Avtomatizacija ponastavitev tunelov ASA: tri vrata, preden to dovolite

Na samodejno ponastavitev tunela glejte kot na obnovitveno dejanje s polmerom udarca, ne kot na načrtovano spremembo razpoloženja. Odločitev pred vami je ožja, kot nakazujejo orodja: katera napaka jo upravičuje, katerega partnerja se sme dotakniti in kaj jo ustavi. Zmotite se pri teh treh in zgradili ste stroj za brisanje dokazov. Videl sem eno od teh streljati vsakih petnajst minut proti zdravemu partnerju večji del tedna, in nihče ni opazil, ker se je tunel vsakič vrnil.

Prva vrata: dokažite, da je napaka znotraj tunela

Povežite sveže stanje, preden karkoli odobrite. show crypto ikev2 sa detailed vam pove, ali povezava IKEv2 obstaja in kako daleč je prišlo pogajanje, show vpn-sessiondb detail l2l pa da pogled seje, ki ustreza istemu partnerju. Nato show crypto ipsec sa peer 203.0.113.10 pokaže podrejene SA, števca encaps in decaps ter uporabljene selektorje. Naraščajoči števec encaps s ploščatim števcem decaps je povsem drugačen problem kot nobena povezava.

Nato preverite, česar ponovna gradnja ne more popraviti: manjkajočo povratno pot, MTU, ki pogoltne velike pakete, politiko, ki po dešifriranju zavrne vrata, ali asimetrično usmerjanje, ki pošilja odgovore okoli naprave. Brisanje SA proti čemur koli od tega prinese kratek zelen blisk in jutri isto vozovnico. Vsak od njih je z vidika aplikacije videti kot mrtev tunel, zato so števci pomembnejši od alarma.

Pred dejanjem naredite posnetek stanja. Zapišite partnerja, identifikatorje povezave, števce v trenutku sprožitve in dokaze, ki so jo sprožili. Ponastavitev, ki prehiti posnetek, uniči najbolj uporabne podatke, ki jih je imel incident.

Druga vrata: obseg omejite na partnerja, nikoli na svet

V CLI ASA sta clear crypto ikev2 sa peer 203.0.113.10 in clear crypto ipsec sa peer 203.0.113.10 ciljni operaciji. Isti ukazi brez argumenta partnerja izbrišejo vsako povezavo v kontekstu, kar jih naredi za črkovno različico in po učinku izpad. referenca ukazov za brisanje podjetja Cisco ločuje te oblike od različice samo s statistiko, ki ponastavi števce in ničesar ne popravi. V načinu z več konteksti ukaz deluje samo na trenutni kontekst, zato mora avtomatizacija vedeti tudi, v katerem kontekstu je.

Preverite partnerja, preden se ukaz sestavi. Prazna ali nerazrešena spremenljivka mora glasno spodnesti opravilo, namesto da bi se sesula v brisanje vsega, in to preverjanje spada v kodo, ki jo recenzent lahko prebere.

Polmer udarca narišite pošteno. En partner lahko nosi več zaščitenih omrežij, tisoče sej in drugi tunel za upravljanje, zato je brisanje, omejeno na partnerja, na koncentratorju še vedno dogodek za več strank. Dejanje izvedite s poti upravljanja, ki ni odvisna od tunela, ki se ponastavlja. Sicer avtomatizacija ne more preveriti lastnega rezultata, naslednji korak pa je človek, ki se pelje na lokacijo.

Tretja vrata: ponovitve, ohlajanje, opredeljen uspeh

Opravilu dajte ključavnico na partnerja, obdobje ohlajanja in trdo mejo poskusov, izračunano iz svežih opazovanj. Brez ključavnice dva monitorja, ki se sprožita v istem trenutku, izbrišeta istega partnerja, medtem ko poteka ponovno pogajanje, in vsak sklene, da je drugi spodletel.

Uspeh pomeni, da je povezava nazaj in da dovoljena obremenitev preide, ne da se je ukaz vrnil brez napake. Preizkusite z isto kontrolo, ki je odkrila napako, nato potrdite, da se števci podrejenih SA premikajo v obe smeri. Ukaz, ki se konča z ničlo, medtem ko tunel ostaja spodaj, je odpoved nadzora, oblečena v obnovitev.

Neznano ločite od neuspešnega. Če so telemetrije zastarele ali je pot upravljanja nedosegljiva, je pošteno stanje neznano, in proračun ponovitev tega ne sme brati kot dovoljenja za ponovno streljanje.

Ko prva odobrena obnovitev ne vrne storitve, eskalirajte s posnetkom, namesto da bi se vrteli v zanki. Načrtovane ponastavitve so najslabša različica vzorca, ker skrivajo napako pri obnovi ključev, poti ali politike in hkrati režejo zdrave seje po časovniku.

Lastništvo, izklopno stikalo in ena vaja

Določite lastnika, dokumentirajte, kako v enem koraku onemogočiti applet ali urnik, in določite datum pregleda. Avtomatizacija brez poti za izklop postane trajna infrastruktura na dan, ko njen avtor zamenja ekipo.

Vadite jo v laboratoriju ali v vzdrževalnem oknu z namerno pokvarjenim izborom partnerja, da ugotovite, ali opravilo odpove varno. Nato vadite pot uspeha, ker opravilo, ki teče samo takrat, ko je nekaj narobe, vas o običajnem vedenju ne nauči ničesar.