ASA 터널 재설정 자동화: 허용하기 전의 세 가지 관문

자동 터널 재설정을 예정된 기분 변화가 아니라 영향 반경을 지닌 복구 작업으로 생각하세요. 눈앞의 결정은 도구가 암시하는 것보다 좁습니다. 어떤 장애가 그것을 정당화하는지, 어떤 피어를 건드려도 되는지, 무엇이 그것을 멈추는지입니다. 이 셋을 틀리면 증거를 지우는 기계를 만든 셈입니다. 저는 이런 것이 일주일의 대부분 동안 십오 분마다 건강한 피어를 향해 발사되는 것을 보았지만, 터널이 매번 돌아왔기 때문에 아무도 알아차리지 못했습니다.

첫째 관문: 장애가 터널 안에 있음을 증명하라

무엇이든 승인하기 전에 신선한 상태를 상호 연관시키세요. show crypto ikev2 sa detailed는 IKEv2 연결이 존재하는지, 협상이 어디까지 갔는지 알려 주고, show vpn-sessiondb detail l2l은 같은 피어에 맞는 세션 보기를 제공합니다. 다음으로 show crypto ipsec sa peer 203.0.113.10는 자식 SA, encaps와 decaps 카운터, 사용 중인 선택자를 보여 줍니다. encaps 카운터가 오르는데 decaps 카운터가 평평한 것은 연결이 전혀 없는 것과는 아주 다른 문제입니다.

다음으로 재구성이 고칠 수 없는 것을 확인하세요. 돌아오는 경로의 부재, 큰 패킷을 삼키는 MTU, 복호화 후 포트를 거부하는 정책, 또는 응답을 장비 주변으로 보내는 비대칭 라우팅입니다. 이 중 어느 것에 대고 SA를 지워도 짧은 초록 점멸과 내일 같은 티켓이 남습니다. 모두 애플리케이션 쪽에서는 죽은 터널처럼 보입니다. 그래서 경보보다 카운터가 더 중요합니다.

조치 전에 스냅숏을 찍으세요. 피어, 연결 식별자, 트리거 순간의 카운터, 그리고 그것을 발동시킨 증거를 기록하십시오. 스냅숏보다 앞서 달리는 재설정은 사건이 가진 가장 유용한 데이터를 파괴합니다.

둘째 관문: 범위를 피어로 한정하고, 절대 세상으로 넓히지 말라

ASA CLI에서 clear crypto ikev2 sa peer 203.0.113.10와 clear crypto ipsec sa peer 203.0.113.10는 표적화된 작업입니다. 피어 인수가 없는 같은 명령은 컨텍스트의 모든 연결을 지우므로, 철자만 다른 변형이자 효과는 전면 중단입니다. Cisco의 지우기 명령 참조는 그러한 형태와, 카운터만 재설정하고 아무것도 고치지 않는 통계 전용 변형을 구분합니다. 다중 컨텍스트 모드에서 명령은 현재 컨텍스트에만 작용하므로 자동화는 자기가 어느 컨텍스트에 있는지도 확신해야 합니다.

명령이 만들어지기 전에 피어를 검증하세요. 비어 있거나 해석되지 않은 변수는 전면 삭제로 무너지는 대신 작업을 크게 실패시켜야 하며, 그 검사는 검토자가 읽을 수 있는 코드에 속합니다.

영향 반경을 정직하게 그리세요. 피어 하나가 여러 보호 네트워크, 수천 개의 세션, 관리를 위한 두 번째 터널을 실을 수 있으므로 피어 한정 삭제도 허브에서는 다중 고객 사건입니다. 재설정되는 터널에 의존하지 않는 관리 경로에서 조치를 실행하세요. 그렇지 않으면 자동화가 자기 결과를 검증할 수 없고, 다음 단계는 현장으로 차를 몰고 가는 사람입니다.

셋째 관문: 재시도, 쿨다운, 정의된 성공

작업에 피어별 잠금, 쿨다운 기간, 신선한 관측에서 세는 엄격한 시도 한도를 주세요. 잠금이 없으면 같은 순간에 걸린 두 모니터가 재협상이 진행 중인 같은 피어를 지우고, 각자는 상대가 실패했다고 결론 내립니다.

성공은 연결이 돌아오고 허용된 작업이 통과한다는 뜻이며, 명령이 오류 없이 돌아왔다는 뜻이 아닙니다. 장애를 감지한 것과 같은 검사로 확인한 다음, 자식 SA 카운터가 양방향으로 움직이는지 확증하세요. 터널이 내려간 채로 영으로 끝나는 명령은 복구 옷을 입은 모니터링 실패입니다.

알 수 없음을 실패와 분리해 두라. 텔레메트리가 낡았거나 관리 경로에 닿을 수 없다면 정직한 상태는 알 수 없음이며, 재시도 예산은 그것을 다시 발사할 허가로 읽어서는 안 됩니다.

처음 승인된 복구가 서비스를 되살리지 못하면 반복하는 대신 스냅숏과 함께 에스컬레이션하세요. 정기 재설정은 이 패턴의 최악 형태입니다. 키 재생성, 경로, 정책의 결함을 숨기면서 건강한 세션을 타이머로 잘라 내기 때문입니다.

소유권, 정지 스위치, 그리고 한 번의 리허설

소유자를 지정하고, 애플릿이나 일정을 한 단계로 비활성화하는 방법을 문서화하고, 검토 날짜를 정하세요. 비활성화 경로가 없는 자동화는 작성자가 팀을 옮기는 날 영구 인프라가 됩니다.

실험실이나 유지보수 창에서 피어 선택을 일부러 깨뜨린 채 리허설하여 작업이 안전하게 실패하는지 알아보세요. 그다음 성공 경로를 리허설하십시오. 무언가 잘못될 때만 도는 작업은 정상 동작에 대해 아무것도 가르쳐 주지 않습니다.