ASA туннельдерін қайта іске қосуды автоматтандыру: рұқсат бермес бұрын үш қақпа

Автоматты туннельді қайта іске қосуды әсер ету радиусы бар қалпына келтіру әрекеті ретінде қарастырыңыз, жоспарланған көңіл-күй өзгерісі ретінде емес. Алдыңыздағы шешім құралдар ұсынғаннан тар: қандай ақау оны ақтайды, қай серіктеске тиюге болады және оны не тоқтатады. Осы үшеуінде қателессеңіз, дәлелдерді жоятын машина құрдыңыз. Мен мұндайдың бірі аптаның көп бөлігінде әр он бес минут сайын сау серіктеске оқ атып жатқанын көрдім, бірақ туннель әр жолы қайта оралғандықтан ешкім байқамады.

Бірінші қақпа: ақаудың туннель ішінде екенін дәлелдеңіз

Бірдеңеге рұқсат бермес бұрын жаңа күйді сәйкестендіріңіз. show crypto ikev2 sa detailed IKEv2 ассоциациясының бар-жоғын және келіссөздің қай жерге жеткенін айтады, ал show vpn-sessiondb detail l2l сол серіктеске сәйкес сессия көрінісін береді. Содан кейін show crypto ipsec sa peer 203.0.113.10 еншілес SA-ларды, encaps және decaps санауыштарын және қолданылатын селекторларды көрсетеді. Өсіп келе жатқан encaps санауышы мен тегіс decaps санауышы ассоциацияның мүлде болмауынан мүлдем басқа мәселе.

Содан кейін қайта құру түзей алмайтынын тексеріңіз: жоғалған қайтару маршруты, үлкен пакеттерді жұтатын MTU, шифрдан шығарғаннан кейін портты қабылдамайтын саясат немесе жауаптарды құрылғының айналасынан жіберетін асимметриялық маршруттау. Осылардың кез келгеніне қарсы SA-ларды тазалау қысқа жасыл жарқыл мен ертең сол билетті береді. Әрқайсысы қосымша жағынан өлі туннельге ұқсайды, сондықтан санауыштар дабылдан маңыздырақ.

Әрекеттен бұрын күй суретін түсіріңіз. Серіктесті, ассоциация идентификаторларын, іске қосылу сәтіндегі санауыштарды және оны іске қосқан дәлелдерді жазып алыңыз. Суреттен озып кететін қайта іске қосу оқиғаның ең пайдалы деректерін жояды.

Екінші қақпа: ауқымды серіктеспен шектеңіз, ешқашан әлеммен емес

ASA CLI-інде clear crypto ikev2 sa peer 203.0.113.10 және clear crypto ipsec sa peer 203.0.113.10 мақсатты операциялар. Серіктес аргументінсіз сол командалар контекстегі барлық ассоциацияны тазалайды, бұл оларды жазылу нұсқасы және әсері бойынша үзіліс етеді. Cisco-ның тазалау командаларының анықтамасы осы формаларды тек статистикалық нұсқадан ажыратады, ол санауыштарды қайта орнатады және ешнәрсені түзетпейді. Көпконтекстік режимде команда тек ағымдағы контексте әрекет етеді, сондықтан автоматтандыру қай контексте екенін де білуі керек.

Команда құрылмас бұрын серіктесті тексеріңіз. Бос немесе шешілмеген айнымалы барлығын тазалауға құлап кетудің орнына жұмысты қатты сәтсіздікке ұшыратуы керек, және бұл тексеру шолушы оқи алатын кодта болуы тиіс.

Әсер ету радиусын адал салыңыз. Бір серіктес бірнеше қорғалған желіні, мыңдаған сессияны және басқару үшін екінші туннельді көтере алады, сондықтан серіктеспен шектелген тазалау хабта әлі де көпклиенттік оқиға. Әрекетті қайта іске қосылатын туннельге тәуелді емес басқару жолынан орындаңыз. Әйтпесе автоматтандыру өз нәтижесін тексере алмайды, ал келесі қадам — учаскеге бара жатқан адам.

Үшінші қақпа: қайталаулар, суыту, анықталған табыс

Жұмысқа серіктес бойынша құлып, суыту кезеңі және жаңа бақылаулардан есептелетін қатаң әрекет шегін беріңіз. Құлыпсыз бір мезетте іске қосылған екі монитор қайта келіссөз жүріп жатқанда сол серіктесті тазалайды, әрқайсысы екіншісі сәтсіз болды деп қорытындылайды.

Табыс ассоциацияның қайта оралғанын және рұқсат етілген жүктеменің өткенін білдіреді, команданың қатесіз оралғанын емес. Ақауды тапқан тексерумен тексеріңіз, содан кейін еншілес SA санауыштарының екі бағытта да қозғалатынын растаңыз. Туннель төменде қалғанда нөлмен шығатын команда — қалпына келтіру киімін киген мониторинг ақауы.

Белгісізді сәтсізден бөлек ұстаңыз. Егер телеметрия ескірген болса немесе басқару жолы қолжетімсіз болса, адал күй белгісіз, және қайталау бюджеті мұны қайта атуға рұқсат деп оқымауы керек.

Бірінші мақұлданған қалпына келтіру қызметті қайтармаса, циклге түсудің орнына суретпен эскалация жасаңыз. Жоспарлы қайта іске қосулар үлгінің ең нашар нұсқасы, өйткені олар кілтті қайта жасау, маршрут немесе саясат ақауын жасырып, сау сессияларды таймермен кеседі.

Меншік, өшіру қосқышы және бір жаттығу

Иесін тағайындаңыз, апплетті немесе кестені бір қадаммен қалай өшіруге болатынын құжаттаңыз және қарау күнін белгілеңіз. Өшіру жолы жоқ автоматтандыру авторы командасын ауыстырған күні тұрақты инфрақұрылымға айналады.

Оны зертханада немесе техникалық қызмет көрсету терезесінде серіктес таңдауын әдейі бұзып жаттықтырыңыз, сонда жұмыстың жабық түрде сәтсіз болатынын білесіз. Содан кейін табыс жолын жаттықтырыңыз, өйткені тек бірдеңе дұрыс болмағанда ғана жұмыс істейтін жұмыс өзінің қалыпты мінез-құлқы туралы ештеңе үйретпейді.