ASA туннелдерин кайра баштоону автоматташтыруу: уруксат берүүдөн мурун үч дарбаза

Автоматтык туннелди кайра баштоону таасир радиусу бар калыбына келтирүү аракети деп эсептеңиз, пландалган маанай өзгөрүүсү деп эмес. Алдыңыздагы чечим куралдар сунуштагандан тар: кайсы мүчүлүштүк аны актайт, кайсы сертешке тийүүгө болот жана аны эмне токтотот. Ушул үчөөндө жаңылсаңыз, далилдерди жок кылуучу машина курупсуз. Мен мындайдын бири аптанын көп бөлүгүндө ар он беш мүнөт сайын ден соолугу жакшы сертешке каршы аткылап турганын көрдүм, бирок туннель ар жолу кайтып келгендиктен эч ким байкаган жок.

Биринчи дарбаза: мүчүлүштүк туннелдин ичинде экенин далилдеңиз

Бир нерсеге уруксат берүүдөн мурун жаңы абалды салыштырыңыз. show crypto ikev2 sa detailed IKEv2 ассоциациясынын бар-жогун жана сүйлөшүү кайда жеткенин айтат, ал эми show vpn-sessiondb detail l2l ошол эле сертешке туура келген сессия көрүнүшүн берет. Андан кийин show crypto ipsec sa peer 203.0.113.10 бала SAларды, encaps жана decaps эсептегичтерин жана колдонулган селекторлорду көрсөтөт. Өсүп жаткан encaps эсептегичи жана тегиз decaps эсептегичи ассоциациянын такыр жоктугунан таптакыр башка маселе.

Андан ары кайра куруу оңдой албаган нерселерди текшериңиз: жоголгон кайтаруу маршруту, чоң пакеттерди жутуучу MTU, шифрден чыгаргандан кийин портту четке каккан саясат, же жоопторду түзмөктүн айланасынан жиберген асимметриялык маршруттоо. Ушулардын кайсынысына болбосун каршы SAларды тазалоо кыска жашыл жаркылдоо жана эртең ошол эле билетти берет. Ар бири тиркеменин жагынан өлүк туннелге окшошот, ошондуктан эсептегичтер дабылдан маанилүү.

Аракеттен мурун абалдын сүрөтүн тартыңыз. Сертешти, ассоциация идентификаторлорун, иштетилген учурдагы эсептегичтерди жана аны иштеткен далилдерди жазыңыз. Сүрөттөн мурун чуркаган кайра баштоо окуянын эң пайдалуу маалыматтарын жок кылат.

Экинчи дарбаза: камроону сертеш менен чектеңиз, эч качан дүйнө менен эмес

ASA CLIде clear crypto ikev2 sa peer 203.0.113.10 жана clear crypto ipsec sa peer 203.0.113.10 максаттуу операциялар. Сертеш аргументи жок ошол эле буйруктар контексттеги бардык ассоциацияларды тазалайт, бул аларды жазылыш варианты жана таасири боюнча үзгүлтүк кылат. Ciscoнун тазалоо буйруктарынын маалымдамасы ошол формаларды статистикалык гана варианттан ажыратат, ал эсептегичтерди кайра коюп, эч нерсени оңдобойт. Көп контексттүү режимде буйрук учурдагы контекстке гана таасир этет, ошондуктан автоматташтыруу кайсы контекстте экенин да билиши керек.

Буйрук түзүлө электе сертешти текшериңиз. Бош же чечилбеген өзгөрмө баарын тазалоого кулап кетүүнүн ордуна жумушту катуу ийгиликсиз кылышы керек, жана бул текшерүү рецензент окуй ала турган кодго тиешелүү.

Таасир радиусун чынчыл тартыңыз. Бир сертеш бир нече корголгон тармакты, миңдеген сессияны жана башкаруу үчүн экинчи туннелди көтөрө алат, ошондуктан сертеш менен чектелген тазалоо хабда дагы эле көп кардарлуу окуя. Аракетти кайра башталып жаткан туннелге көз каранды эмес башкаруу жолунан аткарыңыз. Болбосо автоматташтыруу өз жыйынтыгын текшере албайт, ал эми кийинки кадам — участкага бараткан адам.

Үчүнчү дарбаза: кайталоолор, муздатуу, аныкталган ийгилик

Жумушка сертеш боюнча кулпу, муздатуу мезгили жана жаңы байкоолордон эсептелген катуу аракет чегин бериңиз. Кулпу жок болсо, бир эле учурда иштетилген эки монитор кайра сүйлөшүү жүрүп жатканда ошол эле сертешти тазалайт, жана ар бири экинчиси ийгиликсиз болду деп жыйынтыктайт.

Ийгилик ассоциация кайтып келгенин жана уруксат берилген жүктөм өткөнүн билдирет, буйрук катасыз кайтканды эмес. Мүчүлүштү тапкан ошол эле текшерүү менен текшериңиз, андан кийин бала SA эсептегичтери эки багытта тең кыймылдаарын ырастаңыз. Туннель ылдый жатканда нөл менен чыккан буйрук — калыбына келтирүү кийимин кийген мониторинг ийгиликсиздиги.

Белгисизди ийгиликсизден өзүнчө кармаңыз. Эгер телеметрия эскирген болсо же башкаруу жолу жеткиликсиз болсо, чынчыл абал белгисиз, жана кайталоо бюджети муну кайра аткылоого уруксат деп окубашы керек.

Биринчи уруксат берилген калыбына келтирүү кызматты кайтарбаса, циклге кирүүнүн ордуна сүрөт менен эскалация жасаңыз. Пландалган кайра баштоолор бул үлгүнүн эң жаман версиясы, анткени алар ачкычты кайра жаратуу, маршрут же саясат кемчилигин жашырып, ден соолугу жакшы сессияларды таймер менен кесишет.

Менчик, өчүрүү которгучу жана бир машыгуу

Ээсин дайындаңыз, апплетти же графикти бир кадамда кантип өчүрүүнү документтештириңиз жана кароо күнүн белгилеңиз. Өчүрүү жолу жок автоматташтыруу автору командасын алмаштырган күнү туруктуу инфраструктурага айланат.

Аны лабораторияда же техникалык тейлөө терезесинде сертеш тандоону атайын бузуп машыктырыңыз, ошондо жумуш жабык түрдө ийгиликсиз болорун билесиз. Андан кийин ийгилик жолун машыктырыңыз, анткени бир нерсе туура эмес болгондо гана иштеген жумуш өзүнүн кадимки жүрүм-туруму тууралуу сизге эч нерсе үйрөтпөйт.