Failback trên ASA: thực sự cái gì di chuyển khi tuyến đường quay lại
Tuyến đường quay lại đường chính không có nghĩa là các luồng cũ đã di chuyển. Hãy quan sát đồng thời uplink, đường hầm, bảng kết nối và kết quả ứng dụng.
Trên một ASA có hai uplink, failback không phải là phép đảo ngược của failover. Tuyến đường tới peer thay đổi, và sau đó nền tảng phải dung hòa ba máy trạng thái riêng biệt: bảng định tuyến, các hiệp hội bảo mật IKE và IPsec, và bảng kết nối. Mỗi thứ có thể chậm hơn các thứ khác, và chính độ trễ đó là điều mà hầu hết mọi người gọi là đường hầm không trở lại.
Failback thực sự thay đổi điều gì
Việc tra tuyến là phần nhìn thấy được. Khi đối tượng được giám sát phục hồi, tuyến được giám sát tới địa chỉ bên ngoài của peer quay lại, và gói tiếp theo mà ASA gửi lại đi theo liên kết chính. Mọi thứ sau đó phụ thuộc vào việc trạng thái hiện có có khớp với đường mới hay không.
ARP và NAT là những phụ thuộc thầm lặng. Một next hop mới cần cổng có thể phân giải và bản dịch vẫn khớp với đầu xa, nếu không các gói đầu tiên sau failback sẽ không đi đâu cả và tuyến trông vẫn ổn trong khi không gì hoạt động.
Bốn góc nhìn trên một dòng thời gian
Ghi lại đúng bốn thứ đó trước, trong và sau khi chuyển đổi, vì một ảnh chụp duy nhất không thể cho biết lớp nào đã di chuyển.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Một tuyến không bao giờ thay đổi và một tuyến đã thay đổi trong khi kết nối cũ vẫn giữ trạng thái chuyển tiếp của nó tạo ra cùng một lời phàn nàn và bằng chứng hoàn toàn khác nhau.
Vì sao các kết nối cũ ở lại đường dự phòng
ASA không cắt một luồng chỉ vì tuyến đã thay đổi. Các kết nối đã thiết lập giữ quyết định chuyển tiếp mà chúng được tạo ra, và nền tảng cung cấp các điều khiển riêng cho việc đó được phép trong bao lâu: floating-connection timeout và connection holddown. hướng dẫn cấu hình kết nối của ASA 9.24 của Cisco coi chúng là hai câu hỏi riêng biệt, và chúng hành xử đúng như vậy. Một cái quản lý sự sống còn của luồng hiện có; cái kia quản lý thời điểm các luồng mới được dùng đường ưu tiên.
Hãy đọc các giá trị hiệu lực cho phiên bản của bạn trước khi thay đổi bất kỳ cái nào. Giảm chúng sẽ đóng các phiên mà người dùng vẫn đang dùng. Tăng chúng khiến failback trông như chưa từng xảy ra, vì các kết nối mới tiếp tục đi đường cũ suốt thời gian đó.
Đường hầm không thương lượng lại khóa chỉ vì tuyến đường quay lại
Các hiệp hội bảo mật IPsec mang thời gian sống đã thương lượng riêng và sống sót qua thay đổi tuyến đường đã mang chúng. Vì vậy một đường hầm có thể vẫn ở trạng thái lên trong suốt failback trong khi địa chỉ bên ngoài của nó không còn khớp với đường đang dùng, và đây là lý lẽ cho DPD và cho các thiết kế ghim địa chỉ peer thay vì để nó trôi.
Các thiết kế crypto-map và VTI hành xử khác ở đây, và tài liệu Cisco cho 9.24 VTI mô tả tùy chọn dựa trên tuyến. Khẳng định chung cũ rằng ASA không thể chạy VPN dựa trên tuyến không đúng với các phiên bản được hỗ trợ.
Đọc bằng chứng theo thứ tự này
Bắt đầu từ mặt phẳng điều khiển: show route cho tuyến đã chọn, show interface cho trạng thái liên kết và bộ đếm của giám sát SLA cho đối tượng được giám sát. Sau đó đọc show crypto ikev2 sa, hoặc tương đương IKEv1, để xem peer nào còn sống, tiếp theo là show crypto ipsec sa cho các luồng được bảo vệ. Sau đó thu hẹp bảng kết nối bằng show conn address <host> và so sánh cột giao diện ở các mục cũ và mới. Ghi lại đầu ra kèm dấu thời gian, vì thứ tự của chúng chính là chẩn đoán.
Kết thúc bằng một bài kiểm tra ứng dụng: một luồng đã tồn tại và một luồng được tạo sau khi tuyến quay lại. Nếu luồng cũ thất bại và luồng mới hoạt động, bạn có một câu chuyện về trạng thái kết nối. Nếu cả hai đều thất bại, đường hầm hoặc chính sách sai và bảng kết nối chỉ là thứ gây phân tâm.
Giữ bản ghi đó ở cùng một dạng trong cả ba giai đoạn và ghi lại phiên bản chính xác. Khi dòng thời gian tiếp tục chỉ vào một lần chuyển đổi duy nhất, hãy gửi bản ghi cho bộ phận hỗ trợ thay vì đoán ID lỗi.