אוטומציה של איפוסי מנהרות ASA: שלושה שערים לפני שאתם מתירים

חישבו על איפוס מנהרה אוטומטי כפעולת שחזור עם רדיוס פגיעה, ולא כשינוי מצב רוח מתוזמן. ההחלטה שלפניכם צרה ממה שהכלים מרמזים: איזו תקלה מצדיקה אותו, איזה עמית הוא רשאי לגעת בו, ומה עוצר אותו. טעו בשלושת אלה ובניתם מכונה למחיקת ראיות. ראיתי אחד כזה יורה כל חמש עשרה דקות נגד עמית בריא במשך רוב השבוע, ואיש לא שם לב כי המנהרה חזרה בכל פעם.

שער ראשון: הוכיחו שהתקלה בתוך המנהרה

קשרו מצב טרי לפני שאתם מאשרים משהו. show crypto ikev2 sa detailed אומר לכם אם אסוציאציית IKEv2 קיימת וכמה רחוק הגיע המשא ומתן, ו-show vpn-sessiondb detail l2l נותן את תצוגת הסשן שמתאימה לאותו עמית. לאחר מכן show crypto ipsec sa peer 203.0.113.10 מציג את SAות הבנות, את מוני ה-encaps וה-decaps ואת הסלקטורים בשימוש. מונה encaps עולה עם מונה decaps שטוח הוא בעיה שונה לגמרי מהיעדר אסוציאציה לחלוטין.

לאחר מכן בדקו מה בנייה מחדש אינה יכולה לתקן: נתיב חזרה חסר, MTU שבולע מנות גדולות, מדיניות שדוחה את הפורט לאחר הפענוח, או ניתוב לא סימטרי ששולח תשובות סביב ההתקן. מחיקת SA מול כל אחד מאלה מייצרת הבהוב ירוק קצר ואת אותו כרטיס מחר. כל אחד מהם נראה כמו מנהרה מתה מצד האפליקציה, ולכן המונים חשובים יותר מההתראה.

צלמו תמונת מצב לפני הפעולה. תעדו את העמית, את מזהי האסוציאציה, את המונים ברגע ההפעלה ואת הראיות שהפעילו אותה. איפוס שמקדים את תמונת המצב משמיד את הנתונים השימושיים ביותר שהיו לאירוע.

שער שני: הגבילו את ההיקף לעמית, לעולם לא לעולם

ב-CLI של ASA, clear crypto ikev2 sa peer 203.0.113.10 ו-clear crypto ipsec sa peer 203.0.113.10 הן פעולות ממוקדות. אותן פקודות בלי ארגומנט עמית מוחקות כל אסוציאציה בהקשר, מה שהופך אותן לווריאציית כתיב ולהשבתה בפועל. מדריך פקודות המחיקה של Cisco מפריד בין הצורות האלה לבין הגרסה הסטטיסטית בלבד, שמאפסת מונים ואינה מתקנת דבר. במצב ריבוי הקשרים הפקודה פועלת רק על ההקשר הנוכחי, ולכן האוטומציה חייבת להיות בטוחה גם באיזה הקשר היא נמצאת.

אמתו את העמית לפני שהפקודה נבנית. משתנה ריק או לא פתור חייב להפיל את העבודה בקול רם במקום לקרוס לניקוי הכל, ובדיקה זו שייכת לקוד שמבקר יכול לקרוא.

ציירו את רדיוס הפגיעה ביושר. עמית אחד יכול לשאת כמה רשתות מוגנות, אלפי סשנים ומנהרה שנייה לניהול, ולכן ניקוי מוגבל לעמית הוא עדיין אירוע רב-לקוחות ברכז. הפעילו את הפעולה מנתיב ניהול שאינו תלוי במנהרה המאופסת. אחרת האוטומציה אינה יכולה לאמת את התוצאה של עצמה, והצעד הבא הוא אדם שנוסע לאתר.

שער שלישי: ניסיונות חוזרים, התקררות, הצלחה מוגדרת

תנו לעבודה מנעול לכל עמית, תקופת התקררות ומגבלת ניסיונות קשיחה הנספרת מתצפיות טריות. בלי המנעול, שני מוניטורים שמתעוררים באותו רגע מוחקים את אותו עמית בזמן שמשא ומתן חוזר מתנהל, וכל אחד מסיק שהשני נכשל.

הצלחה פירושה שהאסוציאציה חזרה ושהעומס המותר עובר, ולא שהפקודה חזרה בלי שגיאה. בדקו עם אותה בדיקה שאיתרה את התקלה, ואז אשרו שמוני SAות הבנות זזים בשני הכיוונים. פקודה שיוצאת עם אפס בזמן שהמנהרה נשארת למטה היא כשל ניטור בחליפת שחזור.

הפרידו את הלא־ידוע מן הכושל. אם הטלמטריה מיושנת או שנתיב הניהול אינו נגיש, המצב הישר הוא לא ידוע, ותקציב ניסיונות חוזרים לא צריך לקרוא בכך רשות לירות שוב.

כאשר השחזור המאושר הראשון אינו מחזיר את השירות, הסלימו עם תמונת המצב במקום ללופ. איפוסים מתוזמנים הם הגרסה הגרועה ביותר של התבנית, משום שהם מסתירים פגם ביצירת מפתחות מחדש, בנתיב או במדיניות ובו בזמן חותכים סשנים בריאים לפי טיימר.

בעלות, מתג כיבוי וחזרה אחת

מנו בעלים, תעדו כיצד להשבית את האפליקט או את לוח הזמנים בצעד אחד, וקבעו תאריך סקירה. אוטומציה בלי נתיב השבתה הופכת לתשתית קבועה ביום שבו הכותב שלה מחליף צוות.

תרגלו אותה במעבדה או בחלון תחזוקה עם בחירת עמית שבורה בכוונה, כדי לגלות אם העבודה נכשלת סגור. אחר כך תרגלו את נתיב ההצלחה, כי עבודה שרצה רק כשמשהו שגוי לא מלמדת אתכם דבר על התנהגותה הרגילה.