Automatizacija resetovanja ASA tunela: tri kapije pre nego što to dozvolite

Zamislite automatsko resetovanje tunela kao akciju oporavka sa radijusom štete, a ne kao zakazanu promenu raspoloženja. Odluka pred vama je uža nego što alat sugeriše: koji kvar ga opravdava, kog partnera sme da dotakne i šta ga zaustavlja. Pogrešite li u te tri stvari, napravili ste mašinu za brisanje dokaza. Gledao sam kako jedan takav radi svakih petnaest minuta protiv zdravog partnera veći deo nedelje, i niko nije primetio jer se tunel svaki put vraćao.

Prva kapija: dokažite da je kvar unutar tunela

Povežite sveže stanje pre nego što bilo šta odobrite. show crypto ikev2 sa detailed vam kaže da li IKEv2 asocijacija postoji i dokle je stiglo pregovaranje, a show vpn-sessiondb detail l2l daje prikaz sesije koji odgovara istom partneru. Zatim show crypto ipsec sa peer 203.0.113.10 prikazuje podređene SA, brojače encaps i decaps i selektore u upotrebi. Rastući encaps brojač uz ravan decaps brojač sasvim je drugi problem od potpunog odsustva asocijacije.

Potom proverite šta ponovna izgradnja ne može da popravi: nedostajuću povratnu rutu, MTU koji guta velike pakete, politiku koja odbija port posle dešifrovanja, ili asimetrično rutiranje koje šalje odgovore oko uređaja. Brisanje SA protiv bilo čega od toga daje kratak zeleni bljesak i isti tiket sutra. Svaki od njih izgleda kao mrtav tunel sa aplikacijske strane, zato su brojači važniji od alarma.

Napravite snimak stanja pre akcije. Zapišite partnera, identifikatore asocijacije, brojače u trenutku pokretanja i dokaze koji su ga pokrenuli. Reset koji pretekne snimak uništava najkorisnije podatke koje je incident imao.

Druga kapija: obim ograničite na partnera, nikada na svet

U ASA CLI-ju, clear crypto ikev2 sa peer 203.0.113.10 i clear crypto ipsec sa peer 203.0.113.10 su ciljane operacije. Iste naredbe bez argumenta partnera brišu svaku asocijaciju u kontekstu, što ih čini razlikom u pisanju i ispadom u efektu. Ciscoov pregled komandi za brisanje razdvaja te oblike od varijante samo sa statistikom, koja resetuje brojače i ne popravlja ništa. U režimu sa više konteksta naredba deluje samo na trenutni kontekst, pa automatizacija mora biti sigurna i u kom je kontekstu.

Proverite partnera pre nego što se naredba sastavi. Prazna ili nerešena promenljiva mora glasno da obori posao, umesto da se sruči u brisanje svega, i ta provera pripada kodu koji recenzent može da pročita.

Nacrtajte radijus štete iskreno. Jedan partner može da nosi nekoliko zaštićenih mreža, hiljade sesija i drugi tunel za upravljanje, pa je brisanje ograničeno na partnera i dalje događaj za više klijenata na koncentratoru. Izvedite akciju sa upravljačke staze koja ne zavisi od tunela koji se resetuje. Inače automatizacija ne može da proveri sopstveni rezultat, a sledeći korak je čovek koji vozi do lokacije.

Treća kapija: ponovni pokušaji, hlađenje, definisan uspeh

Dajte poslu bravu po partneru, period hlađenja i tvrd limit pokušaja koji se broji iz svežih opažanja. Bez brave dva monitora koja se pokrenu u istom trenutku brišu istog partnera dok je ponovno pregovaranje u toku, i svaki zaključi da je drugi podbacio.

Uspeh znači da je asocijacija vraćena i da dozvoljeno opterećenje prolazi, a ne da se naredba vratila bez greške. Proverite istim testom koji je otkrio kvar, pa potvrdite da se brojači podređenih SA kreću u oba smera. Naredba koja izađe sa nulom dok tunel ostaje dole jeste kvar nadzora obučen u oporavak.

Držite nepoznato odvojeno od neuspelog. Ako su telemetrija zastarela ili je upravljačka staza nedostupna, iskreno stanje je nepoznato, i budžet za ponovne pokušaje to ne sme da čita kao dozvolu da opali ponovo.

Kada prvi odobreni oporavak ne vrati uslugu, eskalirajte sa snimkom umesto da ponavljate u petlji. Zakazani reseti su najgora verzija obrasca, jer skrivaju defekt obnove ključeva, rute ili politike dok režu zdrave sesije po tajmeru.

Vlasništvo, prekidač i jedna proba

Imenujte vlasnika, dokumentujte kako se aplet ili raspored onemogućava jednim korakom i postavite datum pregleda. Automatizacija bez puta za isključivanje postaje trajna infrastruktura onog dana kada njen autor promeni tim.

Uvežbajte je u laboratoriji ili u prozoru održavanja sa namerno pokvarenim izborom partnera, da saznate da li posao pada zatvoreno. Zatim uvežbajte put uspeha, jer posao koji radi samo dok nešto nije u redu ne uči vas ničemu o svom normalnom ponašanju.