Automatizácia resetov tunelov ASA: tri brány, kým to dovolíte

Berte automatický reset tunela ako obnovovaciu akciu s dosahom výbuchu, nie ako naplánovanú zmenu nálady. Rozhodnutie pred vami je užšie, než naznačujú nástroje: ktorá porucha ho ospravedlňuje, ktorého partnera sa smie dotknúť a čo ho zastaví. Pomýľte sa v týchto troch a postavili ste stroj na mazanie dôkazov. Videl som jeden takýto strieľať každých pätnásť minút proti zdravému partnerovi skoro týždeň a nikto si to nevšimol, pretože tunel sa zakaždým vrátil.

Prvá brána: dokážte, že porucha je vnútri tunela

Prepojte čerstvý stav, kým čokoľvek povolíte. show crypto ikev2 sa detailed vám povie, či asociácia IKEv2 existuje a ako ďaleko sa dostalo vyjednávanie, a show vpn-sessiondb detail l2l dáva pohľad na reláciu, ktorý zodpovedá tomu istému partnerovi. Potom show crypto ipsec sa peer 203.0.113.10 ukáže podriadené SA, čítače encaps a decaps a používané selektory. Rastúci čítač encaps s plochým čítačom decaps je úplne iný problém ako žiadna asociácia.

Ďalej skontrolujte, čo prestavba nedokáže opraviť: chýbajúcu spätnú trasu, MTU, ktoré prehĺta veľké pakety, politiku, ktorá odmieta port po dešifrovaní, alebo asymetrické smerovanie, ktoré posiela odpovede okolo zariadenia. Vymazanie SA proti ktorémukoľvek z toho prináša krátky zelený blik a zajtra ten istý tiket. Každé z nich vyzerá z pohľadu aplikácie ako mŕtvy tunel, a preto sú čítače dôležitejšie než alarm.

Pred akciou urobte snímku stavu. Zapíšte partnera, identifikátory asociácie, čítače v okamihu spustenia a dôkazy, ktoré ho vyvolali. Reset, ktorý snímku predbehne, ničí najužitočnejšie dáta, ktoré incident mal.

Druhá brána: rozsah obmedzte na partnera, nikdy na svet

V CLI ASA sú clear crypto ikev2 sa peer 203.0.113.10 a clear crypto ipsec sa peer 203.0.113.10 cielené operácie. Tie isté príkazy bez argumentu partnera vymažú každú asociáciu v kontexte, čo z nich robí pravopisný variant a v účinku výpadok. Príručka príručka mazacích príkazov od Cisco oddeľuje tieto formy od variantu iba so štatistikami, ktorý resetuje čítače a nič neopraví. V režime viacerých kontextov príkaz pôsobí iba na aktuálny kontext, takže automatizácia si musí byť istá aj tým, v ktorom kontexte je.

Overte partnera, kým sa príkaz zostaví. Prázdna alebo nevyriešená premenná musí úlohu nahlas zhodiť, namiesto toho aby sa zrútila do vymazania všetkého, a táto kontrola patrí do kódu, ktorý recenzent prečíta.

Nakreslite dosah výbuchu poctivo. Jeden partner môže niesť niekoľko chránených sietí, tisíce relácií a druhý tunel pre správu, takže vymazanie obmedzené na partnera je na koncentrátore stále udalosť pre viacerých zákazníkov. Vykonávajte akciu z cesty správy, ktorá nezávisí od resetovaného tunela. Inak automatizácia nemôže overiť vlastný výsledok a ďalším krokom je človek, ktorý ide na miesto.

Tretia brána: opakovania, ochladenie, definovaný úspech

Dajte úlohe zámok na partnera, obdobie ochladenia a tvrdý limit pokusov počítaný z čerstvých pozorovaní. Bez zámku dva monitory, ktoré sa spustia v rovnakom okamihu, vymažú toho istého partnera, kým prebieha nové vyjednávanie, a každý usúdi, že zlyhal ten druhý.

Úspech znamená, že asociácia je späť a povolená záťaž prejde, nie že sa príkaz vrátil bez chyby. Otestujte tou istou kontrolou, ktorá odhalila poruchu, a potom potvrďte, že čítače podriadených SA sa hýbu oboma smermi. Príkaz, ktorý skončí s nulou, kým tunel zostáva dole, je zlyhanie monitoringu oblečené ako obnova.

Držte neznáme oddelené od zlyhaného. Ak sú telemetrie zastarané alebo je cesta správy nedostupná, poctivý stav je neznámy a rozpočet opakovaní to nesmie čítať ako povolenie znova vystreliť.

Keď prvá schválená obnova neobnoví službu, eskalujte so snímkou namiesto slučky. Naplánované resety sú najhoršia verzia vzoru, pretože skrývajú poruchu obnovy kľúčov, trasy alebo politiky a zároveň režú zdravé relácie podľa časovača.

Vlastníctvo, vypínač a jedno cvičenie

Určte vlastníka, zdokumentujte, ako applet alebo plán vypnúť jedným krokom, a stanovte dátum revízie. Automatizácia bez cesty na vypnutie sa stane trvalou infraštruktúrou v deň, keď jej autor zmení tím.

Precvičte ju v laboratóriu alebo v okne údržby s úmyselne pokazeným výberom partnera, aby ste zistili, či úloha zlyháva bezpečne. Potom precvičte cestu úspechu, pretože úloha, ktorá beží iba vtedy, keď je niečo zle, vás o svojom normálnom správaní nič nenaučí.