ASA-tunnelresets automatiseren: drie poorten voordat je het toestaat

Zie een automatische tunnelreset als een herstelactie met een explosieradius, niet als een geplande stemmingswisseling. De beslissing voor je is smaller dan de tooling suggereert: welke fout hem rechtvaardigt, welke peer hij mag raken en wat hem stopt. Zit je op die drie fout, dan heb je een machine gebouwd om bewijs te wissen. Ik heb er een gezien die een groot deel van een week elke vijftien minuten tegen een gezonde peer vuurde, en niemand merkte het omdat de tunnel elke keer terugkwam.

Poort één: bewijs dat de fout in de tunnel zit

Correleer verse status voordat je iets goedkeurt. show crypto ikev2 sa detailed vertelt je of de IKEv2-associatie bestaat en hoe ver de onderhandeling kwam, en show vpn-sessiondb detail l2l geeft de sessieweergave die bij dezelfde peer past. Daarna toont show crypto ipsec sa peer 203.0.113.10 de child-SA's, de encaps- en decaps-tellers en de gebruikte selectors. Een stijgende encaps-teller met een vlakke decaps-teller is een heel ander probleem dan helemaal geen associatie.

Controleer daarna wat een herbouw niet kan repareren: een ontbrekende retourroute, een MTU die grote pakketten verzwelgt, een beleid dat de poort na ontsleuteling weigert, of asymmetrische routing die antwoorden om het apparaat heen stuurt. SA's wissen tegen een van deze levert een korte groene flits en morgen hetzelfde ticket. Elk ervan ziet er vanaf de applicatiekant uit als een dode tunnel, daarom tellen de tellers zwaarder dan het alarm.

Maak een momentopname vóór de actie. Noteer de peer, de associatie-identificaties, de tellers op het moment van de trigger en het bewijs dat hem afvuurde. Een reset die de momentopname vooruitloopt, vernietigt de nuttigste gegevens die het incident had.

Poort twee: beperk de omvang tot de peer, nooit tot de wereld

Op de ASA-CLI zijn clear crypto ikev2 sa peer 203.0.113.10 en clear crypto ipsec sa peer 203.0.113.10 gerichte operaties. Dezelfde commando's zonder peer-argument wissen elke associatie in de context, wat ze een schrijfvariant en in effect een storing maakt. Cisco's referentie van wiskommando's scheidt die vormen van de alleen-statistiekvariant, die tellers reset en niets repareert. In multicontextmodus werkt het commando alleen op de huidige context, dus de automatisering moet ook zeker weten in welke context hij zit.

Valideer de peer voordat het commando wordt gebouwd. Een lege of onopgeloste variabele moet de taak luid laten mislukken in plaats van in een clear-all te storten, en die controle hoort in code die een reviewer kan lezen.

Breng de explosieradius eerlijk in kaart. Eén peer kan meerdere beschermde netwerken, duizenden sessies en een tweede tunnel voor beheer dragen, dus een peer-gebonden wisactie is op een hub nog steeds een gebeurtenis voor meerdere klanten. Voer de actie uit vanaf een beheerpad dat niet afhangt van de tunnel die wordt gereset. Anders kan de automatisering het eigen resultaat niet verifiëren, en de volgende stap is een mens die naar de locatie rijdt.

Poort drie: herhalingen, afkoeling, gedefinieerd succes

Geef de taak een slot per peer, een afkoelperiode en een harde pogingslimiet die uit verse waarnemingen wordt geteld. Zonder het slot wissen twee monitors die op hetzelfde moment afgaan dezelfde peer terwijl de heronderhandeling loopt, en elk concludeert dat de ander faalde.

Succes betekent dat de associatie terug is en de toegestane werklast erdoor komt, niet dat het commando zonder fout terugkeerde. Peil met dezelfde controle die de fout opspoorde, bevestig daarna dat de child-SA-tellers in beide richtingen bewegen. Een commando dat met nul eindigt terwijl de tunnel down blijft, is een monitoringfout verkleed als herstel.

Houd onbekend gescheiden van mislukt. Als de telemetrie verouderd is of het beheerpad onbereikbaar, is de eerlijke toestand onbekend, en een herhalingsbudget mag dat niet lezen als toestemming om opnieuw te vuren.

Als het eerste goedgekeurde herstel de dienst niet terugbrengt, escaleer met de momentopname in plaats van te loopen. Geplande resets zijn de slechtste versie van het patroon, omdat ze een fout in sleutelvernieuwing, route of beleid verbergen terwijl ze gezonde sessies op een timer doorknippen.

Eigenaarschap, een uitschakelaar en één oefening

Wijs een eigenaar aan, documenteer hoe de applet of het schema in één stap wordt uitgeschakeld, en stel een herzieningsdatum in. Automatisering zonder uitschakelpad wordt permanente infrastructuur op de dag dat de auteur van team wisselt.

Oefen het in een lab of in een onderhoudsvenster met de peer-selectie opzettelijk kapot, zodat je ontdekt of de taak veilig faalt. Oefen daarna het succespad, want een taak die alleen draait als er iets mis is, leert je niets over normaal gedrag.