ASA გვირაბების გადატვირთვის ავტომატიზაცია: სამი კარიბჭე დაშვებამდე

ავტომატური გვირაბის გადატვირთვა განიხილეთ როგორც აღდგენითი მოქმედება ზემოქმედების რადიუსით, და არა როგორც დაგეგმილი განწყობის ცვლილება. თქვენ წინაშე მდგარი გადაწყვეტილება უფრო ვიწროა, ვიდრე ინსტრუმენტები გვთავაზობენ: რომელი ხარვეზი ამართლებს მას, რომელ პარტნიორს შეიძლება შეეხოს და რა აჩერებს მას. ამ სამში შეცდომა და თქვენ ააგეთ მანქანა მტკიცებულებების წასაშლელად. მე მინახავს, როგორ ერთი ასეთი ყოველ თხუთმეტ წუთში ისროდა ჯანმრთელ პარტნიორზე კვირის უმეტეს ნაწილში და არავის შეუმჩნევია, რადგან გვირაბი ყოველ ჯერზე ბრუნდებოდა.

პირველი კარიბჭე: დაამტკიცეთ, რომ ხარვეზი გვირაბის შიგნითაა

დააკავშირეთ ახალი მდგომარეობა, სანამ რაიმეს დაუშვებთ. show crypto ikev2 sa detailed გეუბნებათ, არსებობს თუ არა IKEv2 ასოციაცია და რამდენად შორს წავიდა მოლაპარაკება, ხოლო show vpn-sessiondb detail l2l გაძლევთ იმავე პარტნიორის შესაბამის სესიის ხედს. შემდეგ show crypto ipsec sa peer 203.0.113.10 აჩვენებს შვილობილ SA-ებს, encaps და decaps მრიცხველებს და გამოყენებულ სელექტორებს. მზარდი encaps მრიცხველი ბრტყელ decaps მრიცხველთან სრულიად სხვა პრობლემაა, ვიდრე ასოციაციის სრული არარსებობა.

შემდეგ შეამოწმეთ, რასაც ხელახალი აწყობა ვერ შეაკეთებს: დაკარგული დაბრუნების მარშრუტი, MTU, რომელიც დიდ პაკეტებს ყლაპავს, პოლიტიკა, რომელიც გაშიფვრის შემდეგ პორტს უარყოფს, ან ასიმეტრიული მარშრუტიზაცია, რომელიც პასუხებს მოწყობილობის გვერდით აგზავნის. SA-ების წაშლა რომელიმე მათგანის წინააღმდეგ იძლევა მოკლე მწვანე ციმციმს და ხვალ იმავე ბილეთს. თითოეული მათგანი აპლიკაციის მხრიდან მკვდარ გვირაბს ჰგავს, ამიტომ მრიცხველები უფრო მნიშვნელოვანია, ვიდრე სიგნალი.

მოქმედებამდე აიღეთ მდგომარეობის სურათი. ჩაწერეთ პარტნიორი, ასოციაციის იდენტიფიკატორები, მრიცხველები გააქტიურების მომენტში და მტკიცებულებები, რომლებმაც ის გაააქტიურა. გადატვირთვა, რომელიც სურათს უსწრებს, ანადგურებს ინციდენტის ყველაზე სასარგებლო მონაცემებს.

მეორე კარიბჭე: ფარგლები შემოზღუდეთ პარტნიორით, არასოდეს მსოფლიოთი

ASA-ის CLI-ში clear crypto ikev2 sa peer 203.0.113.10 და clear crypto ipsec sa peer 203.0.113.10 მიზანმიმართული ოპერაციებია. იგივე ბრძანებები პარტნიორის არგუმენტის გარეშე შლის კონტექსტის ყველა ასოციაციას, რაც მათ აქცევს მართლწერის ვარიანტად და ეფექტით შეწყვეტად. Cisco-ს წაშლის ბრძანებების ცნობარი გამოჰყოფს ამ ფორმებს მხოლოდ სტატისტიკური ვარიანტისგან, რომელიც მრიცხველებს აბრუნებს და არაფერს არ ასწორებს. მრავალკონტექსტურ რეჟიმში ბრძანება მოქმედებს მხოლოდ მიმდინარე კონტექსტზე, ამიტომ ავტომატიზაციამ უნდა იცოდეს, რომელ კონტექსტშიც არის.

გადაამოწმეთ პარტნიორი ბრძანების აგებამდე. ცარიელი ან გადაუჭრელი ცვლადი ხმამაღლა უნდა ამარცხებდეს სამუშაოს, ნაცვლად იმისა, რომ ყველაფრის წაშლაში ჩამოიშალოს, და ეს შემოწმება ეკუთვნის კოდს, რომლის წაკითხვაც რეცენზენტს შეუძლია.

დახაზეთ ზემოქმედების რადიუსი პატიოსნად. ერთ პარტნიორს შეიძლება ეჭიროს რამდენიმე დაცული ქსელი, ათასობით სესია და მეორე გვირაბი მართვისთვის, ამიტომ პარტნიორით შეზღუდული წაშლა ჰაბზე მაინც მრავალკლიენტიანი მოვლენაა. შეასრულეთ მოქმედება მართვის იმ გზიდან, რომელიც არ არის დამოკიდებული გადატვირთული გვირაბზე. წინააღმდეგ შემთხვევაში ავტომატიზაცია ვერ ამოწმებს საკუთარ შედეგს და შემდეგი ნაბიჯი ადამიანია, რომელიც ობიექტისკენ მიდის.

მესამე კარიბჭე: განმეორებითი ცდები, გაგრილება, განსაზღვრული წარმატება

მიეცით სამუშაოს პარტნიორობრივი ბლოკირება, გაგრილების პერიოდი და მკაცრი ცდების ზღვარი, რომელიც ახალი დაკვირვებებიდან ითვლება. ბლოკირების გარეშე ორი მონიტორი, რომლებიც ერთსა და იმავე მომენტში აქტიურდება, შლის იმავე პარტნიორს ხელახალი მოლაპარაკების დროს და თითოეული ასკვნის, რომ მეორე ჩავარდა.

წარმატება ნიშნავს, რომ ასოციაცია დაბრუნდა და ნებადართული დატვირთვა გადის, და არა იმას, რომ ბრძანება შეცდომის გარეშე დაბრუნდა. შეამოწმეთ იმავე ტესტით, რომელმაც ხარვეზი აღმოაჩინა, შემდეგ დაადასტურეთ, რომ შვილობილი SA-ების მრიცხველები ორივე მიმართულებით მოძრაობს. ბრძანება, რომელიც ნულით გადის, სანამ გვირაბი ქვემოთ რჩება, აღდგენის ნიღაბში ჩაცმული მონიტორინგის ჩავარდნაა.

უცნობი გამოყავით წარუმატებლისგან. თუ ტელემეტრია მოძველებულია ან მართვის გზა მიუწვდომელია, პატიოსანი მდგომარეობა უცნობია და განმეორებითი ცდების ბიუჯეტმა ეს არ უნდა წაიკითხოს როგორც ხელახლა სროლის ნებართვა.

როცა პირველი დამტკიცებული აღდგენა სერვისს არ აბრუნებს, ესკალაცია მოახდინეთ სურათით და არა მარყუჟით. დაგეგმილი გადატვირთვები ამ შაბლონის ყველაზე ცუდი ვერსიაა, რადგან ისინი მალავენ გასაღების ხელახალი გენერაციის, მარშრუტის ან პოლიტიკის ხარვეზს და ამავდროულად ჯანმრთელ სესიებს ტაიმერით წყვეტენ.

საკუთრება, გამორთვის ღილაკი და ერთი რეპეტიცია

დაასახელეთ მფლობელი, დააფიქსირეთ, როგორ გამოირთვება აპლეტი ან გრაფიკი ერთ საფეხურში, და დანიშნეთ გადახედვის თარიღი. ავტომატიზაცია გამორთვის გზის გარეშე მუდმივ ინფრასტრუქტურად იქცევა იმ დღეს, როცა მისი ავტორი გუნდს იცვლის.

ივარჯიშეთ ლაბორატორიაში ან ტექნიკური მომსახურების ფანჯარაში პარტნიორის არჩევანის განზრახ გატეხვით, რათა გაიგოთ, ხომ არ ჩავარდება სამუშაო დახურულად. შემდეგ ივარჯიშეთ წარმატების გზა, რადგან სამუშაო, რომელიც მხოლოდ მაშინ მუშაობს, როცა რაღაც არასწორია, თავის ნორმალურ ქცევაზე არაფერს გასწავლით.