Аутоматизација ресетовања ASA тунела: три капије пре него што то дозволите

Замислите аутоматско ресетовање тунела као акцију опоравка са радијусом штете, а не као заказану промену расположења. Одлука пред вама је ужа него што алат сугерише: који квар га оправдава, ког партнера сме да дотакне и шта га зауставља. Погрешите ли у те три ствари, направили сте машину за брисање доказа. Гледао сам како један такав ради сваких петнаест минута против здравог партнера већи део недеље, и нико није приметио јер се тунел сваки пут враћао.

Прва капија: докажите да је квар унутар тунела

Повежите свеже стање пре него што било шта одобрите. show crypto ikev2 sa detailed вам каже да ли IKEv2 асоцијација постоји и докле је стигло преговарање, а show vpn-sessiondb detail l2l даје приказ сесије који одговара истом партнеру. Затим show crypto ipsec sa peer 203.0.113.10 приказује подређене SA, бројаче encaps и decaps и селекторе у употреби. Растући encaps бројач уз раван decaps бројач сасвим је други проблем од потпуног одсуства асоцијације.

Затим проверите шта поновна изградња не може да поправи: недостајућу повратну руту, MTU који гута велике пакете, политику која одбија порт после дешифровања, или асиметрично рутирање које шаље одговоре око уређаја. Брисање SA против било чега од тога даје кратак зелени блесак и исти тикет сутра. Сваки од њих изгледа као мртав тунел са апликационе стране, зато су бројачи важнији од аларма.

Направите снимак стања пре акције. Запишите партнера, идентификаторе асоцијације, бројаче у тренутку покретања и доказе који су га покренули. Ресет који претекне снимак уништава најкорисније податке које је инцидент имао.

Друга капија: обим ограничите на партнера, никада на свет

У ASA CLI-ју, clear crypto ikev2 sa peer 203.0.113.10 и clear crypto ipsec sa peer 203.0.113.10 су циљане операције. Исте наредбе без аргумента партнера бришу сваку асоцијацију у контексту, што их чини разликом у писању и испадом у ефекту. преглед наредби за брисање компаније Cisco раздваја те облике од варијанте само са статистиком, која ресетује бројаче и не поправља ништа. У режиму са више контекста наредба делује само на тренутни контекст, па аутоматизација мора бити сигурна и у ком је контексту.

Проверите партнера пре него што се наредба састави. Празна или нерешена променљива мора гласно да обори посао, уместо да се сручи у брисање свега, и та провера припада коду који рецензент може да прочита.

Нацртајте радијус штете искрено. Један партнер може да носи неколико заштићених мрежа, хиљаде сесија и други тунел за управљање, па је брисање ограничено на партнера и даље догађај за више клијената на концентратору. Изведите акцију са управљачке стазе која не зависи од тунела који се ресетује. Иначе аутоматизација не може да провери сопствени резултат, а следећи корак је човек који вози до локације.

Трећа капија: понављања, хлађење, дефинисан успех

Дајте послу браву по партнеру, период хлађења и тврд лимит покушаја који се броји из свежих запажања. Без браве два монитора која се покрену у истом тренутку бришу истог партнера док је поновно преговарање у току, и сваки закључи да је други подбацио.

Успех значи да је асоцијација враћена и да дозвољено оптерећење пролази, а не да се наредба вратила без грешке. Проверите истим тестом који је открио квар, па потврдите да се бројачи подређених SA крећу у оба смера. Наредба која изађе са нулом док тунел остаје доле јесте квар надзора обучен у опоравак.

Држите непознато одвојено од неуспелог. Ако су телеметрија застарела или је управљачка стаза недоступна, искрено стање је непознато, и буџет за понављања то не сме да чита као дозволу да опали поново.

Када први одобрени опоравак не врати услугу, ескалирајте са снимком уместо да понављате у петљи. Заказани ресети су најгора верзија обрасца, јер крију дефект обнове кључева, руте или политике док секу здраве сесије по тајмеру.

Власништво, прекидач и једна проба

Именујте власника, документујте како се аплет или распоред онемогућава једним кораком и поставите датум прегледа. Аутоматизација без пута за искључивање постаје трајна инфраструктура оног дана када њен аутор промени тим.

Увежбајте је у лабораторији или у прозору одржавања са намерно поквареним избором партнера, да сазнате да ли посао пада затворено. Затим увежбајте пут успеха, јер посао који ради само док нешто није у реду не учи вас ничему о свом нормалном понашању.