Automatizace resetů tunelů ASA: tři brány, než to povolíte

Berte automatický reset tunelu jako obnovovací akci s dosahem výbuchu, ne jako naplánovanou změnu nálady. Rozhodnutí před vámi je užší, než nástroje naznačují: která závada ho ospravedlňuje, kterého protějšku se smí dotknout a co ho zastaví. Spletete-li tyto tři věci, postavili jste stroj na mazání důkazů. Viděl jsem jeden takový střílet každých patnáct minut proti zdravému protějšku skoro týden a nikdo si toho nevšiml, protože tunel se pokaždé vrátil.

První brána: dokažte, že závada je uvnitř tunelu

Propojte čerstvý stav, než cokoli povolíte. show crypto ikev2 sa detailed vám řekne, zda asociace IKEv2 existuje a jak daleko se dostalo vyjednávání, a show vpn-sessiondb detail l2l dává pohled na relaci, který odpovídá témuž protějšku. Poté show crypto ipsec sa peer 203.0.113.10 ukáže podřízené SA, čítače encaps a decaps a používané selektory. Rostoucí čítač encaps s plochým čítačem decaps je úplně jiný problém než žádná asociace.

Dále zkontrolujte, co přestavba nedokáže opravit: chybějící zpětnou trasu, MTU, které polyká velké pakety, politiku, která odmítá port po dešifrování, nebo asymetrický routing, který posílá odpovědi kolem zařízení. Vymazání SA proti kterémukoli z toho přinese krátký zelený blik a zítra stejný tiket. Každé z nich vypadá z pohledu aplikace jako mrtvý tunel, a proto jsou čítače důležitější než alarm.

Před akcí pořiďte snímek. Zapište protějšek, identifikátory asociace, čítače v okamžiku spuštění a důkazy, které ho vyvolaly. Reset, který snímek předběhne, ničí nejužitečnější data, která incident měl.

Druhá brána: rozsah omezte na protějšek, nikdy na svět

V CLI ASA jsou clear crypto ikev2 sa peer 203.0.113.10 a clear crypto ipsec sa peer 203.0.113.10 cílené operace. Stejné příkazy bez argumentu protějšku vymažou všechny asociace v kontextu, což z nich dělá rozdíl v pravopisu a výpadek v účinku. Příručka referenční příručka mazacích příkazů od Cisco odděluje tyto formy od varianty pouze se statistikami, která resetuje čítače a nic neopraví. V režimu více kontextů příkaz působí jen na aktuální kontext, takže automatizace si musí být jistá i tím, v kterém kontextu je.

Ověřte protějšek, než se příkaz sestaví. Prázdná nebo nevyřešená proměnná musí úlohu hlasitě shodit, místo aby se zhroutila do vymazání všeho, a tato kontrola patří do kódu, který recenzent přečte.

Nakreslete dosah výbuchu poctivě. Jeden protějšek může nést několik chráněných sítí, tisíce relací a druhý tunel pro správu, takže vymazání omezené na protějšek je na koncentrátoru pořád událost pro více zákazníků. Spouštějte akci z cesty správy, která nezávisí na resetovaném tunelu. Jinak automatizace nemůže ověřit vlastní výsledek a dalším krokem je člověk, který jede na místo.

Třetí brána: opakování, ochlazení, definovaný úspěch

Dejte úloze zámek na protějšek, období ochlazení a tvrdý limit pokusů počítaný z čerstvých pozorování. Bez zámku dva monitory, které se spustí ve stejnou chvíli, vymažou stejný protějšek, zatímco probíhá nové vyjednávání, a každý usoudí, že selhal ten druhý.

Úspěch znamená, že asociace je zpět a povolená zátěž projde, ne že se příkaz vrátil bez chyby. Otestujte stejnou kontrolou, která závadu odhalila, a pak potvrďte, že čítače podřízených SA se hýbou oběma směry. Příkaz, který skončí s nulou, zatímco tunel zůstává dole, je selhání monitoringu oblečené jako obnova.

Držte neznámé oddělené od selhaného. Pokud jsou telemetrie zastaralé nebo je cesta správy nedostupná, poctivý stav je neznámý a rozpočet opakování to nesmí číst jako povolení znovu vystřelit.

Když první schválená obnova nevrátí službu, eskalujte se snímkem místo opakování ve smyčce. Naplánované resety jsou nejhorší verzí vzorce, protože skrývají závadu obnovy klíčů, trasy nebo politiky a přitom řežou zdravé relace podle časovače.

Vlastnictví, vypínač a jedno cvičení

Určete vlastníka, zdokumentujte, jak applet nebo plán vypnout jedním krokem, a stanovte datum revize. Automatizace bez cesty k vypnutí se stane trvalou infrastrukturou v den, kdy její autor změní tým.

Procvičte ji v laboratoři nebo v okně údržby s úmyslně rozbitým výběrem protějšku, abyste zjistili, zda úloha selhává bezpečně. Potom procvičte cestu úspěchu, protože úloha, která běží jen tehdy, když je něco špatně, vás o svém normálním chování nic nenaučí.