Automatizimi i rivendosjeve të tuneleve ASA: tre porta përpara se ta lejosh

Shikojeni një rivendosje automatike tuneli si një veprim rikuperimi me rreze shpërthimi, jo si një ndryshim humori të planifikuar. Vendimi përpara jush është më i ngushtë sesa sugjerojnë mjetet: cili defekt e justifikon, cilin peer mund të prekë dhe çfarë e ndal. Gaboni në këto të tre dhe keni ndërtuar një makinë për të fshirë provat. Kam parë një të tillë të qëllojë çdo pesëmbëdhjetë minuta kundër një peer-i të shëndetshëm për pjesën më të madhe të një jave, dhe askush nuk e vuri re sepse tuneli kthehej çdo herë.

Porta e parë: provoni se defekti është brenda tunelit

Korreloni gjendjen e freskët përpara se të autorizoni çfarëdo. show crypto ikev2 sa detailed ju thotë nëse shoqata IKEv2 ekziston dhe deri ku ka shkuar negocimi, dhe show vpn-sessiondb detail l2l jep pamjen e sesionit që përputhet me të njëjtin peer. Më pas show crypto ipsec sa peer 203.0.113.10 tregon SA-t fëmijë, numëruesit encaps dhe decaps dhe përzgjedhësit në përdorim. Një numërues encaps në rritje me një numërues decaps të sheshtë është një problem krejt tjetër sesa mungesa totale e shoqatës.

Më pas, kontrolloni çfarë nuk mund të riparojë një rindërtim: një rrugë kthimi që mungon, një MTU që gëlltit paketat e mëdha, një politikë që refuzon portën pas dekriptimit, ose një rrugëtim asimetrik që i dërgon përgjigjet përreth pajisjes. Fshirja e SA-ve kundër secilës prej tyre jep një ndezje të shkurtër jeshile dhe të njëjtën biletë nesër. Secila duket si një tunel i vdekur nga ana e aplikacionit, prandaj numëruesit kanë më shumë rëndësi se alarmi.

Merrni një snimkë përpara veprimit. Regjistroni peer-in, identifikuesit e shoqatës, numëruesit në momentin e aktivizimit dhe provat që e aktivizuan. Një rivendosje që i kalon snimkës shkatërron të dhënat më të dobishme që kishte incidenti.

Porta e dytë: kufizoni fushën te peer-i, kurrë te bota

Në CLI-n e ASA, clear crypto ikev2 sa peer 203.0.113.10 dhe clear crypto ipsec sa peer 203.0.113.10 janë operacione të synuara. Të njëjtat komanda pa argument peer fshijnë çdo shoqatë në kontekst, gjë që i bën ato një variant drejtshkrimi dhe një ndërprerje në efekt. referenca e komandave të fshirjes e Cisco i ndan ato forma nga varianti vetëm me statistika, i cili rivendos numëruesit dhe nuk riparon asgjë. Në modalitetin me shumë kontekste komanda vepron vetëm në kontekstin aktual, prandaj automatizimi duhet të jetë i sigurt edhe në cilin kontekst ndodhet.

Validoni peer-in përpara se komanda të ndërtohet. Një variabël bosh ose e pazgjidhur duhet ta dështojë punën me zë të lartë në vend që të shembet në një fshirje të gjithçkaje, dhe ai kontroll i takon kodit që një recensent mund ta lexojë.

Vizatoni rrezen e shpërthimit me ndershmëri. Një peer mund të mbajë disa rrjeta të mbrojtura, mijëra sesione dhe një tunel të dytë për menaxhim, prandaj një fshirje e kufizuar te peer-i mbetet një ngjarje me shumë klientë në një hub. Zbatojeni veprimin nga një rrugë menaxhimi që nuk varet nga tuneli që po rivendoset. Përndryshe automatizimi nuk mund të verifikojë rezultatin e vet, dhe hapi tjetër është një njeri që vozit deri në vend.

Porta e tretë: përpjekje, ftohje, sukses i përcaktuar

Jepini punës një kyç për çdo peer, një periudhë ftohjeje dhe një kufi të fortë përpjekjesh të numëruar nga vëzhgime të freskëta. Pa kyçin, dy monitorë që aktivizohen në të njëjtin moment fshijnë të njëjtin peer ndërsa rinegocimi është në vazhdim, dhe secili përfundon se tjetri dështoi.

Suksesi do të thotë që shoqata është kthyer dhe ngarkesa e lejuar kalon, jo që komanda u kthye pa gabim. Sondojeni me të njëjtin kontroll që zbuloi defektin, më pas konfirmoni që numëruesit e SA-ve fëmijë lëvizin në të dy drejtimet. Një komandë që del me zero ndërsa tuneli mbetet poshtë është një dështim monitorimi i veshur si rikuperim.

Mbaj të panjohurën të ndarë nga dështimi. Nëse telemetria është e vjetëruar ose rruga e menaxhimit është e paarritshme, gjendja e ndershme është e panjohur, dhe një buxhet përpjekjesh nuk duhet ta lexojë atë si leje për të qëlluar përsëri.

Kur rikuperimi i parë i miratuar nuk e kthen shërbimin, eskalo me snimkën në vend që të bësh cikle. Rivendosjet e planifikuara janë versioni më i keq i modelit, sepse fshehin një defekt në rigjenerimin e çelësave, rrugën ose politikën ndërsa presin sesione të shëndetshme me një kohëmatës.

Pronësia, një çelës fikjeje dhe një provë

Emërtoni një pronar, dokumentoni si të çaktivizohet applet-i ose plani në një hap dhe caktoni një datë rishikimi. Një automatizim pa rrugë çaktivizimi bëhet infrastrukturë e përhershme ditën që autori i tij ndryshon ekip.

Provoni atë në laborator ose në një dritare mirëmbajtjeje me zgjedhjen e peer-it të prishur qëllimisht, që të zbuloni nëse puna dështon në mënyrë të sigurt. Më pas provoni rrugën e suksesit, sepse një punë që ekzekutohet vetëm kur diçka është gabim nuk ju mëson asgjë për sjelljen e saj normale.