Awtomatikong pag-reset ng ASA tunnel: tatlong pintuan bago pahintulutan

Ituring ang awtomatikong pag-reset ng tunnel na aksyong pagbawi na may radius ng epekto, hindi isang naka-iskedyul na pagbabago ng mood. Ang desisyon sa harap mo ay mas makitid kaysa sa ipinapahiwatig ng mga tool: aling fault ang nagbibigay-katwiran, aling peer ang maaaring hawakan, at ano ang pumipigil. Magkamali sa tatlong iyon at nakagawa ka ng makinang nagbubura ng ebidensya. May nakita akong isa nito na bumabaril tuwing labinlimang minuto laban sa malusog na peer sa halos buong linggo, at walang nakapansin dahil bumabalik ang tunnel sa bawat pagkakataon.

Unang pintuan: patunayang nasa loob ng tunnel ang fault

Iugnay ang sariwang estado bago mag-autorisa ng kahit ano. Sinasabi ng show crypto ikev2 sa detailed kung may IKEv2 association at gaano kalayo ang negosasyon, at binibigay ng show vpn-sessiondb detail l2l ang view ng session na tumutugma sa parehong peer. Pagkatapos ipinapakita ng show crypto ipsec sa peer 203.0.113.10 ang mga child SA, ang encaps at decaps counters at ang mga selector na ginagamit. Ang tumataas na encaps counter na may patag na decaps counter ay ibang-iba ang problema kaysa sa walang association talaga.

Susunod, tingnan kung ano ang hindi kayang ayusin ng muling pagbuo: nawawalang return route, MTU na lumulunok ng malalaking packet, patakarang tumatanggi sa port pagkatapos ng decryption, o asymmetric routing na nagpapadala ng mga sagot sa paligid ng appliance. Ang pagbura ng SA laban sa alinman sa mga ito ay nagbibigay ng maikling berdeng kislap at parehong ticket bukas. Ang bawat isa ay mukhang patay na tunnel mula sa panig ng application, kaya mas mahalaga ang mga counter kaysa sa alerto.

Kumuha ng snapshot bago ang aksyon. Itala ang peer, ang mga identifier ng association, ang mga counter sa sandali ng trigger at ang ebidensyang nagpagana nito. Ang reset na nauuna sa snapshot ay sumisira sa pinakamahalagang datos ng insidente.

Ikalawang pintuan: limitahan ang saklaw sa peer, hindi kailanman sa mundo

Sa CLI ng ASA, ang clear crypto ikev2 sa peer 203.0.113.10 at clear crypto ipsec sa peer 203.0.113.10 ay target na operasyon. Ang parehong mga command na walang peer argument ay nagbubura ng bawat association sa konteksto, na ginagawa silang variant ng baybay at pagkaantala sa epekto. Ang sanggunian ng mga command sa pagbura ng Cisco ay naghihiwalay sa mga anyo na iyon mula sa variant na estadistika lamang, na nagre-reset ng counter at walang inaayos. Sa multi-context mode, ang command ay kumikilos lamang sa kasalukuyang konteksto, kaya dapat tiyakin din ng automation kung aling konteksto ito naroroon.

I-validate ang peer bago mabuo ang command. Ang walang laman o hindi nalutas na variable ay dapat pabagsakin ang trabaho nang malakas sa halip na gumuho sa pagbura ng lahat, at ang pagsusuring iyon ay kabilang sa code na mababasa ng reviewer.

Iguhit ang radius ng epekto nang tapat. Ang isang peer ay maaaring magdala ng ilang protektadong network, libu-libong session at pangalawang tunnel para sa pamamahala, kaya ang pagbura na limitado sa peer ay kaganapan pa rin ng maraming customer sa isang hub. Patakbuhin ang aksyon mula sa management path na hindi umaasa sa tunnel na nire-reset. Kung hindi, hindi maaaring i-verify ng automation ang sarili nitong resulta, at ang susunod na hakbang ay isang taong magmamaneho papunta sa site.

Ikatlong pintuan: mga pagsubok muli, paglamig, tinukoy na tagumpay

Bigyan ang trabaho ng lock bawat peer, panahon ng paglamig at matigas na limitasyon ng pagtatangka na binibilang mula sa sariwang obserbasyon. Kung walang lock, dalawang monitor na mag-trigger sa parehong sandali ay nagbubura ng parehong peer habang nagaganap ang muling negosasyon, at bawat isa ay naghihinuha na nabigo ang isa.

Ang tagumpay ay nangangahulugang bumalik ang association at dumaan ang pinahintulutang workload, hindi na bumalik ang command na walang error. Subukan gamit ang parehong pagsusuring nakatuklas ng fault, pagkatapos kumpirmahin na gumagalaw ang child SA counters sa dalawang direksyon. Ang command na lumabas na zero habang nakababa ang tunnel ay pagkabigo ng monitoring na nagkunwaring pagbawi.

Ihiwalay ang hindi alam sa bigo. Kung luma na ang telemetry o hindi maabot ang management path, ang tapat na estado ay hindi alam, at ang badyet ng pagsubok muli ay hindi dapat basahin iyon bilang pahintulot na magpaputok muli.

Kapag hindi naibalik ng unang aprubadong pagbawi ang serbisyo, i-escalate gamit ang snapshot sa halip na mag-loop. Ang naka-iskedyul na reset ang pinakamasamang bersyon ng pattern, dahil itinatago nito ang depekto sa key renegotiation, ruta o patakaran habang pinuputol ang malusog na session sa timer.

Pagmamay-ari, isang off switch at isang rehearsal

Pangalanan ang may-ari, idokumento kung paano i-disable ang applet o iskedyul sa isang hakbang, at magtakda ng petsa ng pagsusuri. Ang automation na walang daan ng pag-disable ay nagiging permanenteng imprastruktura sa araw na magpalit ng team ang may-akda nito.

I-rehearse ito sa laboratory o maintenance window na sadyang sira ang pagpili ng peer, upang malaman kung nabigo ito nang ligtas. Pagkatapos i-rehearse ang daan ng tagumpay, dahil ang trabahong tumatakbo lamang kapag may mali ay walang itinuturo sa iyo tungkol sa normal na pag-uugali nito.