Mengautomasikan set semula terowong ASA: tiga pintu sebelum membenarkannya

Anggap set semula terowong automatik sebagai tindakan pemulihan dengan jejari kesan, bukan perubahan mood berjadual. Keputusan di hadapan anda lebih sempit daripada yang disyorkan alat: kegagalan mana yang mewajarkannya, rakan mana yang boleh disentuh, dan apa yang menghentikannya. Tersilap pada ketiga-tiganya dan anda telah membina mesin untuk memadam bukti. Saya pernah melihat satu daripadanya melepaskan tembakan setiap lima belas minit terhadap rakan yang sihat hampir sepanjang minggu, dan tiada siapa menyedarinya kerana terowong itu kembali setiap kali.

Pintu satu: buktikan kegagalan itu di dalam terowong

Kaitkan keadaan segar sebelum anda meluluskan apa-apa. show crypto ikev2 sa detailed memberitahu sama ada persatuan IKEv2 wujud dan sejauh mana rundingan berjalan, dan show vpn-sessiondb detail l2l memberikan paparan sesi yang sepadan dengan rakan yang sama. Kemudian show crypto ipsec sa peer 203.0.113.10 menunjukkan SA anak, pembilang encaps dan decaps serta pemilih yang digunakan. Pembilang encaps yang menaik dengan pembilang decaps yang rata ialah masalah yang sangat berbeza daripada tiada persatuan langsung.

Seterusnya, periksa apa yang tidak dapat dibaiki oleh pembinaan semula: laluan pulang yang hilang, MTU yang menelan paket besar, dasar yang menolak port selepas penyahsulitan, atau penghalaan tidak simetri yang menghantar balasan mengelilingi perkakas. Memadam SA terhadap mana-mana daripadanya menghasilkan kilauan hijau singkat dan tiket yang sama esok. Setiap satu kelihatan seperti terowong mati dari sisi aplikasi, sebab itu pembilang lebih penting daripada penggera.

Ambil syot kilat sebelum tindakan. Catat rakan, pengecam persatuan, pembilang pada saat pencetus dan bukti yang mencetuskannya. Set semula yang mendahului syot kilat memusnahkan data paling berguna yang ada pada insiden itu.

Pintu dua: hadkan skop kepada rakan, jangan sekali-kali kepada dunia

Dalam CLI ASA, clear crypto ikev2 sa peer 203.0.113.10 dan clear crypto ipsec sa peer 203.0.113.10 ialah operasi bersasar. Perintah yang sama tanpa argumen rakan memadam setiap persatuan dalam konteks, yang menjadikannya variasi ejaan dan gangguan dari segi kesan. rujukan perintah pemadaman Cisco memisahkan bentuk itu daripada varian statistik semata-mata, yang menetapkan semula pembilang dan tidak membaiki apa-apa. Dalam mod berbilang konteks perintah hanya bertindak pada konteks semasa, jadi automasi juga mesti pasti konteks mana ia berada.

Sahkan rakan sebelum perintah dibina. Pemboleh ubah kosong atau tidak diselesaikan mesti menggagalkan kerja dengan lantang dan bukan runtuh menjadi padam-semua, dan pemeriksaan itu tergolong dalam kod yang boleh dibaca oleh penyemak.

Petakan jejari kesan dengan jujur. Satu rakan boleh membawa beberapa rangkaian terlindung, beribu-ribu sesi dan terowong kedua untuk pengurusan, jadi pemadaman terhad kepada rakan masih peristiwa berbilang pelanggan pada hab. Jalankan tindakan dari laluan pengurusan yang tidak bergantung pada terowong yang ditetapkan semula. Jika tidak, automasi tidak dapat mengesahkan hasilnya sendiri, dan langkah seterusnya ialah manusia yang memandu ke tapak.

Pintu tiga: cubaan semula, penyejukan, kejayaan yang ditetapkan

Berikan kerja itu kunci setiap rakan, tempoh penyejukan dan had cubaan keras yang dikira daripada pemerhatian segar. Tanpa kunci, dua pemantau yang tercetus pada saat yang sama memadam rakan yang sama semasa rundingan semula berjalan, dan masing-masing menyimpulkan yang lain gagal.

Kejayaan bermakna persatuan kembali dan beban kerja yang dibenarkan lulus, bukan bahawa perintah pulang tanpa ralat. Uji dengan pemeriksaan yang sama yang mengesan kegagalan, kemudian sahkan pembilang SA anak bergerak dalam kedua-dua arah. Perintah yang keluar dengan sifar sementara terowong kekal mati ialah kegagalan pemantauan yang menyamar sebagai pemulihan.

Asingkan yang tidak diketahui daripada yang gagal. Jika telemetri sudah lapuk atau laluan pengurusan tidak dapat dicapai, keadaan jujurnya tidak diketahui, dan bajet cubaan semula tidak boleh membacanya sebagai kebenaran untuk melepaskan tembakan lagi.

Apabila pemulihan pertama yang diluluskan tidak memulihkan perkhidmatan, naik taraf dengan syot kilat dan bukannya berpusing. Set semula berjadual ialah versi corak yang paling teruk, kerana ia menyembunyikan kecacatan penjanaan semula kunci, laluan atau dasar sambil memotong sesi sihat pada pemasa.

Pemilikan, suis mati dan satu latihan

Namakan pemilik, dokumentasikan cara melumpuhkan applet atau jadual dalam satu langkah, dan tetapkan tarikh semakan. Automasi tanpa laluan lumpuh menjadi infrastruktur kekal pada hari penulisnya bertukar pasukan.

Latih di makmal atau tetingkap penyelenggaraan dengan pemilihan rakan sengaja dirosakkan, supaya anda tahu sama ada kerja itu gagal tertutup. Kemudian latih laluan kejayaan, kerana kerja yang hanya berjalan apabila ada sesuatu yang tidak kena tidak mengajar apa-apa tentang tingkah laku normalnya.