Аўтаматызацыя скідаў тунэляў ASA: тры брамы, перш чым дазволіць

Успрымайце аўтаматычны скід тунэля як аварыйнае аднаўленне з радыусам паражэння, а не як запланаваную змену настрою. Рашэнне перад вамі вузчэйшае, чым мяркуе інструментар: які збой апраўдвае яго, якога партнёра ён можа закрануць і што яго спыняе. Памыліцеся ў гэтых трох — і вы пабудавалі машыну для знішчэння доказаў. Я бачыў, як адзін такі запуск ішоў кожныя пятнаццаць хвілін супраць здаровага партнёра амаль тыдзень, і ніхто не заўважыў, бо тунэль кожны раз вяртаўся.

Брама першая: дакажыце, што збой унутры тунэля

Супвяжыце свежы стан, перш чым нешта дазволіць. show crypto ikev2 sa detailed паказвае, ці існуе асацыяцыя IKEv2 і як далёка зайшлі перамовы, а show vpn-sessiondb detail l2l дае прадстаўленне сеанса, якое адпавядае таму ж партнёру. Затым show crypto ipsec sa peer 203.0.113.10 паказвае даччыныя SA, лічыльнікі encaps і decaps і выкарыстоўваныя селектары. Лічыльнік encaps, які расце, пры нерухомым лічыльніку decaps — зусім іншая праблема, чым поўная адсутнасць асацыяцыі.

Далей праверце тое, што перабудова не здольная выправіць: адсутны зваротны маршрут, MTU, які паглынае буйныя пакеты, палітыку, якая адмаўляе порт пасля расшыфроўкі, або асіметрычную маршрутызацыю, якая вядзе адказы вакол прылады. Скід SA супраць любога з гэтага дае кароткі зялёны блік і тую ж заяўку заўтра. Кожнае з гэтага выглядае як мёртвы тунэль з боку праграмы, таму лічыльнікі важнейшыя за папярэджанне.

Зрабіце здымак стану да дзеяння. Запішыце партнёра, ідэнтыфікатары асацыяцыі, лічыльнікі ў момант спрацоўвання і доказы, якія яго выклікалі. Скід, які апярэджвае здымак, знішчае самыя карысныя даныя інцыдэнту.

Брама другая: абмяжуйце ахоп партнёрам, ніколі светам

У CLI ASA каманды clear crypto ikev2 sa peer 203.0.113.10 і clear crypto ipsec sa peer 203.0.113.10 — гэта адрасныя аперацыі. Тыя ж каманды без аргумента партнёра ачышчаюць усе асацыяцыі ў кантэксце, што робіць іх варыяцыяй напісання і аварыяй па эфекце. Даведнік даведнік каманд скіду ад Cisco аддзяляе гэтыя формы ад варыянта толькі са статыстыкай, які скідвае лічыльнікі і нічога не выпраўляе. У рэжыме некалькіх кантэкстаў каманда дзейнічае толькі на бягучы кантэкст, таму аўтаматызацыя павінна таксама ведаць, у якім кантэксце яна знаходзіцца.

Праверце партнёра да пабудовы каманды. Пустая або нявызначаная зменная павінна гучна праваліць задачу, а не сціснуцца ў поўнае ачышчэнне, і гэтая праверка належыць коду, які рэцэнзент можа прачытаць.

Адлюструйце радыус паражэння сумленна. Адзін партнёр можа несці некалькі абароненых сетак, тысячы сеансаў і другі тунэль для кіравання, таму скід у межах партнёра — усё яшчэ шматкліенцкая падзея на цэнтры. Выконвайце дзеянне з шляху кіравання, які не залежыць ад тунэля, што скідваецца. Інакш аўтаматызацыя не можа праверыць уласны вынік, і наступны крок — чалавек, які едзе на пляцоўку.

Брама трэцяя: паўторы, астуджэнне, вызначаны поспех

Дайце задачы блакіроўку на партнёра, перыяд астуджэння і жорсткі ліміт спробаў, які лічыцца ад свежых назіранняў. Без блакіроўкі два маніторы, што спрацуюць у адзін момант, скідваюць таго ж партнёра, пакуль ідзе перамовы, і кожны робіць выснову, што іншы здаўся.

Поспех — гэта вяртанне асацыяцыі і праходжанне дазволенай нагрузкі, а не тое, што каманда вярнулася без памылкі. Праверце тым жа тэстам, што выявіў збой, затым пацвердзіце, што лічыльнікі даччыных SA рухаюцца ў абодва бакі. Каманда, якая выходзіць з нулём, пакуль тунэль ляжыць, — гэта збой маніторынгу ў вопратцы аднаўлення.

Трымайце невядомае асобна ад правальнага. Калі тэлеметрыя састарэлая або шлях кіравання недасяжны, сумленны стан — невядомы, і бюджэт паўтораў не павінен чытаць гэта як дазвол страляць зноў.

Калі першае ўхваленае аднаўленне не вяртае сэрвіс, эскаліруйце са здымкам замест цыклічнага паўтору. Запланаваныя скіды — найгоршая версія шаблону, бо яны хаваюць дэфект пераўтварэння ключоў, маршруту або палітыкі, адразаючы здаровыя сеансы па таймеры.

Уласнік, выключальнік і адна рэпетыцыя

Прызначце ўласніка, апішыце, як адключыць аплет або расклад у адзін крок, і прызначце дату перагляду. Аўтаматызацыя без шляху адключэння становіцца пастаяннай інфраструктурай у той дзень, калі яе аўтар змяняе каманду.

Адрэпетыруйце яе ў лабараторыі або ў акно абслугоўвання, наўмысна зламаўшы выбар партнёра, каб даведацца, ці задача адмаўляе бяспечна. Затым адрэпетыруйце шлях поспеху, бо задача, якая працуе толькі тады, калі нешта не так, нічому не вучыць пра яе звычайныя паводзіны.