Automatitzar els reinicis de túnel ASA: tres portes abans de permetre-ho

Penseu en un reinici automàtic de túnel com una acció de recuperació amb un radi d'impacte, no com un canvi d'humor programat. La decisió que teniu al davant és més estreta del que suggereixen les eines: quina fallada el justifica, quin parell pot tocar i què el fa aturar. Encertar-ho malament en aquests tres punts és construir una màquina per esborrar proves. He vist un d'aquests disparar-se cada quinze minuts contra un parell sa durant bona part d'una setmana, i ningú no ho va notar perquè el túnel tornava cada vegada.

Primera porta: demostreu que la fallada és dins del túnel

Correlacioneu estat fresc abans d'autoritzar res. show crypto ikev2 sa detailed us diu si l'associació IKEv2 existeix i fins on ha arribat la negociació, i show vpn-sessiondb detail l2l us dona la vista de sessió que correspon al mateix parell. Després show crypto ipsec sa peer 203.0.113.10 mostra les SA filles, els comptadors d'encapsulació i desencapsulació i els selectors en ús. Un comptador d'encapsulació que puja amb un de desencapsulació pla és un problema molt diferent del d'una absència total d'associació.

A continuació, mireu què no pot reparar una reconstrucció: una ruta de retorn que falta, una MTU que s'empassa els paquets grans, una política que denega el port després del desxifrat, o un encaminament asimètric que envia les respostes voltant l'aparell. Esborrar SA contra qualsevol d'aquests produeix un breu flaix verd i el mateix tiquet demà. Tots semblen un túnel mort des del costat de l'aplicació, i per això els comptadors importen més que l'alerta.

Feu una captura abans de l'acció. Enregistreu el parell, els identificadors de l'associació, els comptadors en el moment del disparador i les proves que el van activar. Un reinici que s'avança a la captura destrueix les dades més útils que tenia l'incident.

Segona porta: limiteu l'abast al parell, mai al món

A la CLI de l'ASA, clear crypto ikev2 sa peer 203.0.113.10 i clear crypto ipsec sa peer 203.0.113.10 són operacions dirigides. Les mateixes ordres sense argument de parell esborren totes les associacions del context, cosa que les converteix en una variació d'escriptura i en una caiguda d'efecte. La referència d'ordres d'esborrat de Cisco separa aquestes formes de la variant només estadística, que reinicia comptadors i no repara res. En mode multicontext, l'ordre només actua sobre el context actual, així que l'automatització també ha de saber en quin context és.

Valideu el parell abans que es construeixi l'ordre. Una variable buida o no resolta ha de fer fallar la feina sorollosament en lloc d'esfondrar-se en un esborrat total, i aquesta comprovació pertany a codi que un revisor pugui llegir.

Dibuixeu el radi d'impacte amb sinceritat. Un parell pot portar diverses xarxes protegides, milers de sessions i un segon túnel per a la gestió, així que un esborrat limitat al parell segueix sent un esdeveniment multiclient en un concentrador. Executeu l'acció des d'un camí de gestió que no depengui del túnel que es reinicia. Si no, l'automatització no pot verificar el seu propi resultat, i el pas següent és una persona conduint fins al lloc.

Tercera porta: reintents, refredament, èxit definit

Dona a la feina un pany per parell, un període de refredament i un límit dur d'intents comptat a partir d'observacions fresques. Sense el pany, dos monitors que salten al mateix moment esborren el mateix parell mentre la renegociació és en curs, i cadascun conclou que l'altre ha fallat.

Èxit vol dir que l'associació ha tornat i que la càrrega permesa passa, no que l'ordre hagi tornat sense error. Sondegeu amb la mateixa comprovació que va detectar la fallada i confirmeu després que els comptadors de les SA filles es mouen en tots dos sentits. Una ordre que surt amb zero mentre el túnel continua caigut és una fallada de monitoratge disfressada de recuperació.

Manteniu el desconegut separat del fallit. Si la telemetria és vella o el camí de gestió no és abastable, l'estat honest és desconegut, i un pressupost de reintents no ha de llegir-ho com a permís per tornar a disparar.

Quan la primera recuperació aprovada no restaura el servei, escaleu amb la captura en lloc de fer bucles. Els reinicis programats són la pitjor versió del patró, perquè amaguen un defecte de renegociació de claus, de ruta o de política mentre tallen sessions sanes amb un temporitzador.

Propietat, un interruptor i un assaig

Nomeneu un propietari, documenteu com desactivar l'applet o la programació en un sol pas i fixeu una data de revisió. Una automatització sense camí de desactivació es converteix en infraestructura permanent el dia que el seu autor canvia d'equip.

Assageu-la en un laboratori o en una finestra de manteniment amb la selecció de parell trencada expressament, per descobrir si la feina falla tancada. Després assageu el camí d'èxit, perquè una feina que només funciona quan alguna cosa va malament no us ensenya res sobre el seu comportament normal.