ASA թունելների վերակայման ավտոմատացում. երեք դարպաս՝ թույլ տալուց առաջ

Ավտոմատ թունելի վերակայումը դիտեք որպես ազդեցության շառավղով վերականգնման գործողություն, ոչ որպես պլանավորված տրամադրության փոփոխություն: Ձեր առջև դրված որոշումը նեղ է, քան գործիքներն են հուշում՝ ո՞ր խափանումն է այն արդարացնում, ո՞ր գործընկերոջը կարող է դիպչել և ի՞նչն է այն կանգնեցնում: Սխալվեք այս երեքում, և դուք ապացույցներ ջնջող մեքենա եք կառուցել: Ես տեսել եմ, թե ինչպես այսպիսիներից մեկը շաբաթվա մեծ մասում ամեն տասնհինգ րոպեն մեկ կրակում էր առողջ գործընկերոջ վրա, և ոչ ոք չնկատեց, որովհետև թունելը ամեն անգամ վերադառնում էր:

Առաջին դարպաս. ապացուցեք, որ խափանումը թունելի ներսում է

Միացրեք թարմ վիճակը, նախքան ինչ-որ բան թույլատրելը: show crypto ikev2 sa detailed-ը ձեզ ասում է՝ կա՞ IKEv2 ասոցիացիա և որքան հեռու գնաց բանակցությունը, իսկ show vpn-sessiondb detail l2l-ը տալիս է նույն գործընկերոջը համապատասխանող սեսիայի տեսքը: Այնուհետև show crypto ipsec sa peer 203.0.113.10-ը ցույց է տալիս զավակ SA-երը, encaps և decaps հաշվիչները և օգտագործվող ընտրիչները: Աճող encaps հաշվիչը հարթ decaps հաշվիչի հետ բոլորովին այլ խնդիր է, քան ասոցիացիայի լրիվ բացակայությունը:

Ապա ստուգեք, ինչը վերակառուցումը չի կարող ուղղել՝ բացակայող վերադարձի երթուղի, MTU, որը կուլ է տալիս մեծ փաթեթները, քաղաքականություն, որը մերժում է պորտը ապակոդավորումից հետո, կամ ասիմետրիկ երթուղավորում, որը պատասխաններն ուղարկում է սարքի շուրջը: SA-երի ջնջումը դրանցից որևէ մեկի դեմ տալիս է կարճ կանաչ բռնկում և նույն տոմսը վաղը: Դրանցից յուրաքանչյուրը հավելվածի կողմից երևում է որպես մեռած թունել, դրա համար հաշվիչներն ավելի կարևոր են, քան ազդանշանը:

Մինչ գործողությունը վերցրեք վիճակի պատկեր: Գրանցեք գործընկերոջը, ասոցիացիայի նույնացուցիչները, հաշվիչները գործարկման պահին և ապացույցները, որոնք գործարկեցին այն: Պատկերից առաջ ընթացող վերակայումը ոչնչացնում է միջադեպի ամենաօգտակար տվյալները:

Երկրորդ դարպաս. շրջանակը սահմանափակեք գործընկերոջով, երբեք աշխարհով

ASA-ի CLI-ում clear crypto ikev2 sa peer 203.0.113.10-ը և clear crypto ipsec sa peer 203.0.113.10-ը նպատակային գործողություններ են: Նույն հրամանները առանց գործընկերոջ արգումենտի ջնջում են կոնտեքստի բոլոր ասոցիացիաները, ինչը դարձնում է դրանք ուղղագրական տարբերակ և ազդեցությամբ ընդհատում: Cisco-ի ջնջման հրամանների տեղեկագիր-ը առանձնացնում է այդ ձևերը միայն վիճակագրական տարբերակից, որը վերակայում է հաշվիչները և ոչինչ չի վերանորոգում: Բազմակոնտեքստ ռեժիմում հրամանը գործում է միայն ընթացիկ կոնտեքստի վրա, ուստի ավտոմատացումը պետք է վստահ լինի նաև, թե որ կոնտեքստում է գտնվում:

Վավերացրեք գործընկերոջը, նախքան հրամանը կկառուցվի: Դատարկ կամ չլուծված փոփոխականը պետք է բարձրաձայն ձախողի աշխատանքը, փոխարենը՝ ամեն ինչ ջնջելու մեջ ընկնելու, և այդ ստուգումը պատկանում է կոդին, որը գրախոսը կարող է կարդալ:

Նկարեք ազդեցության շառավիղը ազնվորեն: Մեկ գործընկեր կարող է կրել մի քանի պաշտպանված ցանցեր, հազարավոր սեսիաներ և երկրորդ թունել՝ կառավարման համար, ուստի գործընկերոջով սահմանափակված ջնջումը հանգույցում դեռ բազմահաճախորդ միջադեպ է: Գործողությունն իրականացրեք կառավարման ուղուց, որը կախված չէ վերակայվող թունելից: Հակառակ դեպքում ավտոմատացումը չի կարող ստուգել իր արդյունքը, և հաջորդ քայլը մարդն է, որը մեքենայով գնում է տեղամաս:

Երրորդ դարպաս. կրկնափորձեր, սառեցում, սահմանված հաջողություն

Աշխատանքին տվեք գործընկերոջով կողպեք, սառեցման շրջան և թարմ դիտարկումներից հաշվված կոշտ փորձերի սահման: Առանց կողպեքի՝ միևնույն պահին գործարկված երկու մոնիտոր ջնջում են նույն գործընկերոջը, մինչ վերաբանակցումը ընթացքի մեջ է, և ամեն մեկը եզրակացնում է, որ մյուսը ձախողվել է:

Հաջողությունը նշանակում է, որ ասոցիացիան վերադարձել է և թույլատրված ծանրաբեռնվածությունն անցնում է, ոչ թե որ հրամանը վերադարձել է առանց սխալի: Ստուգեք նույն ստուգմամբ, որը հայտնաբերեց խափանումը, ապա հաստատեք, որ զավակ SA-երի հաշվիչները շարժվում են երկու ուղղություններով: Զրոյով դուրս եկող հրամանը, մինչ թունելը մնում է ներքևում, վերականգնման քողով կառավարման ձախողում է:

Անհայտը առանձին պահեք ձախողվածից. Եթե հեռաչափությունը հնացած է կամ կառավարման ուղին անհասանելի, ազնիվ վիճակը անհայտ է, և կրկնափորձերի բյուջեն չպետք է դա կարդա որպես նորից կրակելու թույլտվություն:

Երբ առաջին հաստատված վերականգնումը չի վերադարձնում ծառայությունը, էսկալացրեք վիճակի պատկերով՝ փոխարենը օղակի մեջ ընկնելու: Պլանավորված վերակայումները ձևի ամենավատ տարբերակն են, որովհետև դրանք թաքցնում են բանալիների վերագեներացման, երթուղու կամ քաղաքականության թերությունը՝ ժամաչափով կտրելով առողջ սեսիաները:

Սեփականություն, անջատիչ և մեկ փորձավազք

Նշանակեք տիրոջ, փաստաթղթավորեք, թե ինչպես մեկ քայլով անջատել ապլետը կամ ժամանակացույցը, և սահմանեք վերանայման ամսաթիվ: Առանց անջատման ուղու ավտոմատացումը դառնում է մշտական ենթակառուցվածք այն օրը, երբ դրա հեղինակը փոխում է թիմը:

Փորձավազք արեք լաբորատորիայում կամ սպասարկման պատուհանում՝ դիտավորյալ կոտրելով գործընկերոջ ընտրությունը, որպեսզի պարզեք՝ աշխատանքը ձախողվում է փակ վիճակում: Ապա փորձավազք արեք հաջողության ուղին, որովհետև միայն ինչ-որ բան սխալ լինելիս աշխատող աշխատանքը ձեզ ոչինչ չի սովորեցնում իր բնականոն վարքի մասին: