Asa/PIX的Static Route Tracking呼吁可以有用解决双ISP出口的问题2 @4 E/ T" a/ i8 w
存在问题: U7 S7 s2 A4 F2 }
静态路由没有固定的机制来抉择是否可用,即使下一跳不成达,静态路由仍是会存在路由内外,是有当ASA自己的和这条路由相关接口down了,才会通衢由内外删除
}1 s& j! a7 b# s0 C 解决法子:
3 l% y f6 T: L. y( U; x! b I, T Static Route Tracking这个feature供给一种体例来追踪静态路由,当主路由失踪效时可以安装备份路由进路由表,例如:2条缺省指向分歧ISP,当主的ISP 断了,可以盗舸骠用备用ISP链路,它是使用ICMP来进行追踪的,如不美观在必然holdtime没有收到reply的话就认为这条链路down了,就会当即删除该静态路由,预先设置的备份路由就会进入路由表。. Y, d3 }0 u! X) u3 f
注重:设置装备摆设时要在outside口上铺开icmp reply(如不美观打开了icmp限制)
: m- _! s F3 u B: i7 u \ pixFirewall(config)#sla monitor sla_id #指定检测的slaID
+ r1 Y7 ?# U. s& b+ z0 g, S Pixfirewall(config-sla-monitor)# type echo protocol ipIcmpEcho target_ip interface, ]; J' X, H( g5 I- e! Z F
if_name #指定检测的和谈类型为ICMP和谈,并指定检测目的地址和接口0 ^$ U: ^# X+ e& J( m; _" h
这个必需是个可以ping通的地址,当这个地址不成用时,track跟踪的路由就会被删除,备份路由进路由表
% ]9 Q+ w3 B0 g pixFirewall(config)#sla monitor schedule sla_id [life {forever | seconds}] [start-time {hh:mm[:ss] [month day | day month] | pending | now | after hh:mm:ss}] [ageout seconds] [recurring] #指定一个Schedule,一般会是start now! x$ i/ ^# k, C: ?5 x2 c
必需要写时刻表,否则track的路由毫不了路由表
/ \- I2 D$ c% q8 L' ?% h6 h pixFirewall(config)# track track_id rtr sla_id reachability #指定一个TrackID,并要求追踪SlaID的可达性6 R, I9 A& K k4 Y+ l1 i; S
pixFirewall(config)# route if_name dest_ip mask gateway_ip [admin_distance] track track_i #设定默认路由,并绑定一个TrackID/ a J, Z. u4 O& M. e5 u
设置装备摆设实例:
2 h/ m- N5 J! f% v4 [1 a sla monitor 1
1 N( U/ E" y9 n) P3 i8 H type echo protocol ipIcmpEcho 202.1.1.2 interface dx
8 E, ] B; R3 z' d2 G sla monitor schedule 1 start-time now(必需设置装备摆设,否则track的路由毫不了路由表)7 c" O$ H5 c4 z; t. ~
track 2 rtr 1 reachability
+ e- C# o$ p) ~% Q4 V6 r5 j route dx 0.0.0.0 0.0.0.0 202.1.1.2 1 track 2 (电信默认网关,会追踪地址的可达性)
: M- h4 W4 I6 C# ? route wt 0.0.0.0 0.0.0.0 101.1.1.2 2 (网通默认网关)
0 X- i' m, n6 I4 ~2 D* G; U* n" S 当设置装备摆设的202.1.1.2 ping欠亨(ICMP和谈不能Reachability)的时辰,route dx 0.0.0.0 0.0.0.0 202.1.1.2 1就会在路由内外删除,并由第二条默认路由即route wt 0.0.0.0 0.0.0.0 101.1.1.2 2庖代,当202.1.1.2恢复后,又会从头变为dx 0.0.0.0 0.0.0.0 202.1.1.2 1
- v8 X/ n. n; a- w( J T 这个feature我想巨匠在良多项目里城市碰着,ASA可以有用解决!
. }* v4 A3 ~/ y3 v. {. p5 Z* f 这与我们用路由器实现双出口备份是一样的,经由过程设置装备摆设SAA,搜检其连通性。并跟踪这结不美观。来对路由进行选择,实现思绪很是精巧! |