ASA tunel sıfırlamalarının avtomatlaşdırılması: icazə verməzdən əvvəl üç qapı

Avtomatik tunel sıfırlamasını planlı əhval dəyişikliyi deyil, təsir radiusu olan bərpa əməliyyatı kimi düşünün. Qarşınızdakı qərar alətlərin təklif etdiyindən dardır: hansı nasazlıq bunu əsaslandırır, hansı həmdəyə toxuna bilər və nə onu dayandırır. Bu üçünü səhv etsəniz, sübutları silən maşın qurmusunuz. Mən bunlardan birinin sağlam bir həmdəyə qarşı həftənin çoxunu on beş dəqiqədən bir işlədiyini görmüşəm və heç kim fərq etmədi, çünki tunel hər dəfə geri qayıdırdı.

Birinci qapı: nasazlığın tunelin içində olduğunu sübut edin

Hər hansı icazə verməzdən əvvəl təzə vəziyyəti əlaqələndirin. show crypto ikev2 sa detailed sizə IKEv2 assosiasiyasının mövcud olub-olmadığını və danışıqların nə qədər getdiyini bildirir, show vpn-sessiondb detail l2l isə həmin həmdəyə uyğun sessiya görünüşünü verir. Sonra show crypto ipsec sa peer 203.0.113.10 alt SA-ları, encaps və decaps sayğaclarını və istifadədə olan selektorları göstərir. Artan encaps sayğacı ilə düz qalan decaps sayğacı heç assosiasiya olmamasından tamamilə fərqli bir problemdir.

Sonra yenidənqurmanın düzəldə bilmədiyi şeyləri yoxlayın: çatışmayan geri marşrut, böyük paketləri udan MTU, şifrə açıldıqdan sonra portu rədd edən siyasət və ya cavabları cihazın ətrafından göndərən asimmetrik marşrutlaşdırma. Bunlardan hər hansı birinə qarşı SA-ları təmizləmək qısa yaşıl parıltı və sabah eyni bileti verir. Hər biri tətbiq tərəfindən ölü tunel kimi görünür, buna görə sayğaclar xəbərdarlıqdan daha vacibdir.

Əməliyyatdan əvvəl anlıq görüntü götürün. Həmdəyi, assosiasiya identifikatorlarını, tetiklənmə anındakı sayğacları və onu işə salan sübutu qeyd edin. Anlıq görüntüdən əvvəl işləyən sıfırlama hadisənin ən faydalı məlumatlarını məhv edir.

İkinci qapı: əhatəni həmdəylə məhdudlaşdırın, heç vaxt dünyayla yox

ASA CLI-də clear crypto ikev2 sa peer 203.0.113.10 və clear crypto ipsec sa peer 203.0.113.10 hədəflənmiş əməliyyatlardır. Həmdəy arqumenti olmayan eyni əmrlər kontekstdəki bütün assosiasiyaları təmizləyir, bu da onları yazılış fərqi və nəticədə kəsinti edir. Cisco-nun təmizləmə əmri arayışı həmin formaları yalnız statistikaya aid variantdan ayırır; o variant sayğacları sıfırlayır və heç nəyi düzəltmir. Çoxkontekstli rejimdə əmr yalnız cari kontekstdə işləyir, ona görə avtomatlaşdırma hansı kontekstdə olduğuna da əmin olmalıdır.

Əmr qurulmazdan əvvəl həmdəyi yoxlayın. Boş və ya həll olunmamış dəyişən işi hamısını təmizləməyə çevirmək yerinə uca səslə uğursuz etməlidir və bu yoxlama rəyçinin oxuya biləcəyi kodda olmalıdır.

Təsir radiusunu dürüst xəritələyin. Bir həmdəy bir neçə qorunan şəbəkə, minlərlə sessiya və idarəetmə üçün ikinci tunel daşıya bilər, buna görə həmdəyə məhdud təmizləmə hub-da yenə çoxmüştəri hadisəsidir. Əməliyyatı sıfırlanan tuneldən asılı olmayan idarəetmə yolundan icra edin. Əks halda avtomatlaşdırma öz nəticəsini yoxlaya bilməz və növbəti addım sayta maşın sürən insandır.

Üçüncü qapı: təkrar cəhdlər, soyutma, müəyyən edilmiş uğur

İşə hər həmdəy üçün kilid, soyutma müddəti və təzə müşahidələrdən sayılan sərt cəhd limiti verin. Kilid olmadan eyni anda işə düşən iki monitor yenidən danışıq gedərkən eyni həmdəyi təmizləyir və hər biri digərinin uğursuz olduğu qənaətinə gəlir.

Uğur assosiasiyanın geri qayıtması və icazə verilən yükün keçməsi deməkdir, əmrin xətasız qayıtması deyil. Nasazlığı aşkar edən yoxlamanın eynisi ilə yoxlayın, sonra alt SA sayğaclarının hər iki istiqamətdə hərəkət etdiyini təsdiqləyin. Tunel aşağı qalarkən sıfırla çıxan əmr bərpa kimi geyinmiş monitorinq nasazlığıdır.

Naməlumu uğursuzdan ayrı saxla. Telemetriya köhnədirsə və ya idarəetmə yolu əlçatmazdırsa, dürüst vəziyyət naməlumdur və təkrar cəhd büdcəsi bunu yenidən atəş açmaq icazəsi kimi oxumamalıdır.

İlk təsdiqlənmiş bərpa xidməti qaytarmadıqda, dövrə vurmaq əvəzinə anlıq görüntü ilə eskalasiya edin. Planlı sıfırlamalar nümunənin ən pis versiyasıdır, çünki açar yeniləmə, marşrut və ya siyasət qüsurunu gizlədərkən sağlam sessiyaları taymerlə kəsirlər.

Sahiblik, söndürmə açarı və bir məşq

Bir sahib təyin edin, applet və ya cədvəlin bir addımda necə söndürüləcəyini sənədləşdirin və baxış tarixi qoyun. Söndürmə yolu olmayan avtomatlaşdırma müəllifi komandasını dəyişdiyi gün daimi infrastruktura çevrilir.

Həmdəy seçimini qəsdən pozaraq bunu laboratoriyada və ya texniki xidmət pəncərəsində məşq edin ki, işin qapalı şəkildə uğursuz olub-olmadığını öyrənəsiniz. Sonra uğur yolunu məşq edin, çünki yalnız nəsə səhv olanda işləyən iş onun normal davranışı haqqında sizə heç nə öyrətməz.