Automatisere ASA-tunnelreset: tre portar før du tillèt det

Sjå på ein automatisk tunnelreset som ei gjenopprettingshandling med ein eksplosjonsradius, ikkje som eit planlagt humørsving. Avgjerda framfor deg er smalare enn verktøyet antydar: kva feil som rettferdiggjer han, kva peer han kan røre, og kva som får han til å stogge. Tek du feil på desse tre, har du bygd ei maskin for å slette bevis. Eg har sett ein av desse fyre kvar femtande minutt mot ein frisk peer i det meste av ei veke, og ingen la merke til det fordi tunnelen kom tilbake kvar gong.

Port éin: prov at feilen ligg inne i tunnelen

Korreler fersk tilstand før du godkjenner noko. show crypto ikev2 sa detailed fortel deg om IKEv2-assosiasjonen finst og kor langt forhandlinga kom, og show vpn-sessiondb detail l2l gir sesjonsvisninga som passar til same peer. Deretter viser show crypto ipsec sa peer 203.0.113.10 barne-SA-ane, encaps- og decaps-teljarane og veljarane som blir brukte. Ein stigande encaps-teljar med flat decaps-teljar er eit heilt anna problem enn ingen assosiasjon i det heile.

Deretter sjekkar du kva ein gjenoppbygging ikkje kan reparere: ei manglande returrute, ein MTU som slukar store pakkar, ein policy som avviser porten etter dekryptering, eller asymmetrisk ruting som sender svar rundt eininga. Å slette SA-ar mot noko av dette gir eit kort grønt blink og same billett i morgon. Kvar av dei ser ut som ein død tunnel frå applikasjonssida, derfor tyder teljarane meir enn alarmen.

Ta eit augeblinksbilete før handlinga. Noter peeren, assosiasjonsidentifikatorane, teljarane i utløysaraugeblinken og bevisa som utløyste det. Ein reset som spring framom augeblinksbiletet øydelegg dei mest nyttige dataa hendinga hadde.

Port to: avgrens omfanget til peeren, aldri til verda

På ASA-CLI-en er clear crypto ikev2 sa peer 203.0.113.10 og clear crypto ipsec sa peer 203.0.113.10 målretta operasjonar. Dei same kommandoane utan peer-argument slettar kvar assosiasjon i konteksten, noko som gjer dei til ein skrivevariant og til eit avbrot i effekt. Ciscos referanse for slettkommandoar skil desse formene frå statistikkvarianten, som nullstiller teljarar og ikkje reparerer noko. I fleirkontekstmodus verkar kommandoen berre på gjeldande kontekst, så automatiseringa må også vite kva kontekst ho er i.

Valider peeren før kommandoen blir bygd. Ein tom eller uløyst variabel må feile jobben høgt i staden for å kollapse til ein clear-all, og den kontrollen høyrer heime i kode ein gjennomlesar kan lese.

Kartlegg eksplosjonsradiusen ærleg. Éin peer kan bere fleire verna nettverk, tusvis av sesjonar og ein andre tunnel for administrasjon, så ei peer-avgrensa sletting er framleis ei hending for fleire kundar på ein hub. Køyr handlinga frå ein administrasjonsveg som ikkje er avhengig av tunnelen som blir nullstilt. Elles kan ikkje automatiseringa verifisere sitt eige resultat, og neste steg er eit menneske som køyrer til staden.

Port tre: nye forsøk, nedkjøling, definert suksess

Gi jobben ein lås per peer, ein nedkjølingsperiode og ei hard forsøksgrense som blir talt frå ferske observasjonar. Utan låsen slettar to monitorar som utløyser i same augeblink same peer medan reforhandlinga går, og kvar konkluderer med at den andre feila.

Suksess tyder at assosiasjonen er tilbake og den tillatne arbeidslasta passerer, ikkje at kommandoen kom tilbake utan feil. Probe med same kontrollen som oppdaga feilen, og stadfest deretter at barne-SA-teljarane flyttar seg i begge retningar. Ein kommando som avsluttar med null medan tunnelen blir nede, er ein overvakingsfeil kledd som gjenoppretting.

Hald ukjent skilt frå mislukka. Viss telemetrien er utdatert eller administrasjonsvegen er utilgjengeleg, er den ærlege tilstanden ukjend, og eit budsjett for nye forsøk bør ikkje lese det som løyve til å fyre igjen.

Når den første godkjende gjenopprettinga ikkje gjenopprettar tenesta, eskaler med augeblinksbiletet i staden for å loope. Planlagde resetar er den verste versjonen av mønsteret, fordi dei skjuler ein feil i nøkkelnying, rute eller policy medan dei kuttar friske sesjonar på ein timer.

Eigarskap, ein avbrytar og éi øving

Nemn ein eigar, dokumenter korleis appletten eller tidsplanen blir deaktivert i eitt steg, og set ein revisjonsdato. Automasjon utan deaktiveringsveg blir permanent infrastruktur den dagen forfattaren byter team.

Øv på han i eit laboratorium eller eit vedlikehaldsvindauge med peer-valet medvite øydelagt, så du finn ut om jobben feilar lukka. Øv deretter suksessvegen, fordi ein jobb som berre går medan noko er gale, lærer deg ingenting om normal åtferd.