ASA टनल रीसेट का ऑटोमेशन: अनुमति देने से पहले तीन द्वार

स्वचालित टनल रीसेट को प्रभाव-त्रिज्या वाली रिकवरी कार्रवाई मानें, नियोजित मिज़ाज-परिवर्तन नहीं। आपके सामने का निर्णय औज़ारों के संकेत से अधिक सँकरा है: कौन-सी खराबी इसे जायज़ ठहराती है, किस पीयर को यह छू सकता है, और क्या इसे रोकता है। इन तीनों में चूक हुई तो आपने सबूत मिटाने की मशीन बना दी है। मैंने ऐसा एक लगभग एक हफ़्ते तक हर पंद्रह मिनट में स्वस्थ पीयर पर चलते देखा है, और किसी ने ध्यान नहीं दिया क्योंकि टनल हर बार लौट आता था।

पहला द्वार: सिद्ध करें कि खराबी टनल के भीतर है

कुछ भी अधिकृत करने से पहले ताज़ा स्थिति को सहसंबंधित करें। show crypto ikev2 sa detailed बताता है कि IKEv2 एसोसिएशन मौजूद है या नहीं और बातचीत कहाँ तक पहुँची, और show vpn-sessiondb detail l2l उसी पीयर से मेल खाता सत्र दृश्य देता है। फिर show crypto ipsec sa peer 203.0.113.10 चाइल्ड SA, encaps और decaps काउंटर तथा प्रयुक्त सिलेक्टर दिखाता है। बढ़ता encaps काउंटर और स्थिर decaps काउंटर होना, एसोसिएशन के पूर्ण अभाव से बिल्कुल अलग समस्या है।

इसके बाद देखें कि पुनर्निर्माण क्या ठीक नहीं कर सकता: गायब रिटर्न रूट, बड़े पैकेट निगलने वाला MTU, डिक्रिप्शन के बाद पोर्ट अस्वीकार करने वाली नीति, या असममित रूटिंग जो उत्तरों को उपकरण के इर्द-गिर्द भेजती है। इनमें से किसी के विरुद्ध SA साफ़ करने पर थोड़ी देर की हरी झलक और कल वही टिकट मिलती है। हर एक एप्लिकेशन की ओर से मृत टनल जैसा दिखता है, इसीलिए काउंटर अलर्ट से अधिक मायने रखते हैं।

कार्रवाई से पहले स्नैपशॉट लें। पीयर, एसोसिएशन पहचानकर्ता, ट्रिगर के क्षण के काउंटर और उसे चलाने वाले सबूत दर्ज करें। स्नैपशॉट से आगे दौड़ने वाला रीसेट घटना के सबसे उपयोगी डेटा को नष्ट कर देता है।

दूसरा द्वार: दायरा पीयर तक सीमित रखें, कभी दुनिया तक नहीं

ASA CLI पर clear crypto ikev2 sa peer 203.0.113.10 और clear crypto ipsec sa peer 203.0.113.10 लक्षित क्रियाएँ हैं। पीयर आर्ग्युमेंट के बिना वही कमांड संदर्भ में हर एसोसिएशन साफ़ कर देते हैं, जो उन्हें वर्तनी का अंतर और असर में आउटेज बना देता है। Cisco का साफ़ करने वाले कमांड का संदर्भ उन रूपों को केवल-आँकड़े वाले संस्करण से अलग करता है, जो काउंटर रीसेट करता है और कुछ भी ठीक नहीं करता। मल्टी-कॉन्टेक्स्ट मोड में कमांड केवल मौजूदा संदर्भ पर काम करता है, इसलिए ऑटोमेशन को यह भी पता होना चाहिए कि वह किस संदर्भ में है।

कमांड बनने से पहले पीयर को मान्य करें। खाली या अनसुलझा वेरिएबल काम को ज़ोर से विफल करे, न कि सब-कुछ-साफ़ में बदल जाए, और वह जाँच ऐसे कोड में हो जिसे समीक्षक पढ़ सके।

प्रभाव-त्रिज्या को ईमानदारी से खींचें। एक पीयर कई संरक्षित नेटवर्क, हज़ारों सत्र और प्रबंधन के लिए दूसरी टनल ले जा सकता है, इसलिए पीयर-सीमित सफ़ाई हब पर अब भी बहु-ग्राहक घटना है। कार्रवाई ऐसे प्रबंधन पथ से चलाएँ जो रीसेट होती टनल पर निर्भर न हो। वरना ऑटोमेशन अपना परिणाम सत्यापित नहीं कर सकता, और अगला कदम साइट तक गाड़ी चलाता एक इंसान है।

तीसरा द्वार: पुनः प्रयास, कूलडाउन, परिभाषित सफलता

काम को प्रति-पीयर लॉक, कूलडाउन अवधि और ताज़ा अवलोकनों से गिनी जाने वाली कड़ी प्रयास-सीमा दें। लॉक के बिना, एक ही क्षण में शुरू होने वाले दो मॉनिटर पुनः बातचीत के दौरान उसी पीयर को साफ़ कर देते हैं, और हर एक मानता है कि दूसरा विफल हुआ।

सफलता का अर्थ है एसोसिएशन लौट आई और अनुमत कार्यभार निकल गया, न कि कमांड बिना त्रुटि लौटा। उसी जाँच से परखें जिसने खराबी पकड़ी थी, फिर पुष्टि करें कि चाइल्ड SA काउंटर दोनों दिशाओं में आगे बढ़ते हैं। जो कमांड टनल गिरे रहने पर भी शून्य के साथ निकल जाए, वह रिकवरी के वेश में निगरानी की विफलता है।

अज्ञात को विफल से अलग रखें. यदि टेलीमेट्री पुरानी है या प्रबंधन पथ पहुँच से बाहर है, तो ईमानदार स्थिति अज्ञात है, और पुनः प्रयास बजट को इसे फिर चलाने की अनुमति नहीं पढ़ना चाहिए।

जब पहली स्वीकृत रिकवरी सेवा नहीं लौटाती, तो लूप लगाने के बजाय स्नैपशॉट के साथ एस्केलेट करें। नियोजित रीसेट इस पैटर्न का सबसे बुरा रूप हैं, क्योंकि वे कुंजी-नवीनीकरण, रूट या नीति की खराबी छिपाते हैं और साथ ही स्वस्थ सत्रों को टाइमर पर काटते हैं।

स्वामित्व, एक ऑफ़ स्विच और एक पूर्वाभ्यास

एक स्वामी नामित करें, ऐपलेट या शेड्यूल को एक चरण में कैसे निष्क्रिय करना है यह दस्तावेज़ करें, और समीक्षा तिथि तय करें। जिस ऑटोमेशन के पास निष्क्रिय करने का पथ नहीं, वह उस दिन स्थायी अधोसंरचना बन जाता है जिस दिन उसका लेखक टीम बदलता है।

प्रयोगशाला में या रखरखाव विंडो में पीयर चयन को जानबूझकर तोड़कर इसका पूर्वाभ्यास करें, ताकि पता चले कि काम सुरक्षित रूप से विफल होता है या नहीं। फिर सफलता पथ का पूर्वाभ्यास करें, क्योंकि जो काम केवल कुछ गड़बड़ होने पर चलता है, वह अपने सामान्य व्यवहार के बारे में आपको कुछ नहीं सिखाता।