Automatizacija resetovanja ASA tunela: tri kapije prije nego što to dozvolite

Zamislite automatsko resetovanje tunela kao akciju oporavka s radijusom štete, a ne kao zakazanu promjenu raspoloženja. Odluka pred vama je uža nego što alat sugerira: koji kvar ga opravdava, kojeg parnjaka smije dotaknuti i šta ga zaustavlja. Pogriješite li u te tri stvari, napravili ste mašinu za brisanje dokaza. Gledao sam kako jedan takav radi svakih petnaest minuta protiv zdravog parnjaka veći dio sedmice, i niko nije primijetio jer se tunel svaki put vraćao.

Prva kapija: dokažite da je kvar unutar tunela

Povežite svježe stanje prije nego što išta odobrite. show crypto ikev2 sa detailed vam kaže postoji li IKEv2 asocijacija i dokle je stiglo pregovaranje, a show vpn-sessiondb detail l2l daje prikaz sesije koji odgovara istom parnjaku. Zatim show crypto ipsec sa peer 203.0.113.10 pokazuje podređene SA, brojače encaps i decaps i selektore u upotrebi. Rastući encaps brojač uz ravan decaps brojač sasvim je drugi problem od potpunog odsustva asocijacije.

Zatim provjerite šta ponovna izgradnja ne može popraviti: nedostajuću povratnu rutu, MTU koji guta velike pakete, politiku koja odbija port nakon dešifrovanja, ili asimetrično rutiranje koje šalje odgovore oko uređaja. Brisanje SA protiv bilo čega od toga daje kratak zeleni bljesak i isti tiket sutra. Svaki od njih izgleda kao mrtav tunel s aplikacijske strane, zato su brojači važniji od alarma.

Napravite snimku prije akcije. Zapišite parnjaka, identifikatore asocijacije, brojače u trenutku pokretanja i dokaze koji su ga pokrenuli. Reset koji pretekne snimku uništava najkorisnije podatke koje je incident imao.

Druga kapija: obim ograničite na parnjaka, nikada na svijet

U ASA CLI, clear crypto ikev2 sa peer 203.0.113.10 i clear crypto ipsec sa peer 203.0.113.10 su ciljane operacije. Iste komande bez argumenta parnjaka brišu svaku asocijaciju u kontekstu, što ih čini razlikom u pisanju i ispadom u efektu. Cisco pregled komandi za brisanje razdvaja te oblike od varijante samo sa statistikom, koja resetuje brojače i ne popravlja ništa. U režimu s više konteksta komanda djeluje samo na trenutni kontekst, pa automatizacija mora biti sigurna i u kojem je kontekstu.

Provjerite parnjaka prije nego što se komanda sastavi. Prazna ili neriješena varijabla mora glasno oboriti posao, umjesto da se sruči u brisanje svega, i ta provjera pripada kodu koji recenzent može pročitati.

Iscrtajte radijus štete iskreno. Jedan parnjak može nositi nekoliko zaštićenih mreža, hiljade sesija i drugi tunel za upravljanje, pa je brisanje ograničeno na parnjaka i dalje događaj za više klijenata na koncentratoru. Izvršite akciju s upravljačke staze koja ne zavisi od tunela koji se resetuje. Inače automatizacija ne može provjeriti vlastiti rezultat, a sljedeći korak je čovjek koji vozi do lokacije.

Treća kapija: ponovni pokušaji, hlađenje, definisan uspjeh

Dajte poslu bravu po parnjaku, period hlađenja i tvrd limit pokušaja koji se broji iz svježih opažanja. Bez brave dva monitora koja se pokrenu u istom trenutku brišu istog parnjaka dok je pregovaranje u toku, i svaki zaključi da je drugi podbacio.

Uspjeh znači da je asocijacija vraćena i da dopušteno opterećenje prolazi, a ne da se komanda vratila bez greške. Provjerite istim testom koji je otkrio kvar, pa potvrdite da se brojači podređenih SA kreću u oba smjera. Komanda koja izađe s nulom dok tunel ostaje dolje jeste kvar nadzora obučen u oporavak.

Držite nepoznato odvojeno od neuspjelog. Ako su telemetrija zastarjela ili je upravljačka staza nedostupna, iskreno stanje je nepoznato, i budžet za ponovne pokušaje to ne smije čitati kao dozvolu da opali ponovo.

Kada prvi odobreni oporavak ne vrati uslugu, eskalirajte sa snimkom umjesto da ponavljate u petlji. Zakazani reseti su najgora verzija obrasca, jer skrivaju defekt obnove ključeva, rute ili politike dok režu zdrave sesije po tajmeru.

Vlasništvo, prekidač i jedna proba

Imenujte vlasnika, dokumentujte kako se aplet ili raspored onemogućava jednim korakom i postavite datum pregleda. Automatizacija bez puta za isključivanje postaje trajna infrastruktura onog dana kada njen autor promijeni tim.

Uvježbajte je u laboratoriji ili u prozoru održavanja s namjerno pokvarenim izborom parnjaka, da saznate da li posao pada zatvoreno. Zatim uvježbajte put uspjeha, jer posao koji radi samo dok nešto nije u redu ne uči vas ničemu o svom normalnom ponašanju.