Αυτοματοποίηση επαναφορών σήραγγας ASA: τρεις πύλες πριν το επιτρέψετε

Σκεφτείτε μια αυτόματη επαναφορά σήραγγας ως ενέργεια αποκατάστασης με ακτίνα επιπτώσεων, όχι ως προγραμματισμένη αλλαγή διάθεσης. Η απόφαση μπροστά σας είναι στενότερη από ό,τι υπονοεί το εργαλείο: ποια αστοχία τη δικαιολογεί, ποιον ομότιμο μπορεί να αγγίξει και τι τη σταματά. Κάντε λάθος σε αυτά τα τρία και έχετε χτίσει μια μηχανή διαγραφής αποδεικτικών στοιχείων. Έχω δει μια τέτοια να εκπυρσοκροτεί κάθε δεκαπέντε λεπτά εναντίον υγιούς ομοτίμου για το μεγαλύτερο μέρος μιας εβδομάδας, και κανείς δεν το πρόσεξε επειδή η σήραγγα επέστρεφε κάθε φορά.

Πύλη πρώτη: αποδείξτε ότι η αστοχία είναι μέσα στη σήραγγα

Συσχετίστε φρέσκια κατάσταση πριν εγκρίνετε οτιδήποτε. Το show crypto ikev2 sa detailed σας λέει αν υπάρχει η συσχέτιση IKEv2 και πόσο μακριά έφτασε η διαπραγμάτευση, και το show vpn-sessiondb detail l2l δίνει την όψη συνεδρίας που ταιριάζει στον ίδιο ομότιμο. Έπειτα το show crypto ipsec sa peer 203.0.113.10 δείχνει τις θυγατρικές SA, τους μετρητές encaps και decaps και τους επιλογείς σε χρήση. Ένας μετρητής encaps που ανεβαίνει με επίπεδο μετρητή decaps είναι εντελώς διαφορετικό πρόβλημα από την παντελή απουσία συσχέτισης.

Στη συνέχεια, ελέγξτε τι δεν μπορεί να διορθώσει μια ανακατασκευή: διαδρομή επιστροφής που λείπει, MTU που καταπίνει μεγάλα πακέτα, πολιτική που αρνείται τη θύρα μετά την αποκρυπτογράφηση, ή ασύμμετρη δρομολόγηση που στέλνει τις απαντήσεις γύρω από τη συσκευή. Η διαγραφή SA απέναντι σε οποιοδήποτε από αυτά δίνει ένα σύντομο πράσινο αναβόσβημα και το ίδιο δελτίο αύριο. Κάθε ένα από αυτά μοιάζει με νεκρή σήραγγα από την πλευρά της εφαρμογής, γι' αυτό οι μετρητές μετρούν περισσότερο από τον συναγερμό.

Πάρτε στιγμιότυπο πριν από την ενέργεια. Καταγράψτε τον ομότιμο, τα αναγνωριστικά της συσχέτισης, τους μετρητές τη στιγμή της ενεργοποίησης και τα στοιχεία που την πυροδότησαν. Μια επαναφορά που τρέχει μπροστά από το στιγμιότυπο καταστρέφει τα πιο χρήσιμα δεδομένα του περιστατικού.

Πύλη δεύτερη: περιορίστε το εύρος στον ομότιμο, ποτέ στον κόσμο

Στο CLI του ASA, το clear crypto ikev2 sa peer 203.0.113.10 και το clear crypto ipsec sa peer 203.0.113.10 είναι στοχευμένες λειτουργίες. Οι ίδιες εντολές χωρίς όρισμα ομοτίμου σβήνουν κάθε συσχέτιση στο περιβάλλον, γεγονός που τις κάνει διαφορά στην ορθογραφία και διακοπή στο αποτέλεσμα. Ο αναφορά εντολών εκκαθάρισης της Cisco διαχωρίζει αυτές τις μορφές από την παραλλαγή μόνο στατιστικών, που μηδενίζει μετρητές και δεν διορθώνει τίποτα. Σε λειτουργία πολλαπλών περιβαλλόντων η εντολή δρα μόνο στο τρέχον περιβάλλον, οπότε η αυτοματοποίηση πρέπει να είναι σίγουρη και για το περιβάλλον στο οποίο βρίσκεται.

Επικυρώστε τον ομότιμο πριν κατασκευαστεί η εντολή. Μια κενή ή άλυτη μεταβλητή πρέπει να αποτυγχάνει την εργασία ηχηρά αντί να καταρρέει σε καθαρισμό όλων, και αυτός ο έλεγχος ανήκει σε κώδικα που μπορεί να διαβάσει ένας κριτικός.

Χαρτογραφήστε την ακτίνα επιπτώσεων ειλικρινά. Ένας ομότιμος μπορεί να φέρει πολλά προστατευμένα δίκτυα, χιλιάδες συνεδρίες και δεύτερη σήραγγα για διαχείριση, οπότε ένας καθαρισμός περιορισμένος στον ομότιμο είναι ακόμη συμβάν για πολλούς πελάτες σε έναν κόμβο. Εκτελέστε την ενέργεια από διαδρομή διαχείρισης που δεν εξαρτάται από τη σήραγγα που επαναφέρεται. Διαφορετικά η αυτοματοποίηση δεν μπορεί να επαληθεύσει το δικό της αποτέλεσμα, και το επόμενο βήμα είναι ένας άνθρωπος που οδηγεί στον χώρο.

Πύλη τρίτη: επαναλήψεις, ψύξη, καθορισμένη επιτυχία

Δώστε στην εργασία κλείδωμα ανά ομότιμο, περίοδο ψύξης και σκληρό όριο προσπαθειών που μετριέται από φρέσκες παρατηρήσεις. Χωρίς το κλείδωμα, δύο παρακολουθήσεις που ενεργοποιούνται την ίδια στιγμή σβήνουν τον ίδιο ομότιμο ενώ η επαναδιαπραγμάτευση είναι σε εξέλιξη, και καθεμία συμπεραίνει ότι απέτυχε η άλλη.

Επιτυχία σημαίνει ότι η συσχέτιση επέστρεψε και το επιτρεπόμενο φορτίο περνά, όχι ότι η εντολή επέστρεψε χωρίς σφάλμα. Ελέγξτε με τον ίδιο έλεγχο που εντόπισε την αστοχία και μετά επιβεβαιώστε ότι οι μετρητές των θυγατρικών SA κινούνται και προς τις δύο κατευθύνσεις. Μια εντολή που βγαίνει με μηδέν ενώ η σήραγγα μένει κάτω είναι αποτυχία παρακολούθησης ντυμένη ως αποκατάσταση.

Κρατήστε το άγνωστο χωριστό από το αποτυχημένο. Αν η τηλεμετρία είναι παλιά ή η διαδρομή διαχείρισης δεν είναι προσβάσιμη, η ειλικρινής κατάσταση είναι άγνωστη, και ένας προϋπολογισμός επαναλήψεων δεν πρέπει να το διαβάσει ως άδεια για νέα εκπυρσοκρότηση.

Όταν η πρώτη εγκεκριμένη αποκατάσταση δεν επαναφέρει την υπηρεσία, κλιμακώστε με το στιγμιότυπο αντί να κάνετε βρόχο. Οι προγραμματισμένες επαναφορές είναι η χειρότερη εκδοχή του μοτίβου, γιατί κρύβουν ένα ελάττωμα ανανέωσης κλειδιών, διαδρομής ή πολιτικής ενώ κόβουν υγιείς συνεδρίες με χρονόμετρο.

Ιδιοκτησία, ένας διακόπτης και μία πρόβα

Ονομάστε ιδιοκτήτη, τεκμηριώστε πώς απενεργοποιείται το applet ή το πρόγραμμα σε ένα βήμα και ορίστε ημερομηνία αναθεώρησης. Μια αυτοματοποίηση χωρίς διαδρομή απενεργοποίησης γίνεται μόνιμη υποδομή την ημέρα που ο δημιουργός της αλλάζει ομάδα.

Κάντε πρόβα σε εργαστήριο ή σε παράθυρο συντήρησης με την επιλογή ομοτίμου σκόπιμα σπασμένη, για να μάθετε αν η εργασία αποτυγχάνει κλειστά. Έπειτα κάντε πρόβα τη διαδρομή επιτυχίας, γιατί μια εργασία που τρέχει μόνο όταν κάτι πάει στραβά δεν σας μαθαίνει τίποτα για τη φυσιολογική της συμπεριφορά.