ASA-tunnelien nollausten automatisointi: kolme porttia ennen kuin sallit sen

Ajattele automaattista tunnelin nollausta palautustoimena, jolla on räjähdysalue, älä aikataulutettuna mielialanvaihteluna. Edessäsi oleva päätös on kapeampi kuin työkalu antaa ymmärtää: mikä vika sen oikeuttaa, mihin vertaiseen se saa koskea ja mikä sen pysäyttää. Jos menet näissä kolmessa pieleen, olet rakentanut koneen todisteiden poistamiseen. Olen nähnyt yhden tällaisen laukeavan viidentoista minuutin välein tervettä vertaista vastaan suurimman osan viikkoa, eikä kukaan huomannut, koska tunneli palasi joka kerta.

Ensimmäinen portti: todista, että vika on tunnelin sisällä

Korreloi tuore tila ennen kuin valtuutat mitään. show crypto ikev2 sa detailed kertoo, onko IKEv2-yhdistelmä olemassa ja kuinka pitkälle neuvottelu eteni, ja show vpn-sessiondb detail l2l antaa samaa vertaista vastaavan istunnon näkymän. Sitten show crypto ipsec sa peer 203.0.113.10 näyttää lapsi-SA:t, encaps- ja decaps-laskurit ja käytössä olevat valitsimet. Kasvava encaps-laskuri ja tasainen decaps-laskuri on täysin eri ongelma kuin yhdistelmän täydellinen puuttuminen.

Tarkista seuraavaksi, mitä uudelleenrakennus ei voi korjata: puuttuva paluureitti, MTU joka nielee suuret paketit, käytäntö joka hylkää portin salauksen purkamisen jälkeen, tai epäsymmetrinen reititys joka lähettää vastaukset laitteen ohi. SA:iden tyhjentäminen mitä tahansa näistä vastaan tuottaa lyhyen vihreän välähdyksen ja saman tiketin huomenna. Jokainen niistä näyttää sovelluksen puolelta kuolleelta tunnelilta, siksi laskurit merkitsevät enemmän kuin hälytys.

Ota tilannekuva ennen toimenpidettä. Kirjaa vertainen, yhdistelmän tunnisteet, laskurit laukaisuhetkellä ja todisteet jotka sen laukaisivat. Nollaus joka etenee tilannekuvan edelle tuhoaa hyödyllisimmät tiedot, joita tapauksella oli.

Toinen portti: rajaa laajuus vertaiseen, älä koskaan maailmaan

ASA:n CLI:ssä clear crypto ikev2 sa peer 203.0.113.10 ja clear crypto ipsec sa peer 203.0.113.10 ovat kohdennettuja toimintoja. Samat komennot ilman vertaisargumenttia tyhjentävät kaikki kontekstin yhdistelmät, mikä tekee niistä kirjoitusasun muunnelman ja vaikutukseltaan katkoksen. Ciscon tyhjennyskomentojen viite erottaa nämä muodot vain tilastoja koskevasta muunnelmasta, joka nollaa laskurit eikä korjaa mitään. Monikontekstitilassa komento vaikuttaa vain nykyiseen kontekstiin, joten automaation on oltava varma myös siitä, missä kontekstissa se on.

Validoi vertainen ennen kuin komento rakennetaan. Tyhjän tai ratkaisemattoman muuttujan on kaadettava työ äänekkäästi sen sijaan että se romahtaisi kaiken tyhjennykseksi, ja tarkistus kuuluu koodiin, jonka katselmoija voi lukea.

Piirrä räjähdysalue rehellisesti. Yksi vertainen voi kantaa useita suojattuja verkkoja, tuhansia istuntoja ja toisen tunnelin hallintaa varten, joten vertaiseen rajattu tyhjennys on keskitimessä yhä monen asiakkaan tapahtuma. Suorita toimenpide hallintapolulta, joka ei riipu nollattavasta tunnelista. Muuten automaatio ei voi varmentaa omaa tulostaan, ja seuraava askel on ihminen ajamassa paikalle.

Kolmas portti: uusintayritykset, jäähdytys, määritetty onnistuminen

Anna työlle vertaiskohtainen lukko, jäähdytysjakso ja kova yritysraja, joka lasketaan tuoreista havainnoista. Ilman lukkoa kaksi samalla hetkellä laukeavaa valvojaa tyhjentävät saman vertaisen uudelleenneuvottelun ollessa käynnissä, ja kumpikin päättelee toisen epäonnistuneen.

Onnistuminen tarkoittaa, että yhdistelmä on palannut ja sallittu kuorma kulkee, ei sitä että komento palasi ilman virhettä. Koettele samalla tarkistuksella joka havaitsi vian, vahvista sitten että lapsi-SA:iden laskurit liikkuvat molempiin suuntiin. Komento joka poistuu nollalla tunnelin jäädessä alas on valvontavirhe palautukseksi pukeutuneena.

Pidä tuntematon erillään epäonnistuneesta. Jos telemetria on vanhentunutta tai hallintapolku ei ole tavoitettavissa, rehellinen tila on tuntematon, eikä uusintayritysbudjetti saa lukea sitä lupana laukaista uudelleen.

Kun ensimmäinen hyväksytty palautus ei palauta palvelua, eskaloi tilannekuvan kanssa sen sijaan että jäisit silmukkaan. Aikataulutetut nollaukset ovat kuvion huonoin versio, koska ne piilottavat avainten uusinnan, reitin tai käytännön vian ja leikkaavat samalla terveitä istuntoja ajastimella.

Omistajuus, pois-kytkin ja yksi harjoitus

Nimeä omistaja, dokumentoi miten sovelma tai aikataulu poistetaan käytöstä yhdellä askelella, ja aseta tarkistuspäivä. Automaatiosta ilman poiskytkentäpolkua tulee pysyvää infrastruktuuria sinä päivänä, jona sen tekijä vaihtaa tiimiä.

Harjoittele sitä laboratoriossa tai huoltoikkunassa vertaisvalinta tarkoituksella rikottuna, jotta saat selville, epäonnistuuko työ suljetusti. Harjoittele sitten onnistumispolku, koska työ joka toimii vain jonkin ollessa vialla ei opeta sinulle mitään sen normaalista käytöksestä.