Mengotomatiskan reset tunnel ASA: tiga gerbang sebelum mengizinkannya

Anggap reset tunnel otomatis sebagai tindakan pemulihan dengan radius dampak, bukan perubahan suasana hati terjadwal. Keputusan di depan Anda lebih sempit daripada yang disiratkan alat: kegagalan mana yang membenarkannya, peer mana yang boleh disentuh, dan apa yang menghentikannya. Salah pada ketiganya dan Anda telah membangun mesin penghapus bukti. Saya pernah melihat salah satunya menyala setiap lima belas menit terhadap peer yang sehat hampir sepanjang minggu, dan tak seorang pun menyadarinya karena tunnel selalu kembali.

Gerbang satu: buktikan kegagalan ada di dalam tunnel

Korelasikan keadaan segar sebelum Anda mengizinkan apa pun. show crypto ikev2 sa detailed memberi tahu apakah asosiasi IKEv2 ada dan sejauh mana negosiasi berjalan, dan show vpn-sessiondb detail l2l memberi tampilan sesi yang cocok dengan peer yang sama. Lalu show crypto ipsec sa peer 203.0.113.10 menunjukkan SA anak, penghitung encaps dan decaps serta selektor yang dipakai. Penghitung encaps yang naik dengan penghitung decaps yang datar adalah masalah yang sangat berbeda dari tidak adanya asosiasi sama sekali.

Berikutnya, periksa apa yang tidak bisa diperbaiki pembangunan ulang: rute balik yang hilang, MTU yang menelan paket besar, kebijakan yang menolak port setelah dekripsi, atau perutean asimetris yang mengirim balasan memutari perangkat. Menghapus SA terhadap salah satu dari itu menghasilkan kilatan hijau singkat dan tiket yang sama besok. Semuanya tampak seperti tunnel mati dari sisi aplikasi, karena itu penghitung lebih penting daripada alarm.

Ambil snapshot sebelum tindakan. Catat peer, pengenal asosiasi, penghitung pada saat pemicu dan bukti yang memicunya. Reset yang mendahului snapshot menghancurkan data paling berguna yang dimiliki insiden.

Gerbang dua: batasi cakupan pada peer, jangan pernah pada dunia

Di CLI ASA, clear crypto ikev2 sa peer 203.0.113.10 dan clear crypto ipsec sa peer 203.0.113.10 adalah operasi bertarget. Perintah yang sama tanpa argumen peer menghapus setiap asosiasi dalam konteks, yang menjadikannya variasi ejaan dan pemadaman dalam efek. referensi perintah penghapusan Cisco memisahkan bentuk itu dari varian khusus statistik, yang mereset penghitung dan tidak memperbaiki apa pun. Dalam mode multikonteks perintah hanya berlaku pada konteks saat ini, jadi otomatisasi juga harus yakin di konteks mana ia berada.

Validasi peer sebelum perintah dibangun. Variabel kosong atau tak terselesaikan harus menggagalkan pekerjaan dengan keras alih-alih runtuh menjadi hapus-semua, dan pemeriksaan itu berada di kode yang bisa dibaca peninjau.

Petakan radius dampak dengan jujur. Satu peer dapat membawa beberapa jaringan terlindungi, ribuan sesi, dan tunnel kedua untuk manajemen, jadi penghapusan yang dibatasi peer tetap peristiwa multipelanggan di hub. Jalankan tindakan dari jalur manajemen yang tidak bergantung pada tunnel yang direset. Jika tidak, otomatisasi tidak dapat memverifikasi hasilnya sendiri, dan langkah berikutnya adalah manusia yang mengemudi ke lokasi.

Gerbang tiga: percobaan ulang, pendinginan, keberhasilan yang ditetapkan

Beri pekerjaan itu kunci per peer, periode pendinginan, dan batas percobaan keras yang dihitung dari pengamatan segar. Tanpa kunci, dua monitor yang terpicu pada saat yang sama menghapus peer yang sama saat negosiasi ulang berlangsung, dan masing-masing menyimpulkan yang lain gagal.

Keberhasilan berarti asosiasi kembali dan beban kerja yang diizinkan lewat, bukan bahwa perintah kembali tanpa kesalahan. Uji dengan pemeriksaan yang sama yang mendeteksi kegagalan, lalu pastikan penghitung SA anak bergerak di kedua arah. Perintah yang keluar dengan nol sementara tunnel tetap mati adalah kegagalan pemantauan yang berpenampilan pemulihan.

Pisahkan yang tak diketahui dari yang gagal. Jika telemetri basi atau jalur manajemen tak terjangkau, keadaan jujurnya adalah tidak diketahui, dan anggaran percobaan ulang tidak boleh membacanya sebagai izin menembak lagi.

Ketika pemulihan pertama yang disetujui tidak mengembalikan layanan, eskalasi dengan snapshot alih-alih berputar. Reset terjadwal adalah versi terburuk pola ini, karena menyembunyikan cacat rekey, rute, atau kebijakan sambil memotong sesi sehat dengan pengatur waktu.

Kepemilikan, sakelar mati, dan satu latihan

Tunjuk pemilik, dokumentasikan cara menonaktifkan applet atau jadwal dalam satu langkah, dan tetapkan tanggal tinjauan. Otomatisasi tanpa jalur penonaktifan menjadi infrastruktur permanen pada hari penulisnya berganti tim.

Latih di laboratorium atau jendela pemeliharaan dengan pemilihan peer sengaja dirusak, agar Anda tahu apakah pekerjaan itu gagal tertutup. Lalu latih jalur keberhasilan, karena pekerjaan yang hanya berjalan saat ada yang salah tidak mengajarkan apa pun tentang perilaku normalnya.