ASA tunnelite lähtestamise automatiseerimine: kolm väravat enne lubamist
Enne kui ASA ise kustutab partneri turbeseosed, otsustage kolm väravat: viga on tunneli sees, ulatus on üks partner, korduskatsed lõpevad.
Mõelge automaatsele tunneli lähtestamisele kui taastamistoimingule, millel on plahvatusraadius, mitte kui plaanipärasele tujumuutusele. Otsus teie ees on kitsam, kui tööriist vihjab: milline rike seda õigustab, millist partnerit see tohib puudutada ja mis selle peatab. Kui eksite nendes kolmes, olete ehitanud masina tõendite kustutamiseks. Olen näinud ühte sellist tulistamas iga viieteistkümne minuti tagant terve partneri pihta peaaegu nädala, ja keegi ei märganud, sest tunnel tuli iga kord tagasi.
Esimene värav: tõestage, et viga on tunneli sees
Seostage värske olek enne, kui midagi lubate. show crypto ikev2 sa detailed ütleb, kas IKEv2 seos on olemas ja kui kaugele läbirääkimised jõudsid, ning show vpn-sessiondb detail l2l annab sama partneriga sobiva seansi vaate. Seejärel näitab show crypto ipsec sa peer 203.0.113.10 tütar-SA-sid, encaps- ja decaps-loendureid ning kasutatavaid selektoreid. Kasvav encaps-loendur koos lameda decaps-loenduriga on hoopis teine probleem kui seose täielik puudumine.
Järgmisena kontrollige, mida ülesehitamine parandada ei suuda: puuduv tagasitee, MTU, mis neelab suured paketid, poliitika, mis keeldub pärast dekrüpteerimist pordist, või asümmeetriline marsruutimine, mis saadab vastused seadmest mööda. SA-de kustutamine ükskõik millise vastu annab lühikese rohelise vilksatuse ja homseks sama pileti. Igaüks neist näeb rakenduse poolelt välja nagu surnud tunnel, seepärast on loendurid tähtsamad kui alarm.
Tehke enne toimingut hetktõmmis. Kirjutage üles partner, seose identifikaatorid, loendurid käivitamise hetkel ja tõendid, mis selle käivitas. Lähtestamine, mis jõuab hetktõmmisest ette, hävitab juhtumi kõige kasulikumad andmed.
Teine värav: piirake ulatus partneriga, mitte kunagi maailmaga
ASA CLI-s on clear crypto ikev2 sa peer 203.0.113.10 ja clear crypto ipsec sa peer 203.0.113.10 sihitud toimingud. Samad käsud ilma partneri argumendita kustutavad kontekstis kõik seosed, mis teeb neist kirjapildi variandi ja mõjult katkestuse. Cisco kustutuskäskude viide eraldab need vormid ainult statistikaga variandist, mis lähtestab loendurid ega paranda midagi. Mitmekontekstilises režiimis mõjub käsk ainult praegusele kontekstile, seega peab automatiseerimine olema kindel ka selles, millises kontekstis ta on.
Valideerige partner enne käsu koostamist. Tühi või lahendamata muutuja peab töö valjult nurjama, selle asemel et variseda kõige kustutamiseks, ja see kontroll kuulub koodi, mida ülevaataja saab lugeda.
Kaardistage plahvatusraadius ausalt. Üks partner võib kanda mitut kaitstud võrku, tuhandeid seansse ja teist tunnelit haldamiseks, seega partneriga piiratud kustutamine on jaoturis ikka mitme kliendi sündmus. Käivitage toiming haldusteelt, mis ei sõltu lähtestatavast tunnelist. Vastasel juhul ei saa automatiseerimine oma tulemust kontrollida ja järgmine samm on inimene, kes sõidab kohale.
Kolmas värav: korduskatsed, jahtumine, määratud õnnestumine
Andke tööle partneripõhine lukk, jahtumisperiood ja kõva katsete piir, mida loetakse värsketest vaatlustest. Ilma lukuta kustutavad kaks monitori, mis käivituvad samal hetkel, sama partneri, kui uus läbirääkimine on käimas, ja kumbki järeldab, et teine ebaõnnestus.
Õnnestumine tähendab, et seos on tagasi ja lubatud koormus läbib, mitte et käsk naasis vigadeta. Kontrollige sama testiga, mis rikke avastas, seejärel kinnitage, et tütar-SA-de loendurid liiguvad mõlemas suunas. Käsk, mis väljub nulliga, kui tunnel jääb maha, on monitooringu rike taastamise kuues.
Hoia teadmata eraldi ebaõnnestunust. Kui telemeetria on vananenud või haldustee kättesaamatu, on aus olek teadmata, ja korduskatsete eelarve ei tohi seda lugeda loana uuesti tulistada.
Kui esimene kinnitatud taastamine teenust ei taasta, eskaleerige hetktõmmisega, selle asemel et tsüklisse jääda. Plaanilised lähtestamised on mustri halvim versioon, sest need varjavad võtme uuendamise, marsruudi või poliitika defekti, lõigates samal ajal taimeriga terveid seansse.
Omandiõigus, väljalüliti ja üks proov
Nimetage omanik, dokumenteerige, kuidas rakendikest või ajakava ühe sammuga välja lülitada, ja määrake ülevaatamise kuupäev. Ilma väljalülitusteeleta automatiseerimine muutub püsivaks taristuks päeval, mil selle autor vahetab meeskonda.
Harjutage seda laboris või hooldusaknas, kus partneri valik on meelega katki, et teada saada, kas töö ebaõnnestub suletult. Seejärel harjutage õnnestumise teed, sest töö, mis töötab ainult siis, kui midagi on valesti, ei õpeta teile selle tavakäitumisest midagi.