Awtomeiddio ailosodiadau twnnel ASA: tair giât cyn caniatáu

Meddyliwch am ailosod twnnel awtomatig fel gweithred adfer gyda radiws ffrwydro, nid fel newid hwyl wedi'i drefnu. Mae'r penderfyniad o'ch blaen yn gulach nag y mae'r offer yn awgrymu: pa fethiant sy'n ei gyfiawnhau, pa bartner y caiff gyffwrdd ag ef, a beth sy'n ei atal. Caiff y tri hynny eu cael yn anghywir a byddwch wedi adeiladu peiriant ar gyfer dileu tystiolaeth. Gwelais un o'r rhain yn tanio bob pymtheg munud yn erbyn partner iach am y rhan fwyaf o wythnos, ac ni sylwodd neb oherwydd bod y twnnel yn dod yn ôl bob tro.

Giât un: profi bod y methiant y tu mewn i'r twnnel

Cydberthynwch gyflwr ffres cyn awdurdodi unrhyw beth. Mae show crypto ikev2 sa detailed yn dweud wrthych a yw'r gymdeithas IKEv2 yn bodoli a pha mor bell yr aeth y trafodaethau, ac mae show vpn-sessiondb detail l2l yn rhoi'r olwg sesiwn sy'n cyfateb i'r un partner. Yna mae show crypto ipsec sa peer 203.0.113.10 yn dangos yr SA plant, y cyfrifwyr encaps a decaps a'r detholwyr sy'n cael eu defnyddio. Mae cyfrifydd encaps sy'n codi gyda chyfrifydd decaps gwastad yn broblem hollol wahanol i ddiffyg cymdeithas yn gyfan gwbl.

Nesaf, edrychwch ar yr hyn na all ailadeiladu ei drwsio: llwybr dychwelyd ar goll, MTU sy'n llyncu pecynnau mawr, polisi sy'n gwrthod y porth ar ôl dadgryptio, neu lwybreiddio anghymesur sy'n anfon atebion o amgylch y teclyn. Mae clirio SA yn erbyn unrhyw un o'r rhain yn rhoi blip gwyrdd byr a'r un tocyn yfory. Mae pob un yn edrych fel twnnel marw o ochr y rhaglen, a dyna pam mae'r cyfrifwyr yn bwysicach na'r rhybudd.

Cymerwch snapshot cyn y weithred. Cofnodwch y partner, dynodwyr y gymdeithas, y cyfrifwyr ar foment y sbardun a'r dystiolaeth a'i taniodd. Mae ailosodiad sy'n rhedeg o flaen y snapshot yn dinistrio'r data mwyaf defnyddiol a oedd gan y digwyddiad.

Giât dau: cwmpaswch y partner, byth y byd

Ar CLI yr ASA, mae clear crypto ikev2 sa peer 203.0.113.10 a clear crypto ipsec sa peer 203.0.113.10 yn weithrediadau targededig. Mae'r un gorchmynion heb ddadl partner yn clirio pob cymdeithas yn y cyd-destun, sy'n eu gwneud yn amrywiad mewn sillafu ac yn ymyrraeth mewn effaith. Mae cyfeirlyfr gorchmynion clirio Cisco yn gwahanu'r ffurfiau hynny oddi wrth yr amrywiad ystadegau yn unig, sy'n ailosod cyfrifwyr ac yn trwsio dim. Yn y modd aml-gyd-destun, dim ond ar y cyd-destun cyfredol y mae'r gorchymyn yn gweithredu, felly rhaid i'r awtomeiddiad fod yn siwr hefyd pa gyd-destun y mae ynddo.

Dilyswch y partner cyn i'r gorchymyn gael ei adeiladu. Rhaid i newidyn gwag neu heb ei ddatrys fethu'r swydd yn uchel yn hytrach na chwympo i glirio popeth, ac mae'r gwiriad hwnnw'n perthyn i god y gall adolygydd ei ddarllen.

Mapwch y radiws ffrwydro'n onest. Gall un partner gario sawl rhwydwaith gwarchodedig, miloedd o sesiynau ac ail dwnnel ar gyfer rheoli, felly mae clirio wedi'i gwmpasu i bartner yn dal yn ddigwyddiad aml-gwsmer ar hwb. Rhedegwch y weithred o lwybr rheoli nad yw'n dibynnu ar y twnnel sy'n cael ei ailosod. Fel arall ni all yr awtomeiddiad wirio ei ganlyniad ei hun, a'r cam nesaf yw dyn yn gyrru i'r safle.

Giât tri: ailgeisiadau, oeri, llwyddiant wedi'i ddiffinio

Rhowch gloe per-partner, cyfnod oeri a therfyn caled ar ymdrechion wedi'i gyfrif o arsylwadau ffres i'r swydd. Heb y clo, mae dau fonitr sy'n baglu ar yr un moment yn clirio'r un partner tra mae ailgydbwysedd ar y gweill, ac mae pob un yn casglu bod y llall wedi methu.

Mae llwyddiant yn golygu bod y gymdeithas yn ôl ac bod y llwyth a ganiateir yn pasio, nid bod y gorchymyn wedi dychwelyd heb wall. Profwch gyda'r un gwiriad a ganfu'r nam, yna cadarnhewch fod cyfrifwyr yr SA plant yn symud i'r ddau gyfeiriad. Mae gorchymyn sy'n gadael gyda sero tra mae'r twnnel yn aros i lawr yn fethiant monitro wedi'i wisgo fel adferiad.

Cadwch yr anhysbys ar wahân i'r methiedig. Os yw telemetreg yn hen neu'r llwybr rheoli'n anghyraeddadwy, y cyflwr gonest yw anhysbys, ac ni ddylai cyllideb ailgeisiadau ddarllen hynny fel caniatâd i danio eto.

Pan nad yw'r adferiad cyntaf a gymeradwywyd yn adfer y gwasanaeth, uwch-godwch gyda'r snapshot yn hytrach na throelli. Ailosodiadau wedi'u trefnu yw'r fersiwn waethaf o'r patrwm, oherwydd maent yn cuddio diffyg ail-allweddu allweddi, llwybr neu bolisi tra'n torri sesiynau iach ar amserydd.

Perchnogaeth, switsh diffodd, ac un ymarfer

Enwch berchennog, dogfennwch sut i analluogi'r applet neu'r atodlen mewn un cam, a gosodwch ddyddiad adolygu. Mae awtomeiddiad heb lwybr analluogi yn dod yn seilwaith parhaol y diwrnod y bydd ei awdur yn newid tîm.

Ymarferwch ef mewn labordy neu yn ystod ffenestr gynnal a chadw gyda'r dewis partner wedi'i dorri'n fwriadol, fel y cewch wybod a yw'r swydd yn methu'n ddiogel. Yna ymarferwch y llwybr llwyddiant, oherwydd nid yw swydd sy'n rhedeg dim ond pan mae rhywbeth o'i le yn dysgu unrhyw beth i chi am ei hymddygiad arferol.