Pozadí: Nedávno jsme aktualizovali náš starší hlavní směrovač NSA 4600 a pobočkové směrovače TZ300 na NSa 4700 a 26 TZ370 směrovačů pro pobočky. Každá pobočka a HQ mají různé internetové připojení - AT&T DIA Fiber nebo Broadband fiber, Spectrum DIA Fiber atd. Každý pobočkový směrovač má VPN IPsec z pobočky do HQ (kde máme datové centrum), čtyři pobočky (každá pro “okres”) mají sekundární VPN IPsec ke svým okresním pobočkám a mezi sebou, takže vše může komunikovat, pokud HQ selže. To fungovalo docela dobře v době v6. Bohužel jsme měli dva hlavní (a jeden méně hlavní) problémy s novější firmwarou.
Firmware: Když byly dodány, měly verzi 7.0.1-5111, věřím. Aktualizovali jsme je téměř ihned na 7.1.1-7047, která byla vydána právě když jsme je nasazovali. Poté, co jsme si všimli výše zmíněných chyb, pokusil jsem se aktualizovat na 7.1.1-7058, bez změny. Nyní jsou všechny na 7.1.2-7019 a stále máme tyto problémy. Jakékoliv tipy, ukazatele, stopy atd. by byly oceněny. Momentálně používáme RIPv2 napříč vším, ale plánuju co nejdříve přejít na OSPF a naučit ho sám.
Problém 1: Někdy, po přerušení spojení kvůli bagru nebo jiné poruše, VPN IPsec se sama neobnoví, dokud ji nevypnu a nezapnu, obvykle na straně 4700. Pak se okamžitě znovu naváže a funguje dobře. Ne vždy, ale když ano, nezdá se, že by se to samo spravilo - je nutná manuální intervence.
Problém 2: Ještě vážnější. Při restartu jednoho z pobočkových směrovačů (například po aktualizaci firmwaru) se někdy - a toto bylo mnohem vážnější při nasazení, protože to bylo během otevřených hodin - 4700 spontánně restartuje samo, odpojuje všechny a vrhá naši HQ do chaosu (nemluvě o odpojení připojení ostatních poboček k HQ). Nyní, když jsou všechny nové směrovače nasazeny, to není tak velký problém, protože aktualizace firmwaru mohu dělat v údržbových intervalech a restart jádra není tak hrozivý - ale vše to prodlužuje dobu provozu.
Problém 3: Tento nás momentálně neovlivňuje, protože jsem podle svých zjištění část problému deaktivoval. Zakoupili jsme licenci NSM Essential pro všechny tyto zařízení. Plánoval jsem ji používat na aktualizace firmwaru a na whitelisty/uživatelskou konfiguraci/filtry obsahu, což jsou věci, které se většinou shodují na všech místech. Avšak jsem si všiml, že občas dojde ke ztrátě spojení - a když jsem přišel do pobočky zjistit, co je špatně, zasraný TZ370 se resetoval na tovární nastavení. Naštěstí mám zálohy konfigurací z mysonicwall. Deaktivoval jsem Cloud Management na všem a zatím se to neopakovalo. Přemýšlím, jestli cloudové řízení náhodou neposílalo prázdné konfigurace těmto směrovačům. Má někdo dobré zkušenosti s NSM správou?
Někdo, prosím, řekněte mi, že nejsem sám. Viděl jsem spoustu příspěvků komentujících problémy s verzi 7, jen se ptám, jestli jsou to známé problémy.
