Automatizacija resetiranja ASA tunela: tri vrata prije nego to dopustite

Zamislite automatsko resetiranje tunela kao akciju oporavka s radijusom štete, a ne kao zakazanu promjenu raspoloženja. Odluka pred vama uža je nego što alat sugerira: koji kvar ga opravdava, kojeg partnera smije dotaknuti i što ga zaustavlja. Pogriješite li u tih tri stvari, izgradili ste stroj za brisanje dokaza. Gledao sam kako jedan takav radi svakih petnaest minuta protiv zdravog partnera veći dio tjedna, i nitko nije primijetio jer se tunel svaki put vraćao.

Prva vrata: dokažite da je kvar unutar tunela

Povežite svježe stanje prije nego što išta odobrite. show crypto ikev2 sa detailed vam kaže postoji li IKEv2 asocijacija i dokle je stiglo pregovaranje, a show vpn-sessiondb detail l2l daje prikaz sesije koji odgovara istom partneru. Zatim show crypto ipsec sa peer 203.0.113.10 pokazuje podređene SA, brojače encaps i decaps i selektore u upotrebi. Rastući encaps brojač uz ravan decaps brojač posve je drugi problem od potpunog izostanka asocijacije.

Zatim provjerite što ponovna izgradnja ne može popraviti: nedostajuću povratnu rutu, MTU koji guta velike pakete, politiku koja odbija port nakon dešifriranja, ili asimetrično usmjeravanje koje šalje odgovore oko uređaja. Brisanje SA protiv bilo čega od toga daje kratak zeleni bljesak i isti tiket sutra. Svaki od njih izgleda kao mrtav tunel s aplikacijske strane, zato su brojači važniji od alarma.

Snimite stanje prije akcije. Zapišite partnera, identifikatore asocijacije, brojače u trenutku pokretanja i dokaze koji su ga pokrenuli. Reset koji pretekne snimku uništava najkorisnije podatke koje je incident imao.

Druga vrata: opseg ograničite na partnera, nikada na svijet

U ASA CLI-ju, clear crypto ikev2 sa peer 203.0.113.10 i clear crypto ipsec sa peer 203.0.113.10 su ciljane operacije. Iste naredbe bez argumenta partnera brišu svaku asocijaciju u kontekstu, što ih čini razlikom u pisanju i ispadom u učinku. Ciscoov pregled naredbi za brisanje razdvaja te oblike od varijante samo sa statistikom, koja resetira brojače i ne popravlja ništa. U načinu s više konteksta naredba djeluje samo na trenutačni kontekst, pa automatizacija mora biti sigurna i u kojem je kontekstu.

Provjerite partnera prije nego što se naredba sastavi. Prazna ili neriješena varijabla mora glasno oboriti posao, umjesto da se sruči u brisanje svega, i ta provjera pripada kodu koji recenzent može pročitati.

Nacrtajte radijus štete iskreno. Jedan partner može nositi nekoliko zaštićenih mreža, tisuće sesija i drugi tunel za upravljanje, pa je brisanje ograničeno na partnera i dalje događaj za više klijenata na koncentratoru. Izvedite akciju s upravljačke staze koja ne ovisi o tunelu koji se resetira. Inače automatizacija ne može provjeriti vlastiti rezultat, a sljedeći je korak čovjek koji vozi do lokacije.

Treća vrata: ponovni pokušaji, hlađenje, definiran uspjeh

Dajte poslu bravu po partneru, razdoblje hlađenja i tvrdi limit pokušaja koji se broji iz svježih opažanja. Bez brave dva monitora koja se pokrenu u istom trenutku brišu istog partnera dok je ponovno pregovaranje u tijeku, i svaki zaključi da je drugi podbacio.

Uspjeh znači da je asocijacija vraćena i da dopušteno opterećenje prolazi, a ne da se naredba vratila bez greške. Provjerite istim testom koji je otkrio kvar, pa potvrdite da se brojači podređenih SA kreću u oba smjera. Naredba koja izađe s nulom dok tunel ostaje dolje jest kvar nadzora obučen u oporavak.

Držite nepoznato odvojeno od neuspjelog. Ako su telemetrija zastarjela ili je upravljačka staza nedostupna, iskreno stanje je nepoznato, i proračun za ponovne pokušaje to ne smije čitati kao dopuštenje da opali ponovno.

Kada prvi odobreni oporavak ne vrati uslugu, eskalirajte sa snimkom umjesto da ponavljate u petlji. Zakazani reseti najgora su verzija obrasca jer skrivaju defekt obnove ključeva, rute ili politike dok režu zdrave sesije po timeru.

Vlasništvo, prekidač i jedna proba

Imenujte vlasnika, dokumentirajte kako se aplet ili raspored onemogućuje jednim korakom i postavite datum pregleda. Automatizacija bez puta za isključivanje postaje trajna infrastruktura onog dana kada njezin autor promijeni tim.

Uvježbajte je u laboratoriju ili u prozoru održavanja s namjerno pokvarenim odabirom partnera, da saznate pada li posao zatvoreno. Zatim uvježbajte put uspjeha, jer posao koji radi samo dok nešto nije u redu ne uči vas ničemu o svom normalnom ponašanju.