ASA-tunnels automatysk weromsette: trije poarten foar't jo it tastean

Tink oan in automatyske tunnelweromset as in herstelaksje mei in ynfloedsradius, net as in plande stimmingswiksel. It beslút foar jo is smeller as de ark suggerearje: hokker fout it rjochtfeardiget, hokker partner it oanrekke mei en wat it stopset. Krij dy trije ferkeard en jo hawwe in masine boud om bewiis te wiskjen. Ik haw sjoen hoe't ien fan dizze alle fyftjin minuten tsjin in sûne partner fjurde it grutste part fan in wike, en nimmen merkte it op om't de tunnel elk kear weromkaam.

Poarte ien: bewize dat de fout yn 'e tunnel sit

Korrelearje farske tastân foar't jo eat tastean. show crypto ikev2 sa detailed fertelt jo oft de IKEv2-assosjaasje bestiet en hoe fier de ûnderhanneling kaam, en show vpn-sessiondb detail l2l jout it sesje-byld dat by deselde partner past. Dan lit show crypto ipsec sa peer 203.0.113.10 de bern-SA's, de encaps- en decaps-tellers en de brûkte kiezers sjen. In stigjende encaps-teller mei in flakke decaps-teller is in hiel oar probleem as hielendal gjin assosjaasje.

Kontrolearje dêrnei wat in weropbou net reparearje kin: in ûntbrekkende weromrûte, in MTU dy't grutte pakketten opslokt, in belied dat de poarte nei ûntsifering wegeret, of asymmetryske routing dy't antwurden om it apparaat hinne stjoert. SA's wiskje tsjin ien fan dizze jout in koarte griene flits en moarn itselde ticket. Elk fan dizze liket fan 'e applikaasjekant in deade tunnel, dêrom telle de tellers mear as it alarm.

Nim in momintopname foar de aksje. Skriuw de partner, de assosjaasje-identifikaasjes, de tellers op it momint fan 'e trigger en it bewiis dat it ôfgean liet. In weromset dy't de momintopname foarbyrint ferneatiget de meast nuttige gegevens fan it ynsidint.

Poarte twa: behein it berik ta de partner, nea ta de wrâld

Op 'e ASA-CLI binne clear crypto ikev2 sa peer 203.0.113.10 en clear crypto ipsec sa peer 203.0.113.10 rjochte operaasjes. Deselde opdrachten sûnder partner-argumint wiskje elke assosjaasje yn 'e kontekst, wat har in staveringsfariant en in útfal yn effekt makket. Cisco's referinsje foar wiskopdrachten skiedt dy foarmen fan 'e allinnich-statistyk-fariant, dy't tellers weromset en neat reparearret. Yn multi-kontekstmodus wurket de opdracht allinnich op 'e hjoeddeiske kontekst, dus de automatisearring moat ek wis wêze yn hokker kontekst it is.

Falidearje de partner foar't de opdracht boud wurdt. In lege of net-oploste fariabele moat de taak lûd misse litte ynstee fan yn in clear-all te fallen, en dy kontrôle heart yn koade dy't in resinsint lêze kin.

Tekenje de ynfloedsradius earlik. Ien partner kin ferskate beskerme netwurken, tûzenen sesjes en in twadde tunnel foar behear drage, dus in partner-beheind wiskje is op in hub noch hieltyd in evenemint foar mear klanten. Fier de aksje út fan in behearspaad dat net ôfhinklik is fan 'e tunnel dy't weromset wurdt. Oars kin de automatisearring syn eigen resultaat net ferifiearje, en de folgjende stap is in minske dy't nei it plak rydt.

Poarte trije: werpogingen, ôfkuoljen, definiearre sukses

Jou de taak in slot per partner, in ôfkuolperioade en in hurde besyklimyt teld út farske waarnimmingen. Sûnder it slot wiskje twa monitors dy't op itselde momint ôfgeane deselde partner wylst de werynset noch geande is, en elk konkludearret dat de oare misse.

Sukses betsjut dat de assosjaasje werom is en de tastiene lading trochkomt, net dat de opdracht sûnder flater weromkaam. Probearje mei deselde kontrôle dy't de fout fûn, en befêstigje dan dat de tellers fan 'e bern-SA's beide kanten bewege. In opdracht dy't mei nul útkomt wylst de tunnel del bliuwt, is in monitoringsflater ferklaaid as herstel.

Hâld ûnbekend skieden fan mislearre. As telemetry ferâldere is of it behearspaad net berikber is, is de earlike tastân ûnbekend, en in werpogingsbudzjet moat dat net lêze as tastimming om wer te fjurjen.

As it earste goedkarde herstel de tsjinst net werombringt, eskalearje mei de momintopname ynstee fan te loopen. Plende weromsets binne de minste ferzje fan it patroan, om't se in defekt by kaaifernijing, rûte of belied ferbergje wylst se sûne sesjes op in timer ôfsnije.

Eigendom, in útskeakelder en ien repetysje

Jou de eigner in namme, dokumintearje hoe't jo de applet of it skema yn ien stap útskeakelje, en set in kontrôledatum. In automatisearring sûnder útskeakelpaad wurdt permaninte ynfrastruktuer op 'e dei dat syn auteur fan team feroaret.

Repetearje it yn in laboratoarium of yn in ûnderhâldsfinster mei de partnerkar mei opset stikkene, sadat jo útfine oft de taak feilich misse. Repetearje dan it suksespaad, want in taak dy't allinnich rint wylst der wat mis is, leart jo neat oer syn normale gedrach.