การทำงานอัตโนมัติของการรีเซ็ตอุโมงค์ ASA: สามด่านก่อนจะอนุญาต

มองการรีเซ็ตอุโมงค์อัตโนมัติเป็นการดำเนินการกู้คืนที่มีรัศมีผลกระทบ ไม่ใช่การเปลี่ยนอารมณ์ตามกำหนดการ การตัดสินใจตรงหน้าคุณแคบกว่าที่เครื่องมือบอก: ความล้มเหลวใดที่ทำให้ชอบธรรม เพียร์ใดที่มันอาจแตะต้อง และอะไรที่ทำให้มันหยุด ผิดทั้งสามข้อนี้คุณก็สร้างเครื่องจักรสำหรับลบหลักฐานขึ้นมา ฉันเคยเห็นหนึ่งในนั้นยิงทุกสิบห้านาทีใส่เพียร์ที่แข็งแรงเกือบทั้งสัปดาห์ และไม่มีใครสังเกตเพราะอุโมงค์กลับมาทุกครั้ง

ด่านแรก: พิสูจน์ว่าความล้มเหลวอยู่ในอุโมงค์

เชื่อมโยงสถานะสดก่อนจะอนุมัติอะไร show crypto ikev2 sa detailed บอกว่าสมาคม IKEv2 มีอยู่หรือไม่และการเจรจาไปถึงไหน และ show vpn-sessiondb detail l2l ให้มุมมองเซสชันที่ตรงกับเพียร์เดียวกัน จากนั้น show crypto ipsec sa peer 203.0.113.10 แสดง SA ลูก ตัวนับ encaps และ decaps และตัวเลือกที่ใช้อยู่ ตัวนับ encaps ที่เพิ่มขึ้นพร้อมตัวนับ decaps ที่นิ่งเป็นปัญหาต่างโดยสิ้นเชิงจากการไม่มีสมาคมเลย

ต่อไป ตรวจสอบสิ่งที่การสร้างใหม่ซ่อมไม่ได้: เส้นทางกลับที่หายไป MTU ที่กลืนแพ็กเก็ตขนาดใหญ่ นโยบายที่ปฏิเสธพอร์ตหลังถอดรหัส หรือการกำหนดเส้นทางแบบอสมมาตรที่ส่งคำตอบอ้อมอุปกรณ์ การล้าง SA กับสิ่งใดสิ่งหนึ่งเหล่านี้ให้แสงเขียววาบสั้น ๆ และตั๋วเดิมในวันพรุ่งนี้ แต่ละอย่างดูเหมือนอุโมงค์ที่ตายแล้วจากฝั่งแอปพลิเคชัน จึงเป็นเหตุให้ตัวนับสำคัญกว่าการแจ้งเตือน

บันทึกภาพสถานะก่อนการกระทำ ระบุเพียร์ ตัวระบุสมาคม ตัวนับ ณ วินาทีที่ถูกกระตุ้น และหลักฐานที่ทำให้มันทำงาน การรีเซ็ตที่วิ่งนำหน้าภาพสถานะจะทำลายข้อมูลที่มีประโยชน์ที่สุดของเหตุการณ์

ด่านที่สอง: จำกัดขอบเขตที่เพียร์ ไม่ใช่ทั้งโลก

บน CLI ของ ASA clear crypto ikev2 sa peer 203.0.113.10 และ clear crypto ipsec sa peer 203.0.113.10 เป็นปฏิบัติการแบบเจาะจง คำสั่งเดียวกันที่ไม่มีอาร์กิวเมนต์เพียร์จะล้างทุกสมาคมในบริบท ซึ่งทำให้เป็นเพียงความต่างของการสะกดและเป็นการหยุดชะงักในผลลัพธ์ เอกสารอ้างอิงคำสั่งล้าง ของ Cisco แยกแบบเหล่านั้นออกจากรูปแบบสถิติอย่างเดียว ซึ่งรีเซ็ตตัวนับและไม่ได้ซ่อมอะไร ในโหมดหลายบริบทคำสั่งมีผลกับบริบทปัจจุบันเท่านั้น การทำงานอัตโนมัติจึงต้องแน่ใจด้วยว่าตัวเองอยู่ในบริบทใด

ตรวจสอบเพียร์ก่อนที่คำสั่งจะถูกสร้าง ตัวแปรว่างหรือที่แก้ไม่สำเร็จต้องทำให้งานล้มเหลวอย่างเสียงดัง แทนที่จะยุบไปเป็นการล้างทั้งหมด และการตรวจนั้นควรอยู่ในโค้ดที่ผู้ตรวจอ่านได้

วาดรัศมีผลกระทบอย่างซื่อสัตย์ เพียร์เดียวอาจแบกเครือข่ายที่ป้องกันหลายเครือข่าย เซสชันหลายพัน และอุโมงค์ที่สองสำหรับการจัดการ ดังนั้นการล้างที่จำกัดเฉพาะเพียร์ยังเป็นเหตุการณ์หลายลูกค้าบนฮับ รันการกระทำจากเส้นทางจัดการที่ไม่ขึ้นกับอุโมงค์ที่ถูกรีเซ็ต มิฉะนั้นการทำงานอัตโนมัติตรวจสอบผลของตัวเองไม่ได้ และขั้นต่อไปคือคนขับรถไปที่หน้างาน

ด่านที่สาม: การลองใหม่ การพักเย็น ผลสำเร็จที่กำหนดไว้

ให้งานมีล็อกต่อเพียร์ ช่วงพักเย็น และขีดจำกัดการลองแบบแข็งที่นับจากข้อสังเกตสด หากไม่มีล็อก มอนิเตอร์สองตัวที่ทำงานในวินาทีเดียวกันจะล้างเพียร์เดียวกันขณะกำลังเจรจาใหม่ และแต่ละตัวสรุปว่าอีกตัวล้มเหลว

ความสำเร็จหมายถึงสมาคมกลับมาและภาระงานที่อนุญาตผ่านไป ไม่ใช่คำสั่งกลับมาโดยไม่มีข้อผิดพลาด ตรวจด้วยการทดสอบเดียวกับที่พบความล้มเหลว แล้วยืนยันว่าตัวนับ SA ลูกเคลื่อนไหวทั้งสองทิศทาง คำสั่งที่จบด้วยศูนย์ขณะอุโมงค์ยังล่มคือความล้มเหลวของการตรวจสอบที่แต่งตัวเป็นการกู้คืน

แยกสิ่งที่ไม่รู้ออกจากสิ่งที่ล้มเหลว. หากข้อมูลวัดสถานะเก่าหรือเส้นทางจัดการเข้าถึงไม่ได้ สถานะที่ซื่อสัตย์คือไม่ทราบ และงบประมาณการลองใหม่ไม่ควรอ่านสิ่งนั้นเป็นการอนุญาตให้ยิงอีกครั้ง

เมื่อการกู้คืนครั้งแรกที่อนุมัติแล้วไม่คืนบริการ ให้ยกระดับพร้อมภาพสถานะแทนการวนซ้ำ การรีเซ็ตตามกำหนดการเป็นรูปแบบที่แย่ที่สุด เพราะมันซ่อนข้อบกพร่องของการสร้างคีย์ใหม่ เส้นทาง หรือนโยบาย ขณะตัดเซสชันที่ดีตามตัวจับเวลา

ความเป็นเจ้าของ สวิตช์ปิด และการซ้อมหนึ่งครั้ง

ระบุเจ้าของ จัดทำเอกสารว่าปิดแอปเพล็ตหรือตารางเวลาในขั้นตอนเดียวได้อย่างไร และกำหนดวันทบทวน การทำงานอัตโนมัติที่ไม่มีเส้นทางปิดจะกลายเป็นโครงสร้างพื้นฐานถาวรในวันที่ผู้เขียนย้ายทีม

ซ้อมในห้องแล็บหรือหน้าต่างบำรุงรักษาโดยตั้งใจทำให้การเลือกเพียร์เสีย เพื่อดูว่างานล้มเหลวอย่างปลอดภัยหรือไม่ จากนั้นซ้อมเส้นทางความสำเร็จ เพราะงานที่รันเฉพาะเมื่อมีอะไรผิดพลาดไม่ได้สอนอะไรคุณเกี่ยวกับพฤติกรรมปกติของมัน