Aŭtomatigi restarigojn de ASA-tuneloj: tri pordegoj antaŭ ol permesi

Konsideru aŭtomatan tunelan restarigon kiel reakiran agon kun eksploda radiuso, ne kiel planitan humormŝanĝon. La decido antaŭ vi estas pli mallarĝa ol la iloj sugestas: kiu paneo ĝin pravigas, kiun samtavolon ĝi rajtas tuŝi kaj kio ĝin haltigas. Eraru pri tiuj tri kaj vi konstruis maŝinon por forigi pruvojn. Mi vidis unu el tiuj pafi ĉiun dek kvin minutojn kontraŭ sana samtavolo dum pli granda parto de semajno, kaj neniu rimarkis, ĉar la tunelo revenis ĉiufoje.

Unua pordego: pruvu, ke la paneo estas ene de la tunelo

Kunligu freŝan staton antaŭ ol permesi ion ajn. show crypto ikev2 sa detailed diras al vi, ĉu la IKEv2-asocio ekzistas kaj kiom malproksimen iris la intertraktado, kaj show vpn-sessiondb detail l2l donas la sean vidon kongruan al la sama samtavolo. Poste show crypto ipsec sa peer 203.0.113.10 montras la filajn SA-ojn, la encaps kaj decaps nombrilojn kaj la uzatajn selektilojn. Kreskanta encaps nombrilo kun plata decaps nombrilo estas tute alia problemo ol tute nenia asocio.

Poste kontrolu, kion rekonstruo ne povas ripari: mankantan revenan vojon, MTU kiu englutas grandajn pakaĵojn, politikon kiu rifuzas la pordon post malĉifrado, aŭ nesimetrian enkursigadon kiu sendas respondojn ĉirkaŭ la aparato. Viŝi SA-ojn kontraŭ iu ajn el tiuj produktas mallongan verdan ekbrilon kaj la saman bileton morgaŭ. Ĉiu el ili aspektas kiel morta tunelo de la aplikacia flanko, tial la nombriloj gravas pli ol la alarmo.

Faru momentfoton antaŭ la ago. Notu la samtavolon, la asociajn identigilojn, la nombrilojn en la momento de la ekigilo kaj la pruvojn kiuj ekigis ĝin. Restarigo kiu antaŭas la momentfoton detruas la plej utilajn datumojn de la incidento.

Dua pordego: limigu la amplekson al la samtavolo, neniam al la mondo

En la ASA-CLI, clear crypto ikev2 sa peer 203.0.113.10 kaj clear crypto ipsec sa peer 203.0.113.10 estas celitaj operacioj. La samaj komandoj sen samtavola argumento viŝas ĉiun asocion en la kunteksto, kio igas ilin literuma varianto kaj efektiva paneo. La referenco de viŝaj komandoj de Cisco apartigas tiujn formojn de la nur-statistika varianto, kiu restarigas nombrilojn kaj riparas nenion. En plurkunteksta reĝimo la komando agas nur sur la nuna kunteksto, do la aŭtomatigo devas ankaŭ certi, en kiu kunteksto ĝi estas.

Validigu la samtavolon antaŭ ol konstrui la komandon. Malplena aŭ nesolvita variablo devas laŭte misfunkciigi la taskon anstataŭ kolapsi en viŝon de ĉio, kaj tiu kontrolo apartenas al kodo kiun revizoro povas legi.

Mapu la eksplodan radiuson honeste. Unu samtavolo povas porti plurajn protektitajn retojn, milojn da seancoj kaj duan tunelon por administrado, do samtavola viŝo ankoraŭ estas plurklienta evento sur koncentrilo. Plenumu la agon el administra vojo kiu ne dependas de la restarigata tunelo. Alie la aŭtomatigo ne povas kontroli sian propran rezulton, kaj la sekva paŝo estas homo veturanta al la ejo.

Tria pordego: reprovoj, malvarmigo, difinita sukceso

Donu al la tasko seruron po samtavolo, malvarmigan periodon kaj malmolan limon de provoj kalkulitan el freŝaj observoj. Sen la seruro, du monitoroj kiuj ekas sammomente viŝas la saman samtavolon dum reintertraktado estas en la flugo, kaj ĉiu konkludas ke la alia malsukcesis.

Sukceso signifas ke la asocio revenis kaj la permesita laborŝarĝo trapasas, ne ke la komando revenis sen eraro. Kontrolu per la sama testo kiu trovis la paneon, poste konfirmu ke la nombriloj de la filaj SA-oj moviĝas en ambaŭ direktojn. Komando kiu eliras kun nulo dum la tunelo restas malsupre estas monitora paneo vestita kiel restarigo.

Tenu nekonaton aparte de la malsukcesinta. Se telemetrio estas malnova aŭ la administra vojo neatingebla, la honesta stato estas nekonata, kaj reprova buĝeto ne rajtas legi tion kiel permeson pafi denove.

Kiam la unua aprobita restarigo ne revenigas la servon, eskalu kun la momentfoto anstataŭ bukli. Planitaj restarigoj estas la plej malbona versio de la ŝablono, ĉar ili kaŝas difekton pri ŝlosila rekreado, itinero aŭ politiko dum ili tranĉas sanajn seancojn per tempigilo.

Posedo, malŝaltilo kaj unu provludo

Nomu posedanton, dokumentu kiel malŝalti la apleton aŭ la horaron en unu paŝo, kaj starigu revizian daton. Aŭtomatigo sen malŝalta vojo fariĝas permanenta infrastrukturo en la tago kiam ĝia aŭtoro ŝanĝas teamon.

Provludu ĝin en laboratorio aŭ en bontenada fenestro kun la samtavola elekto intence rompita, por malkovri ĉu la tasko fiaskas sekure. Poste provludu la sukcesan vojon, ĉar tasko kiu funkcias nur dum io misas instruas al vi nenion pri sia normala konduto.