Outomatisering van ASA-tonnelherstellings: drie hekke voordat jy dit toelaat

Dink aan 'n outomatiese tonnelherstelling as 'n herstelaksie met 'n skadegebied, nie as 'n geskeduleerde bui nie. Die besluit voor jou is smaller as wat die gereedskap voorstel: watter fout dit regverdig, watter eweknie dit mag raak, en wat dit laat stop. Kry daardie drie verkeerd en jy het 'n masjien gebou om bewyse te verwyder. Ek het gesien hoe een van hierdie elke vyftien minute teen 'n gesonde eweknie vuur vir die grootste deel van 'n week, en niemand het dit opgemerk nie omdat die tonnel elke keer teruggekom het.

Hek een: bewys die fout is binne die tonnel

Korreleer vars toestand voordat jy enigiets magtig. show crypto ikev2 sa detailed vertel jou of die IKEv2-assosiasie bestaan en hoe ver die onderhandeling gevorder het, en show vpn-sessiondb detail l2l gee jou die sessie-aansig wat by dieselfde eweknie pas. Dan wys show crypto ipsec sa peer 203.0.113.10 die kind-SA's, die encaps- en decaps-tellers en die kiesers in gebruik. 'n Stygende encaps-teller met 'n plat decaps-teller is 'n heel ander probleem as geen assosiasie hoegenaamd nie.

Kyk vervolgens na wat 'n herbou nie kan herstel nie: 'n ontbrekende terugroete, 'n MTU wat groot pakkette in 'n swartgat laat verdwyn, 'n beleid wat die poort na ontsyfering weier, of asimmetriese roetering wat antwoorde om die toestel stuur. Om SA's teen enige van hierdie te skrap, gee 'n kort groen flits en dieselfde kaartjie more. Elkeen lyk soos 'n dooie tonnel van die toepassing se kant af, en daarom maak die tellers meer saak as die waarskuwing.

Neem 'n momentopname voor die aksie. Teken die eweknie aan, die assosiasie-identifiseerders, die tellers op die oomblik van die sneller en die bewyse wat dit laat afgaan het. 'n Herstelling wat die momentopname vooruitloop, vernietig die nuttigste data wat die voorval gehad het.

Hek twee: beperk die omvang tot die eweknie, nooit die wereld nie

Op die ASA-CLI is clear crypto ikev2 sa peer 203.0.113.10 en clear crypto ipsec sa peer 203.0.113.10 gerigte bewerkings. Dieselfde opdragte sonder 'n eweknie-argument skrap elke assosiasie in die konteks, wat hulle 'n spelfoutvariant maak en 'n onderbreking in effek. Cisco se clear-opdragverwysing skei daardie vorms van die slegs-statistiek-variant, wat tellers herstel en niks regmaak nie. In multi-konteksmodus werk die opdrag net op die huidige konteks, so die outomatisering moet ook seker wees in watter konteks dit is.

Valideer die eweknie voordat die opdrag saamgestel word. 'n Lee of onopgeloste veranderlike moet die taak hard laat misluk eerder as om in 'n clear-all in te stort, en daardie kontrole hoort in kode wat 'n resensent kan lees.

Karteer die skadegebied eerlik. Een eweknie kan verskeie beskermde netwerke, duisende sessies en 'n tweede tonnel vir bestuur dra, so 'n eweknie-beperkte skrap is steeds 'n multi-kliend-gebeurtenis op 'n hub. Voer die aksie uit vanaf 'n bestuurspad wat nie afhanklik is van die tonnel wat herstel word nie. Anders kan die outomatisering nie sy eie resultaat verifieer nie, en die volgende stap is 'n mens wat na die perseel ry.

Hek drie: herpogings, afkoeling, gedefinieerde sukses

Gee die taak 'n per-eweknie-slot, 'n afkoelperiode en 'n harde poginglimiet wat uit vars waarnemings getel word. Sonder die slot skrap twee monitors wat op dieselfde oomblik trippeer dieselfde eweknie terwyl heronderhandeling aan die gang is, en elkeen kom tot die gevolgtrekking dat die ander een gefaal het.

Sukses beteken die assosiasie is terug en die toegelate werklading slaag, nie dat die opdrag sonder 'n fout teruggekeer het nie. Peil met dieselfde kontrole wat die fout opgespoor het, en bevestig dan dat die kind-SA-tellers in beide rigtings beweeg. 'n Opdrag wat nul teruggee terwyl die tonnel af bly, is 'n moniteringsfout vermom as 'n herstel.

Hou onbekend apart van misluk. As telemetrie verouderd is of die bestuurspad onbereikbaar is, is die eerlike toestand onbekend, en 'n herpogingsbegroting moet dit nie as toestemming lees om weer te vuur nie.

Wanneer die eerste goedgekeurde herstel nie diens herstel nie, eskaleer met die momentopname eerder as om te loop. Geskeduleerde herstellings is die slegste weergawe van die patroon, want hulle verberg 'n herkodeer-, roete- of beleidsdefek terwyl hulle gesonde sessies op 'n tydhouer afsny.

Eienaarskap, 'n afskakelaar en een oefening

Noem 'n eienaar, dokumenteer hoe om die applet of skedule in een stap te deaktiveer, en stel 'n hersieningsdatum. 'n Outomatisering sonder 'n deaktiveringspad word permanente infrastruktuur op die dag wanneer sy skrywer van span verander.

Oefen dit in 'n laboratorium of onderhoudsvenster met die eweknie-keuse doelbewus gebreek, sodat jy uitvind of die taak veilig faal. Oefen dan die suksespad, want 'n taak wat net ooit loop terwyl iets verkeerd is, leer jou niks oor sy normale gedrag nie.