خودکارسازی بازنشانی تونل‌های ASA: سه دروازه پیش از آنکه اجازه دهید

بازنشانی خودکار تونل را مانند یک اقدام بازیابی با شعاع اثر در نظر بگیرید، نه یک تغییر خلق‌وخوی زمان‌بندی‌شده. تصمیمی که پیش روی شماست باریک‌تر از آن است که ابزار پیشنهاد می‌کند: کدام خرابی آن را توجیه می‌کند، کدام همتا را می‌تواند لمس کند و چه چیزی آن را متوقف می‌کند. اگر این سه را اشتباه کنید، ماشینی برای پاک کردن شواهد ساخته‌اید. دیده‌ام یکی از این‌ها هر پانزده دقیقه علیه یک همتای سالم در بیشتر یک هفته شلیک می‌کرد و هیچ‌کس متوجه نشد، چون تونل هر بار برمی‌گشت.

دروازه یک: ثابت کنید خرابی درون تونل است

پیش از آنکه چیزی را مجاز کنید، وضعیت تازه را به هم پیوند دهید. show crypto ikev2 sa detailed می‌گوید انجمن IKEv2 وجود دارد یا نه و مذاکره تا کجا رسیده، و show vpn-sessiondb detail l2l نمای نشستی را می‌دهد که با همان همتا مطابقت دارد. سپس show crypto ipsec sa peer 203.0.113.10 SAهای فرزند، شمارنده‌های encaps و decaps و انتخابگرهای در حال استفاده را نشان می‌دهد. شمارنده encaps رو به افزایش با شمارنده decaps ثابت، مسئله‌ای کاملاً متفاوت از نبود کامل انجمن است.

سپس بررسی کنید بازسازی چه چیزی را نمی‌تواند ترمیم کند: مسیر بازگشت گمشده، یک MTU که بسته‌های بزرگ را می‌بلعد، سیاستی که پورت را پس از رمزگشایی رد می‌کند، یا مسیریابی نامتقارنی که پاسخ‌ها را دور دستگاه می‌فرستد. پاک کردن SA در برابر هر یک از این‌ها یک چشمک سبز کوتاه و همان تیکت فردا را می‌دهد. هر یک از سمت برنامه مانند تونلی مرده به نظر می‌رسد، به همین دلیل شمارنده‌ها از هشدار مهم‌ترند.

پیش از اقدام یک تصویر لحظه‌ای بگیرید. همتا، شناسه‌های انجمن، شمارنده‌ها در لحظه فعال‌سازی و شواهدی که آن را برانگیخت ثبت کنید. بازنشانی‌ای که از تصویر جلو بزند، مفیدترین داده‌های حادثه را نابود می‌کند.

دروازه دو: دامنه را به همتا محدود کنید، هرگز به جهان

در CLI دستگاه ASA، فرمان‌های clear crypto ikev2 sa peer 203.0.113.10 و clear crypto ipsec sa peer 203.0.113.10 عملیات هدفمند هستند. همان فرمان‌ها بدون آرگومان همتا همه انجمن‌های زمینه را پاک می‌کنند، که آن‌ها را به تفاوتی در املا و قطعی در اثر تبدیل می‌کند. مرجع فرمان‌های پاک‌سازی سیسکو این شکل‌ها را از گونه فقط-آماری جدا می‌کند که شمارنده‌ها را بازنشانی می‌کند و چیزی را ترمیم نمی‌کند. در حالت چندزمینه‌ای فرمان فقط بر زمینه فعلی اثر می‌گذارد، پس خودکارسازی باید از زمینه‌ای که در آن است نیز مطمئن باشد.

پیش از ساخت فرمان، همتا را اعتبارسنجی کنید. متغیر خالی یا حل‌نشده باید کار را با صدای بلند شکست دهد، نه اینکه به پاک‌سازی همه‌چیز فرو بریزد، و این بررسی باید در کدی باشد که بازبین بتواند بخواند.

شعاع اثر را صادقانه ترسیم کنید. یک همتا می‌تواند چندین شبکه محافظت‌شده، هزاران نشست و تونل دومی برای مدیریت حمل کند، بنابراین پاک‌سازی محدود به همتا در یک هاب هنوز رویدادی چندمشتری است. اقدام را از مسیری مدیریتی اجرا کنید که به تونل در حال بازنشانی وابسته نباشد. وگرنه خودکارسازی نمی‌تواند نتیجه خود را بررسی کند و گام بعدی انسانی است که به سایت رانندگی می‌کند.

دروازه سه: تلاش مجدد، خنک‌سازی، موفقیت تعریف‌شده

به کار یک قفل به‌ازای هر همتا، یک دوره خنک‌سازی و سقف سخت تلاش که از مشاهدات تازه شمرده می‌شود بدهید. بدون قفل، دو پایشگری که در یک لحظه فعال می‌شوند هنگام مذاکره مجدد همان همتا را پاک می‌کنند و هر کدام نتیجه می‌گیرد که دیگری شکست خورده است.

موفقیت یعنی انجمن بازگشته و بار مجاز عبور کرده است، نه اینکه فرمان بدون خطا بازگشته باشد. با همان بررسی‌ای که خرابی را تشخیص داد آزمایش کنید، سپس تأیید کنید شمارنده‌های SA فرزند در هر دو جهت حرکت می‌کنند. فرمانی که با صفر خارج می‌شود در حالی که تونل پایین می‌ماند، شکست پایشگری است که لباس بازیابی پوشیده.

ناشناخته را از شکست‌خورده جدا نگه دارید. اگر تله‌متری کهنه است یا مسیر مدیریت در دسترس نیست، وضعیت صادقانه ناشناخته است و بودجه تلاش مجدد نباید آن را اجازه شلیک دوباره بخواند.

وقتی نخستین بازیابی تأییدشده سرویس را برنمی‌گرداند، به‌جای حلقه زدن با تصویر لحظه‌ای ارجاع دهید. بازنشانی‌های زمان‌بندی‌شده بدترین نسخه این الگو هستند، چون نقصی در بازتولید کلید، مسیر یا سیاست را پنهان می‌کنند و در همان حال نشست‌های سالم را با تایمر قطع می‌کنند.

مالکیت، یک کلید خاموشی و یک تمرین

مالکی تعیین کنید، مستند کنید که اپلت یا زمان‌بندی در یک گام چگونه غیرفعال می‌شود، و تاریخ بازبینی بگذارید. خودکارسازی‌ای که مسیر غیرفعال‌سازی ندارد، روزی که نویسنده‌اش تیم را عوض کند زیرساخت دائمی می‌شود.

آن را در آزمایشگاه یا در پنجره نگهداری با انتخاب همتای عمداً شکسته تمرین کنید تا بفهمید کار به‌صورت بسته شکست می‌خورد یا نه. سپس مسیر موفقیت را تمرین کنید، چون کاری که فقط وقتی چیزی اشتباه است اجرا می‌شود چیزی درباره رفتار عادی‌اش به شما نمی‌آموزد.