‘chirish teng harakatlar emas. Modul aynan shu jismoniy boshqaruv ulanishida yuradigan platformalarda portni o‘chirish modulning yagona aloqasini olib tashlaydi — siz yo‘naltirish muammosini o‘lik qurilmaga aylantirgan bo‘lasiz. Boshqaruv yo‘naltirish egaligini qayta taqsimlaydigan o‘zgartirishni afzal ko‘ring va uni tarmoq egasi ishtirokida tayyorlang.

Ikkinchi qo‘llab-quvvatlanadigan variant ASA ning ma’muriy yo‘liga o‘z segmentini berishdir, shunda modulning boshqaruv quyi tarmog‘i bitta egaga ega bo‘ladi. Bu bitta manzil va ozgina hujjatga tushadi va noaniqlikni butunlay yo‘q qiladi. Qaysi yo‘lni tanlamang, keyin modul hali ham FMC ga va o‘z DNS yoki NTP manbalariga yetib borishini tasdiqlang.

Yo‘l izchil bo‘lgachgina ro‘yxatdan o‘ting

Qaytish yo‘li toza bo‘lgach, tegishli FMC va modul versiyasi qo‘llanmasidan boshqaruv ulanishi va ro‘yxatga olish parametrlarini rejalashtiring. Ro‘yxatga olish sirlarini umumiy eslatmalar va chiptalardan tashqarida saqlang va diagnostika qadami sifatida qayta ro‘yxatdan o‘tish vasvasasiga qarshi turing: uzilgan yo‘lda yangi kalit faqat yangiroq vaqt belgisi bilan o‘sha nosozlikni keltirib chiqaradi.

Yo‘lni ASA dan chiqqan pingdan emas, modulning o‘z boshqaruv stekidan qabul qiling, chunki sinov manbasi aynan gumondagi narsadir. Modulning keyingi qadamini, ASA ning VPN tanlovini va FMC ning javob yo‘nalishini yozib oling, va ikkala boshqaruv roli uchun mustaqil tiklash usulini saqlang. Aynan o‘sha yozuv tuzatilgan transportni muvaffaqiyatli ro‘yxatga olishdan ajratadi.

Modul nihoyat FMC da paydo bo‘lganda, xuddi shu uchta buyruqni qayta ishga tushiring va natijani sxema yonida saqlang. O‘sha boshqaruv segmentiga tegadigan keyingi odamga aynan shu taqqoslash kerak bo‘ladi.