ASA tunelių atstatymo automatizavimas: trys vartai prieš leidžiant
Prieš ASA pačiam ištrinant partnerio saugos asociacijas, išspręskite tris vartus: gedimas yra tunelio viduje, apimtis – vienas partneris, pakartojimai sustoja.
Automatizuotą tunelio atstatymą laikykite atkūrimo veiksmu su poveikio spinduliu, o ne suplanuotu nuotaikos pokyčiu. Sprendimas prieš jus siauresnis, nei siūlo įrankiai: kuri klaida jį pateisina, kurį partnerį jis gali paliesti ir kas jį sustabdo. Suklyskite šiuose trijuose ir pastatėte mašiną įrodymams trinti. Mačiau vieną tokį šaudant kas penkiolika minučių į sveiką partnerį didžiąją savaitės dalį, ir niekas nepastebėjo, nes tunelis kiekvieną kartą grįždavo.
Pirmieji vartai: įrodykite, kad gedimas yra tunelio viduje
Susiekite šviežią būseną prieš ką nors leisdami. show crypto ikev2 sa detailed pasako, ar yra IKEv2 asociacija ir kiek toli nuėjo derybos, o show vpn-sessiondb detail l2l pateikia sesijos vaizdą, atitinkantį tą patį partnerį. Tada show crypto ipsec sa peer 203.0.113.10 parodo antrines SA, encaps ir decaps skaitiklius bei naudojamus selektorius. Augantis encaps skaitiklis su plokščiu decaps skaitikliu yra visiškai kita problema nei visiškas asociacijos nebuvimas.
Toliau patikrinkite, ko atstatymas negali pataisyti: trūkstamas grįžimo maršrutas, MTU, praryjantis didelius paketus, politika, atmetanti prievadą po iššifravimo, arba asimetrinis maršrutizavimas, siunčiantis atsakymus aplink įrenginį. Ištrynus SA prieš bet kurią iš jų gaunamas trumpas žalias blyksnis ir rytoj tas pats bilietas. Kiekviena jų iš programos pusės atrodo kaip negyvas tunelis, todėl skaitikliai svarbesni už aliarmą.
Prieš veiksmą padarykite būsenos kopiją. Užrašykite partnerį, asociacijos identifikatorius, skaitiklius suveikimo momentu ir įrodymus, kurie jį suaktyvino. Atstatymas, aplenkiantis kopiją, sunaikina naudingiausius incidento duomenis.
Antrieji vartai: apimtį apribokite partneriu, niekada pasauliu
ASA CLI clear crypto ikev2 sa peer 203.0.113.10 ir clear crypto ipsec sa peer 203.0.113.10 yra tikslinės operacijos. Tos pačios komandos be partnerio argumento ištrina visas konteksto asociacijas, todėl jos tampa rašybos variantu ir efekto prasme pertraukimu. Cisco šalinimo komandų nuoroda atskiria tas formas nuo tik statistikos varianto, kuris atstato skaitiklius ir nieko netaiso. Daugiakontekstiniu režimu komanda veikia tik dabartinį kontekstą, todėl automatizavimas turi žinoti ir kuriame kontekste yra.
Patikrinkite partnerį, kol komanda dar nesudaryta. Tuščias ar neišspręstas kintamasis turi garsiai sužlugdyti užduotį, o ne sugriūti į visko ištrynimą, ir ši patikra priklauso kodui, kurį recenzentas gali perskaityti.
Nubrėžkite poveikio spindulį sąžiningai. Vienas partneris gali nešti kelis apsaugotus tinklus, tūkstančius sesijų ir antrą tunelį valdymui, todėl partneriu apribotas ištrynimas koncentratoriuje vis tiek yra kelių klientų įvykis. Vykdykite veiksmą valdymo keliu, kuris nepriklauso nuo atstatomo tunelio. Priešingu atveju automatizavimas negali patikrinti savo rezultato, o kitas žingsnis yra žmogus, važiuojantis į vietą.
Tretieji vartai: pakartojimai, atvėsimas, apibrėžta sėkmė
Duokite užduočiai užraktą vienam partneriui, atvėsimo laikotarpį ir griežtą bandymų limitą, skaičiuojamą iš šviežių stebėjimų. Be užrakto du monitoriai, suveikę tuo pačiu metu, ištrina tą patį partnerį, kol vyksta pakartotinės derybos, ir kiekvienas daro išvadą, kad kitas nepavyko.
Sėkmė reiškia, kad asociacija grąžinta ir leistina apkrova praeina, o ne kad komanda grįžo be klaidos. Patikrinkite tuo pačiu testu, kuris aptiko gedimą, tada patvirtinkite, kad antrinių SA skaitikliai juda abiem kryptimis. Komanda, kuri baigiasi nuliu, kai tunelis lieka žemai, yra stebėjimo gedimas, apsivilkęs atkūrimu.
Laikykite nežinomą atskirai nuo nepavykusio. Jei telemetrija pasenusi arba valdymo kelias nepasiekiamas, sąžininga būsena nežinoma, ir pakartojimų biudžetas neturi to skaityti kaip leidimo šaudyti dar kartą.
Kai pirmasis patvirtintas atkūrimas negrąžina paslaugos, eskaluokite su būsenos kopija, o ne cikliškai kartokite. Suplanuoti atstatymai yra blogiausia modelio versija, nes jie slepia raktų atnaujinimo, maršruto ar politikos defektą ir tuo pačiu laiku pjauna sveikas sesijas.
Nuosavybė, išjungiklis ir viena repeticija
Paskirkite savininką, dokumentuokite, kaip vienu žingsniu išjungti appletą ar grafiką, ir nustatykite peržiūros datą. Automatizavimas be išjungimo kelio tampa nuolatine infrastruktūra tą dieną, kai jo autorius pakeičia komandą.
Repetuokite laboratorijoje arba techninės priežiūros lange tyčia sulaužę partnerio pasirinkimą, kad sužinotumėte, ar užduotis nepavyksta saugiai. Tada repetuokite sėkmės kelią, nes užduotis, kuri veikia tik tada, kai kažkas negerai, nieko neišmoko apie įprastą elgesį.