Failback lori ASA: kini gan-an ni o n gbe nigba ti ipa ba pada
Ipadabo ipa si ojuona akọkọ ko tumọ si pe awọn ṣiṣan atijọ ti gbe. Wo uplink, tunnel, tabili asopọ ati abajade app papọ.
Lori ASA ti o ni uplink meji, failback kii ṣe idakeji failover. Ipa si peer yipada, lẹhinna pẹpẹ gbọdọ ṣe ibaramu awọn ẹrọ ipo mẹta lọtọ: tabili ipa, awọn ẹgbẹ aabo IKE ati IPsec, ati tabili asopọ. Ọkọọkan le duro lẹhin awọn miiran, ati pe idaduro yẹn ni ohun ti ọpọlọpọ eniyan pe ni tunnel ti ko pada.
Kini failback n yipada nitootọ
Wiwa ipa ni apakan ti o han. Nigbati ohun ti a n ṣọna ba pada si, ipa ti a n ṣọna si adirẹsi ode peer pada, ati package ti o tẹle ti ASA fi ranṣẹ tun tẹle ọna akọkọ. Ohun gbogbo lẹhin naa da lori boya ipo ti o wa tẹlẹ ba ni ibamu pẹlu ọna tuntun.
ARP ati NAT ni awọn igbẹkẹle idakẹjẹ. Next hop tuntun nilo ẹnu-ọna ti o le yanju ati itumọ ti o tun ba opin ti o jinna mu, bibẹẹkọ awọn package akọkọ lẹhin failback ko lọ si ibikan ati pe ipa dabi ẹni pe o dara nigba ti ko si nkan ti n ṣiṣẹ.
Awọn iwo mẹrin lori ila akoko kan
Ṣe akọsilẹ awọn nkan mẹrin kanna ṣaaju, lakoko ati lẹhin iyipada, nitori aworan kan ko le sọ fun ọ pe Layer wo ni o gbe.
| View | What to record |
|---|---|
| Uplink and route | Interface state, the tracked object result, the route selected for the outer peer address |
| IKE and IPsec | The live peer, IKE version, security associations, protected-traffic counters |
| Connection table | Interface and endpoint pair for old flows and for flows created after the change |
| Application | One pre-existing operation and one fresh request, each marked success, reset, stall or recovered |
Ipa ti ko yipada rara ati ipa ti o yipada nigba ti asopọ atijọ kan da ipo gbigbe rẹ duro yoo fun ẹdun kanna ati ẹri ti o yatọ patapata.
Idi ti awọn asopọ atijọ fi wa lori ipa ẹhin
ASA ko fa ṣiṣan kan ya nitori ipa kan yipada. Awọn asopọ ti a ti fi idi mulẹ tọju ipinnu gbigbe ti a ṣẹda wọn pẹlu, ati pe pẹpẹ n pese awọn iṣakoso lọtọ fun igba ti a gba laaye: floating-connection timeout ati connection holddown. itọsọna awọn eto asopọ ASA 9.24 ti Cisco ka wọn si awọn ibeere lọtọ, ati pe bẹẹ ni wọn n hu. Ọkan n ṣakoso iwalaaye ṣiṣan ti o wa; ekeji n ṣakoso igba ti awọn ṣiṣan tuntun le lo ọna ti o fẹ.
Ka awọn iye ti o wulo fun itusilẹ rẹ ṣaaju ki o to yi ọkan ninu wọn pada. Gbigbe wọn silẹ yoo pa awọn akoko ti eniyan ṣi n lo. Gbigbe wọn soke yoo jẹ ki failback dabi ẹni pe ko ṣẹlẹ rara, nitori awọn asopọ tuntun n tẹsiwaju lati gba ipa atijọ ni gbogbo igba naa.
Tunnel ko tun ṣe adehun awọn kọkọrọ nitori ipa kan pada
Awọn ẹgbẹ aabo IPsec gbe igbesi aye ti a ti pin fun wọn ati pe wọn ye iyipada ipa ti o gbe wọn. Nitorinaa tunnel le wa ni oke kọja failback nigba ti adirẹsi ode rẹ ko ba ni ibamu pẹlu ọna ti a n lo mọ; eyi ni ariyanjiyan fun DPD ati fun awọn apẹẹrẹ ti o di adirẹsi peer mu dipo ki o jẹ ki o ṣan.
Awọn apẹẹrẹ crypto-map ati VTI n hu ni ọna miiran nibi, ati iwe Cisco fun 9.24 VTI ṣalaye aṣayan ti o da lori ipa. Ẹtọ atijọ gbogboogbo pe ASA ko le ṣe VPN ti o da lori ipa ko wulo fun awọn itusilẹ ti a ṣe atilẹyin.
Ka awọn ẹri ni ilana yii
Bẹrẹ lati ori iṣakoso: show route fun ipa ti a yan, show interface fun ipo ọna asopọ ati awọn kika SLA monitor fun ohun ti a n ṣọna. Lẹhinna ka show crypto ikev2 sa, tabi deede IKEv1, lati wo iru peer ti wa laaye, atẹle show crypto ipsec sa fun awọn ṣiṣan ti a daabobo. Lẹhinna din tabili asopọ nigba lilo show conn address <host> ki o fi iwe iforukọsilẹ interface we awọn titẹ sii atijọ ati tuntun. Kọ awọn abajade pẹlu awọn ami akoko, nitori ilana wọn ni ayẹwo.
Pari pẹlu idanwo app: ṣiṣan kan ti o ti wa tẹlẹ ati ọkan ti a ṣẹda lẹhin ti ipa pada. Ti ṣiṣan atijọ ba kuna ti titun ba ṣiṣẹ, o ni itan ipo asopọ. Ti awọn mejeeji ba kuna, tunnel tabi ilana jẹ aṣiṣe ati tabili asopọ jẹ idamu.
Tọju igbasilẹ yẹn ni apẹrẹ kanna ni gbogbo awọn ipele mẹta ki o ṣe akọsilẹ itusilẹ gangan. Nigbati ila akoko ba tẹsiwaju lati tọka si iyipada kan ṣoṣo, fi igbasilẹ ranṣẹ si atilẹyin dipo ki o gboju bug ID.