Автоматизирање на ресетирањата на ASA тунели: три порти пред да го дозволите

Гледајте на автоматското ресетирање на тунел како на акција за опоравување со радиус на удар, а не како на закажано менување на расположението. Одлуката пред вас е потесна отколку што сугерираат алатките: кој дефект го оправдува, кој партнер смее да го допре и што го запира. Згрешете ли во тие три, сте изградиле машина за бришење докази. Видов едно такво да пука на секои петнаесет минути против здрав партнер поголем дел од една недела, и никој не забележа затоа што тунелот се враќаше секој пат.

Прва порта: докажете дека дефектот е внатре во тунелот

Поврзете свежа состојба пред да одобрите нешто. show crypto ikev2 sa detailed ви кажува дали постои IKEv2 асоцијацијата и колку далеку стигна преговорот, а show vpn-sessiondb detail l2l ви го дава приказот на сесијата што одговара на истиот партнер. Потоа show crypto ipsec sa peer 203.0.113.10 ги покажува подредените SA, бројачите на encaps и decaps и селекторите во употреба. Растечки encaps бројач со рамен decaps бројач е сосема друг проблем од целосно отсуство на асоцијација.

Следно, проверете што не може да поправи повторното градење: маршрута за враќање што недостига, MTU што голта големи пакети, политика што го одбива портот по дешифрирањето, или асиметрично рутирање што ги праќа одговорите околу уредот. Бришење SA против било кое од овие дава краток зелен трепет и истиот тикет утре. Секое од нив изгледа како мртов тунел од страната на апликацијата, затоа бројачите се поважни од алармот.

Направете снимка пред акцијата. Запишете го партнерот, идентификаторите на асоцијацијата, бројачите во моментот на активирањето и доказите што го предизвикаа. Ресетирање што претекнува снимката ги уништува најкорисните податоци што ги имал инцидентот.

Втора порта: ограничете го опфатот на партнерот, никогаш на светот

Во CLI на ASA, clear crypto ikev2 sa peer 203.0.113.10 и clear crypto ipsec sa peer 203.0.113.10 се насочени операции. Истите команди без аргумент за партнер ги бришат сите асоцијации во контекстот, што ги прави разлика во пишувањето и прекин во ефектот. референца на командите за бришење на Cisco ги одделува тие форми од варијантата само со статистика, која ги ресетира бројачите и не поправа ништо. Во режим со повеќе контексти командата делува само на тековниот контекст, па автоматизацијата мора да биде сигурна и во кој контекст е.

Валидирајте го партнерот пред командата да се состави. Празна или нерешена променлива мора гласно да го собори работниот процес, наместо да се урне во бришење на сè, и таа проверка припаѓа во код што рецензентот може да го прочита.

Нацртајте го радиусот на ударот чесно. Еден партнер може да носи неколку заштитени мрежи, илјадници сесии и втор тунел за управување, па бришење ограничено на партнер е сè уште настан за повеќе клиенти на концентратор. Извршете ја акцијата од управувачка патека што не зависи од тунелот што се ресетира. Инаку автоматизацијата не може да го провери сопствениот резултат, а следниот чекор е човек што вози до локацијата.

Трета порта: повторувања, ладење, дефиниран успех

Дајте му на работниот процес заклучување по партнер, период на ладење и цврст лимит на обиди што се брои од свежи набљудувања. Без заклучувањето, два монитори што ќе се активираат во ист момент го бришат истиот партнер додека преговорот е во тек, и секој заклучува дека другиот потфрлил.

Успехот значи дека асоцијацијата е вратена и дозволениот товар поминува, а не дека командата се вратила без грешка. Проверете со истиот тест што го откри дефектот, потоа потврдете дека бројачите на подредените SA се движат во двете насоки. Команда што излегува со нула додека тунелот останува долу е дефект во мониторингот облечен како опоравување.

Држете го непознатото одвоено од неуспехот. Ако телеметријата е застарена или управувачката патека е недостапна, чесната состојба е непозната, и буџетот за повторувања не смее тоа да го чита како дозвола да пука повторно.

Кога првото одобрено опоравување не ја враќа услугата, ескалирајте со снимката наместо да вртите во круг. Закажаните ресетирања се најлошата верзија на образецот, затоа што кријат дефект во обновувањето клучеви, маршрутата или политиката додека ги сечат здравите сесии на тајмер.

Сопственост, прекинувач и една проба

Именувајте сопственик, документирајте како аплетот или распоредот се оневозможува во еден чекор и поставете датум за преглед. Автоматизација без патека за исклучување станува трајна инфраструктура во денот кога нејзиниот автор ќе го смени тимот.

Вежбајте ја во лабораторија или во прозорец за одржување со намерно расипан избор на партнер, за да дознаете дали работата паѓа затворено. Потоа вежбајте ја патеката на успех, затоа што работа што работи само кога нешто е погрешно не ве учи на ништо за нејзиното нормално однесување.