ASA туннелийн дахин тохируулгыг автоматжуулах: зөвшөөрөхөөс өмнө гурван хаалга

Автомат туннелийн дахин тохируулгыг нөлөөний радиустай сэргээх үйлдэл гэж бод, төлөвлөсөн сэтгэл санааны өөрчлөлт гэж биш. Чиний өмнөх шийдвэр багаж хэрэгслээс илүү нарийн: ямар алдаа үүнийг зөвтгөх, аль хамтрагчид хүрч болох, юу түүнийг зогсоох. Эдгээр гурвыг буруу хийвэл нотолгоо устгах машин бүтээсэн хэрэг. Би нэг ийм зүйлийг долоо хоногийн ихэнх хугацаанд арван таван минут тутамд эрүүл хамтрагч руу буудаж байхыг харсан бөгөөд туннель бүр удаа буцаж ирсэн тул хэн ч анзаарсангүй.

Нэгдүгээр хаалга: алдаа туннелийн дотор байгааг нотол

Юу хийхээс өмнө шинэ төлөвийг уялдуул. show crypto ikev2 sa detailed IKEv2 холбоос байгаа эсэх, хэлэлцээр хаа хүрснийг хэлнэ, show vpn-sessiondb detail l2l мөн тэр хамтрагчид тохирох сессийн харагдацыг өгнө. Дараа нь show crypto ipsec sa peer 203.0.113.10 хүүхэд SA, encaps ба decaps тоолуур, ашиглаж буй сонгогчийг харуулна. Өсөж буй encaps тоолуур ба тэгш decaps тоолуур нь холбоос огт байхгүйгээс тэс өөр асуудал.

Дараа нь дахин бүтээх засаж чадахгүй зүйлийг шалга: алга болсон буцах зам, том пакетыг залгидаг MTU, тайлсны дараа портыг үгүйсгэдэг бодлого, эсвэл хариуг төхөөрөмжийн эргэн тойрноор илгээдэг тэгш бус чиглүүлэлт. Эдгээрийн аль нэгний эсрэг SA устгах нь богино ногоон гялбаа ба маргааш мөн тэр тасалбарыг өгнө. Нэг бүр нь програмын талаас үхсэн туннель мэт харагддаг, тиймээс тоолуурууд сэрэмжлүүлгээс илүү чухал.

Үйлдлийн өмнө төлөвийн зураг ав. Хамтрагч, холбоосын таних тэмдэг, өдөөгдсөн мөчийн тоолуур, түүнийг өдөөсөн нотолгоог бич. Зургаас түрүүлж гүйх дахин тохируулга нь ослын хамгийн хэрэгтэй өгөгдлийг устгана.

Хоёрдугаар хаалга: хамрах хүрээг хамтрагчаар хязгаарла, хэзээ ч дэлхийгээр биш

ASA CLI-д clear crypto ikev2 sa peer 203.0.113.10 ба clear crypto ipsec sa peer 203.0.113.10 нь зорилтот үйлдэл. Хамтрагчийн аргументгүй ижил командууд контекст дахь бүх холбоосыг устгадаг нь тэдгээрийг бичгийн ялгавар, үр дүнд нь тасалдал болгодог. Cisco-гийн устгах командын лавлагаа эдгээр хэлбэрийг зөвхөн статистикийн хувилбараас ялгадаг бөгөөд тэр нь тоолуурыг дахин тохируулж, юу ч засдаггүй. Олон контекстийн горимд команд зөвхөн одоогийн контекст дээр үйлчилдэг тул автоматжуулалт аль контекстэд байгаагаа ч бас мэдэх ёстой.

Команд бүрэгдэхээс өмнө хамтрагчийг баталгаажуул. Хоосон эсвэл шийдэгдээгүй хувьсагч бүгдийг устгах руу нуран унахын оронд ажлыг чангаар унагах ёстой бөгөөд энэ шалгалт шүүмжлэгчийн уншиж болох кодонд байх ёстой.

Нөлөөний радиусыг шударгаар зур. Нэг хамтрагч хэд хэдэн хамгаалагдсан сүлжээ, мянга мянган сесс, удирдлагын хоёр дахь туннелийг үүрч болох тул хамтрагчаар хязгаарласан устгал нь зангилаа дээр олон харилцагчийн үйл явдал хэвээр. Үйлдлийг дахин тохируулагдаж буй туннелээс хамааралгүй удирдлагын замаас гүйцэтгэ. Эс бөгөөс автоматжуулалт өөрийн үр дүнг шалгаж чадахгүй бөгөөд дараагийн алхам нь газар руу машин бариад явах хүн юм.

Гуравдугаар хаалга: дахин оролдлого, хөргөлт, тодорхойлсон амжилт

Ажилд хамтрагч тус бүрийн түгжээ, хөргөх хугацаа, шинэ ажиглалтаас тооцсон хатуу оролдлогын хязгаар өг. Түгжээгүй бол нэг мөчид ажилласан хоёр хяналт дахин хэлэлцээр явагдаж байхад ижил хамтрагчийг устгаж, тус бүр нөгөө нь бүтэлгүйтсэн гэж дүгнэнэ.

Амжилт гэдэг нь холбоос буцаж ирж, зөвшөөрөгдсөн ачаалал дамжсаныг хэлнэ, команд алдаагүй буцаж ирснийг биш. Алдааг илрүүлсэн тэр шалгалтаар шалга, дараа нь хүүхэд SA-ийн тоолуур хоёр чиглэлд хөдөлж байгааг батал. Туннель доор байхад тэгтэй гарч буй команд бол сэргээлтийн дүрд хувирсан хяналтын алдаа.

Үл мэдэгдэхийг бүтэлгүйгээс тусгаарла. Хэрэв телеметр хуучирсан эсвэл удирдлагын зам хүрэхгүй бол шударга төлөв нь тодорхойгүй бөгөөд дахин оролдлогын төсөв үүнийг дахин буудах зөвшөөрөл гэж уншиж болохгүй.

Эхний зөвшөөрөгдсөн сэргээлт үйлчилгээг буцааж өгөхгүй бол давталтад орохын оронд төлөвийн зургийн хамт эскалац хий. Төлөвлөсөн дахин тохируулга нь энэ хэв маягийн хамгийн муу хувилбар, учир нь тэд түлхүүр сэргээх, зам эсвэл бодлогын гэмтлийг нууж, эрүүл сессийг таймераар тасладаг.

Эзэмшил, унтраалга, нэг сургуулилт

Эзнийг нэрлэ, апплет эсвэл хуваарийг нэг алхамаар хэрхэн идэвхгүй болгохыг баримтжуул, хяналтын огноо тогтоо. Унтраах замгүй автоматжуулалт нь зохиогч нь баг солих өдөр байнгын дэд бүтэц болдог.

Хамтрагчийн сонголтыг санаатай эвдэж лаборатори эсвэл засвар үйлчилгээний цонхонд сургуулилт хий, ингэснээр ажил аюулгүйгээр унах эсэхийг мэднэ. Дараа нь амжилтын замыг сургуулил, учир нь зөвхөн ямар нэгэн зүйл буруу үед ажилладаг ажил өөрийн хэвийн зан төлөвийн тухай юу ч заадаггүй.