ASA-alagutak visszaállításának automatizálása: három kapu, mielőtt engedélyezi

Tekintse az automatikus alagút-visszaállítást robbanási sugárral járó helyreállítási műveletnek, nem pedig ütemezett hangulatváltozásnak. A döntés ön előtt szűkebb, mint amit az eszközök sugallnak: melyik hiba indokolja, melyik partnert érintheti, és mi állítja le. Ha ezt a hármat elrontja, bizonyítékok törlésére szolgáló gépet épített. Láttam egy ilyet negyedóránként elsülni egy egészséges partner ellen egy hét nagy részében, és senki nem vette észre, mert az alagút minden alkalommal visszatért.

Első kapu: bizonyítsa, hogy a hiba az alagúton belül van

Korrelálja a friss állapotot, mielőtt bármit engedélyez. A show crypto ikev2 sa detailed megmondja, létezik-e az IKEv2 társítás és meddig jutott a tárgyalás, a show vpn-sessiondb detail l2l pedig az ugyanahhoz a partnerhez illő munkamenet-nézetet adja. Ezután a show crypto ipsec sa peer 203.0.113.10 mutatja a gyermek SA-kat, az encaps és decaps számlálókat és a használt szelektorokat. Emelkedő encaps számláló lapos decaps számlálóval teljesen más probléma, mint a társítás teljes hiánya.

Ezután ellenőrizze, mit nem tud az újraépítés megjavítani: a hiányzó visszairányú útvonalat, a nagy csomagokat elnyelő MTU-t, a visszafejtés után a portot elutasító szabályt, vagy az aszimmetrikus útválasztást, amely a válaszokat az eszköz körül küldi. Ha bármelyik ellen törli az SA-kat, rövid zöld villanást és holnap ugyanazt a jegyet kapja. Mindegyik halott alagútnak látszik az alkalmazás felől, ezért fontosabbak a számlálók, mint a riasztás.

Készítsen pillanatképet a művelet előtt. Rögzítse a partnert, a társítás azonosítóit, a számlálókat a kiváltás pillanatában és a kiváltó bizonyítékokat. A pillanatkép előtt futó visszaállítás megsemmisíti az incidens leghasznosabb adatait.

Második kapu: a hatókört a partnerre korlátozza, soha ne a világra

Az ASA CLI-jén a clear crypto ikev2 sa peer 203.0.113.10 és a clear crypto ipsec sa peer 203.0.113.10 célzott művelet. Ugyanezek a parancsok partnerargumentum nélkül a kontextus minden társítását törlik, ami írásmódbeli változat és hatásában kiesés. A Cisco törlési parancsok referenciája-ja elválasztja ezeket a formákat a csak statisztikás változattól, amely nullázza a számlálókat és semmit nem javít. Többkontextusú módban a parancs csak az aktuális kontextusra hat, ezért az automatizálásnak abban is biztosnak kell lennie, melyik kontextusban van.

Érvényesítse a partnert, mielőtt a parancs összeáll. Az üres vagy feloldatlan változónak hangosan el kell buktatnia a feladatot, ahelyett hogy mindent törlő műveletté omlana, és ez az ellenőrzés olyan kódba tartozik, amelyet a bíráló el tud olvasni.

Rajzolja fel a robbanási sugarat őszintén. Egy partner több védett hálózatot, több ezer munkamenetet és egy második, felügyeleti alagutat hordozhat, ezért a partnerre korlátozott törlés egy hubon továbbra is többügyfeles esemény. A műveletet olyan felügyeleti útvonalról futtassa, amely nem függ a visszaállított alagúttól. Különben az automatizálás nem tudja ellenőrizni a saját eredményét, és a következő lépés egy ember, aki a helyszínre vezet.

Harmadik kapu: újrapróbálkozások, lehűlés, definiált siker

Adjon a feladatnak partnernkénti zárat, lehűlési időszakot és kemény kísérleti korlátot, amelyet friss megfigyelésekből számol. Zár nélkül két egyszerre induló megfigyelő ugyanazt a partnert törli, miközben az újratárgyalás folyik, és mindegyik azt a következtetést vonja le, hogy a másik vallott kudarcot.

A siker azt jelenti, hogy a társítás visszatért és az engedélyezett terhelés átmegy, nem azt, hogy a parancs hiba nélkül tért vissza. Ugyanazzal az ellenőrzéssel vizsgáljon, amely a hibát észlelte, majd erősítse meg, hogy a gyermek SA-k számlálói mindkét irányban mozognak. Az a parancs, amely nullával lép ki, miközben az alagút lent marad, felügyeleti hiba helyreállításnak öltözve.

Tartsa külön az ismeretlent a meghibásodottól. Ha a telemetria elavult, vagy a felügyeleti útvonal elérhetetlen, az őszinte állapot ismeretlen, és az újrapróbálkozási keret ezt nem olvashatja újabb tüzelési engedélyként.

Amikor az első jóváhagyott helyreállítás nem állítja vissza a szolgáltatást, eszkaláljon a pillanatképpel a hurkolás helyett. Az ütemezett visszaállítások a minta legrosszabb változata, mert elrejtik a kulcsújragenerálás, az útvonal vagy a szabály hibáját, miközben időzítővel vágják el az egészséges munkameneteket.

Felelősség, egy kikapcsoló és egy próba

Nevezzen meg felelőst, dokumentálja, hogyan lehet az appletet vagy az ütemezést egy lépésben letiltani, és tűzzön ki felülvizsgálati dátumot. A kikapcsolási útvonal nélküli automatizálás azon a napon válik állandó infrastruktúrává, amikor a szerzője csapatot vált.

Próbálja ki laborban vagy karbantartási ablakban szándékosan elrontott partnerkiválasztással, hogy kiderüljön, zártan hibázik-e a feladat. Utána gyakorolja a siker útvonalát, mert a csak akkor futó feladat, amikor valami baj van, semmit nem tanít a normál viselkedéséről.