ASA tuneļu atiestatīšanas automatizācija: trīs vārti pirms atļaušanas

Uzlūkojiet automātisku tuneļa atiestatīšanu kā atjaunošanas darbību ar ietekmes rādiusu, nevis kā ieplānotu garastāvokļa maiņu. Lēmums jūsu priekšā ir šaurāks, nekā liecina rīki: kura kļūme to attaisno, kuru partneri tas drīkst skart un kas to aptur. Kļūdieties šajos trijos un esat uzbūvējuši mašīnu pierādījumu dzēšanai. Esmu redzējis vienu šādu šaujam ik pēc piecpadsmit minūtēm pret veselu partneri lielāko nedēļas daļu, un neviens to nepamanīja, jo tunelis katru reizi atgriezās.

Pirmie vārti: pierādiet, ka kļūme ir tuneļa iekšpusē

Sasaistiet svaigu stāvokli, pirms kaut ko atļaujat. show crypto ikev2 sa detailed pasaka, vai IKEv2 asociācija pastāv un cik tālu tikusi saruna, un show vpn-sessiondb detail l2l dod sesijas skatu, kas atbilst tam pašam partnerim. Pēc tam show crypto ipsec sa peer 203.0.113.10 parāda pakārtotās SA, encaps un decaps skaitītājus un izmantotos selektorus. Augošs encaps skaitītājs ar plakanu decaps skaitītāju ir pavisam cita problēma nekā pilnīgs asociācijas trūkums.

Tālāk pārbaudiet, ko pārbūve nevar salabot: trūkstošu atgriešanās maršrutu, MTU, kas rij lielus paketes, politiku, kas pēc atšifrēšanas atsaka portu, vai asimetrisku maršrutēšanu, kas atbildes sūta ap ierīci. SA dzēšana pret jebkuru no tiem dod īsu zaļu mirgoni un rīt to pašu biļeti. Katrs no tiem no lietojumprogrammas puses izskatās kā miris tunelis, tāpēc skaitītāji ir svarīgāki par trauksmi.

Pirms darbības uzņemiet momentuzņēmumu. Pierakstiet partneri, asociācijas identifikatorus, skaitītājus ierosināšanas brīdī un pierādījumus, kas to ierosināja. Atiestatīšana, kas apsteidz momentuzņēmumu, iznīcina visnoderīgākos incidenta datus.

Otrie vārti: tvērumu ierobežojiet ar partneri, nekad ar pasauli

ASA CLI clear crypto ikev2 sa peer 203.0.113.10 un clear crypto ipsec sa peer 203.0.113.10 ir mērķētas operācijas. Tie paši komandas bez partnera argumenta dzēš visas konteksta asociācijas, kas tās padara par rakstības variantu un efektā par pārtraukumu. Cisco dzēšanas komandu uzziņa atdala šīs formas no tikai statistikas varianta, kas atiestata skaitītājus un neko nelabo. Vairāku kontekstu režīmā komanda darbojas tikai uz pašreizējo kontekstu, tāpēc automatizācijai jābūt pārliecinātai arī par to, kurā kontekstā tā atrodas.

Validējiet partneri, pirms komanda tiek veidota. Tukšam vai neatrisinātam mainīgajam jāliek darbam skaļi izgāzties, nevis sabrukt visu dzēšanā, un šī pārbaude pieder kodam, ko recenzents var izlasīt.

Uzzīmējiet ietekmes rādiusu godīgi. Viens partneris var nest vairākus aizsargātus tīklus, tūkstošiem sesiju un otru tuneli pārvaldībai, tāpēc ar partneri ierobežota dzēšana koncentratorā joprojām ir notikums vairākiem klientiem. Veiciet darbību no pārvaldības ceļa, kas nav atkarīgs no atiestatāmā tuneļa. Citādi automatizācija nevar pārbaudīt savu rezultātu, un nākamais solis ir cilvēks, kas brauc uz vietu.

Trešie vārti: atkārtojumi, atdzesēšana, definēta veiksme

Dodiet darbam slēdzeni uz partneri, atdzesēšanas periodu un stingru mēģinājumu limitu, kas skaitīts no svaigiem novērojumiem. Bez slēdzenes divi monitori, kas iedarbojas vienā mirklī, dzēš to pašu partneri, kamēr notiek atkārtota saruna, un katrs secina, ka otrs cieta neveiksmi.

Veiksme nozīmē, ka asociācija ir atgriezusies un atļautā slodze iziet, nevis to, ka komanda atgriezās bez kļūdas. Pārbaudiet ar to pašu pārbaudi, kas atklāja kļūmi, pēc tam apstipriniet, ka pakārtoto SA skaitītāji kustas abos virzienos. Komanda, kas iziet ar nulli, kamēr tunelis paliek lejā, ir uzraudzības kļūme atjaunošanas ietērpā.

Turiet nezināmo atsevišķi no neveiksmes. Ja telemetrija ir novecojusi vai pārvaldības ceļš nav sasniedzams, godīgais stāvoklis ir nezināms, un atkārtojumu budžets to nedrīkst lasīt kā atļauju šaut vēlreiz.

Kad pirmā apstiprinātā atjaunošana neatjauno pakalpojumu, eskalējiet ar momentuzņēmumu, nevis cilpojiet. Ieplānotas atiestatīšanas ir sliktākā modeļa versija, jo tās slēpj atslēgu atjaunošanas, maršruta vai politikas defektu un vienlaikus ar taimeri nogriež veselas sesijas.

Īpašumtiesības, izslēgšanas slēdzis un viena mēģinājuma reize

Nozīmējiet īpašnieku, dokumentējiet, kā vienā solī atspējot apletu vai grafiku, un nosakiet pārskatīšanas datumu. Automatizācija bez atspējošanas ceļa kļūst par pastāvīgu infrastruktūru tajā dienā, kad tās autors maina komandu.

Izmēģiniet to laboratorijā vai apkopes logā ar apzināti salauztu partnera atlasi, lai noskaidrotu, vai darbs neizdodas droši. Pēc tam izmēģiniet veiksmes ceļu, jo darbs, kas darbojas tikai tad, kad kaut kas ir nepareizi, neko neiemāca par tā parasto uzvedību.