Автоматизиране на нулирането на ASA тунели: три проверки, преди да го разрешите

Мислете за автоматичното нулиране на тунел като за възстановително действие с радиус на поражение, а не като за планирано настроение. Решението пред вас е по-тясно, отколкото подсказват инструментите: коя повреда го оправдава, кой партньор може да засегне и какво го спира. Сбъркайте тези три неща и сте построили машина за изтриване на доказателства. Виждал съм едно такова да стреля на всеки петнадесет минути срещу здрав партньор почти седмица и никой не забеляза, защото тунелът се връщаше всеки път.

Първа проверка: докажете, че повредата е в тунела

Свържете свежо състояние, преди да разрешите каквото и да е. show crypto ikev2 sa detailed ви казва дали асоциацията IKEv2 съществува и докъде е стигнал преговорът, а show vpn-sessiondb detail l2l дава изгледа на сесията, който съответства на същия партньор. След това show crypto ipsec sa peer 203.0.113.10 показва дъщерните SA, броячите за инкапсулация и декапсулация и използваните селектори. Нарастващ брояч на инкапсулация при плосък брояч на декапсулация е съвсем различен проблем от пълната липса на асоциация.

После проверете какво преизграждането не може да поправи: липсващ обратен маршрут, MTU, който поглъща големи пакети, политика, която отказва порта след декриптиране, или асиметрично маршрутизиране, което праща отговорите около устройството. Изчистването на SA срещу което и да е от тях дава кратък зелен проблясък и същия тикет утре. Всяко от тях изглежда като мъртъв тунел от страна на приложението, затова броячите са по-важни от алармата.

Направете снимка на състоянието преди действието. Запишете партньора, идентификаторите на асоциацията, броячите в момента на задействането и доказателствата, които са го предизвикали. Нулиране, което изпреварва снимката, унищожава най-полезните данни на инцидента.

Втора проверка: ограничете обхвата до партньора, никога до света

В CLI на ASA командите clear crypto ikev2 sa peer 203.0.113.10 и clear crypto ipsec sa peer 203.0.113.10 са насочени операции. Същите команди без аргумент за партньор изчистват всяка асоциация в контекста, което ги прави разлика в изписването и прекъсване по ефект. Справочникът справочник на командите за изчистване на Cisco отделя тези форми от варианта само със статистика, който нулира броячи и не поправя нищо. В режим с няколко контекста командата действа само в текущия контекст, затова автоматизацията трябва да е сигурна и в кой контекст се намира.

Проверете партньора, преди командата да бъде построена. Празна или нерешена променлива трябва да провали задачата шумно, вместо да се срине в изчистване на всичко, и тази проверка принадлежи в код, който рецензентът може да прочете.

Начертайте радиуса на поражение честно. Един партньор може да носи няколко защитени мрежи, хиляди сесии и втори тунел за управление, затова изчистването в обхвата на партньор е все още събитие за много клиенти на концентратор. Изпълнявайте действието от път за управление, който не зависи от нулирания тунел. Иначе автоматизацията не може да провери собствения си резултат и следващата стъпка е човек, който пътува до обекта.

Трета проверка: повторения, изчакване, определен успех

Дайте на задачата ключалка за партньор, период на изчакване и твърд лимит на опитите, отчитан от свежи наблюдения. Без ключалката два монитора, задействани в един и същ момент, изчистват същия партньор, докато тече повторен преговор, и всеки заключава, че другият се е провалил.

Успех означава асоциацията е върната и разрешеното натоварване минава, а не че командата се е върнала без грешка. Проверете със същата проверка, която откри повредата, после потвърдете, че броячите на дъщерните SA се движат в двете посоки. Команда, която излиза с нула, докато тунелът остава долу, е отказ на мониторинга, облечен като възстановяване.

Дръжте неизвестното отделно от неуспеха. Ако телеметрията е остаряла или пътят за управление е недостъпен, честното състояние е неизвестно и бюджетът за повторения не бива да го чете като разрешение да стреля отново.

Когато първото одобрено възстановяване не върне услугата, ескалирайте със снимката вместо да зацикляте. Планираните нулирания са най-лошата версия на модела, защото скриват дефект в преподписването на ключове, маршрут или политика, докато режат здрави сесии по таймер.

Собственост, изключвател и една репетиция

Посочете собственик, документирайте как да изключите аплета или графика на една стъпка и задайте дата за преглед. Автоматизация без път за изключване става постоянна инфраструктура в деня, в който авторът ѝ смени екипа.

Репетирайте я в лаборатория или в прозорец за поддръжка, като умишлено счупите избора на партньор, за да разберете дали задачата се проваля затворено. После репетирайте пътя на успеха, защото задача, която работи само когато нещо е сгрешено, не ви учи на нищо за нормалното ѝ поведение.