Hai bản đồ crypto, một luồng: mục sau không phải bản dự phòng

Thêm mục bản đồ crypto thứ hai cho cùng cặp địa chỉ, trỏ nó tới một peer khác, và bạn đã viết một kế hoạch chuyển đổi dự phòng. Đó là huyền thoại, và nó tồn tại vì nó trông giống mọi danh sách có thứ tự khác mà bạn đã cấu hình. Thứ tự trong bản đồ crypto quyết định mục nào chiếm một luồng mới, không phải mục nào tiếp quản khi một peer ngừng trả lời. Không có gì trong danh sách đó giám sát đầu xa, nên mục thứ hai chỉ ngồi đó mà không chiếm gì cả.

Huyền thoại: thứ tự nghĩa là dự phòng

Một danh sách có thứ tự với hai mục và một định nghĩa chung có cảm giác như chính và phụ. Sự giống nhau kết thúc ở cú pháp. Tài liệu ASA của Cisco mô tả bản đồ crypto là mô hình chính sách khớp lưu lượng được bảo vệ và đặt tên cho cách bố trí peer cho nó, và việc khớp diễn ra với mục chiếm luồng trước. Tính sẵn sàng của một peer từ xa không phải là một phần của đánh giá đó.

Những gì bạn đã xây là một chính sách sẽ không bao giờ được tham chiếu cho luồng đó, cộng với một bình luận trong bản ghi thay đổi tuyên bố dự phòng.

Thứ tự chiếm luồng, và chỉ một lần

Mỗi mục chứa một danh sách kiểm soát truy cập hoặc một định nghĩa luồng được bảo vệ, và mỗi gói đi ra mới được so sánh với các định nghĩa đó theo thứ tự. Mục đầu tiên có định nghĩa khớp sẽ sở hữu luồng và peer của nó. Mục thứ hai có định nghĩa giống hệt không bao giờ đến lượt, vì mục đầu tiên đã khớp rồi; mục thứ hai có định nghĩa hẹp hơn chỉ phục vụ các luồng mà mục đầu tiên không chiếm.

Hành vi đó hữu ích khi bạn cố ý cắt các ngoại lệ ra khỏi một chính sách rộng, và nó vô dụng như một cơ chế chuyển đổi dự phòng. Kiểm tra điều gì thực sự đã xảy ra với show crypto map và show crypto ipsec sa peer, rồi theo dõi một gói tổng hợp qua đường đi mà bạn tin là nó đi. Việc theo dõi sẽ nêu tên mục đã chiếm nó, và đó là câu trả lời duy nhất quan trọng.

Chọn tuyến và quyền sở hữu chính sách là những quyết định riêng

Một bảng định tuyến trả lời gói được chuyển tiếp đi đâu. Chính sách crypto trả lời bảo vệ nào và peer nào áp dụng cho lưu lượng được chọn. Nhân bản một cặp nguồn và đích dưới một peer khác thay đổi quyết định thứ hai và để nguyên quyết định thứ nhất, nên các trả lời có thể vẫn đi theo cổng cũ trong khi gói đi ra lấy peer mới. Sự bất đối xứng đó tạo ra một đường hầm báo cáo là hoạt động và không cho gì đi qua.

Giữ hợp đồng với đầu xa cũng có đi có lại: danh tính được chấp nhận, dải địa chỉ được bảo vệ, một tuyến trở về cho các tiền tố đáng quan tâm và quyền cho dịch vụ. Một lựa chọn đi ra thay thế mà phía bên kia không mong đợi không phải là một đường thay thế, mà là một nửa của nó.

Một đường thay thế thực sự cần gì

Chọn một cơ chế được thiết kế cho công việc: một nhóm ứng viên peer được hỗ trợ, một đường hầm được định tuyến với static nổi hoặc kề cận định tuyến động phía trên, hoặc bất kỳ thiết kế dự phòng nào mà nền tảng của bạn ghi lại cho dịch vụ đó. Sau đó ghi lại thành phần nào phát hiện sự cố và thành phần nào chọn phương án thay thế, vì đó là hai chức năng khác nhau và thường là hai nhóm khác nhau.

Dịch địa chỉ cũng có thể cho một site địa chỉ thứ hai được trình bày, nhưng nó thay đổi bộ chọn, ghi nhật ký và quy tắc truy cập dựa trên nguồn cùng một lúc. Hãy coi đó là một yêu cầu rõ ràng chứ không phải là một giải pháp tạm cho hai mục mơ hồ.

Kiểm tra ba trạng thái, không phải một

Cấu hình chỉ hoàn tất khi nó có một câu trả lời có thể bảo vệ cho vận hành bình thường, cho trạng thái hỏng của chính và cho việc trở lại chính. Kiểm tra cả ba và ghi lại mục chính sách nào và peer nào đã phục vụ mỗi trạng thái. Một bài kiểm tra dừng sau trạng thái đầu tiên chứng minh thiết kế hoạt động khi không có gì sai, và đó là trạng thái bạn không cần kiểm tra.

Cũng phân biệt sự chồng lấn được cấu hình với sự cùng tồn tại hợp pháp của các liên kết cũ và mới trong quá trình tạo lại khóa. Nhiều SA đang hoạt động là bình thường và tạm thời; hai mục tranh nhau một luồng là vĩnh viễn và vô hình.