ASA tünel sıfırlamalarını otomatikleştirmek: izin vermeden önce üç kapı

Otomatik bir tünel sıfırlamayı, planlanmış bir ruh hali değişimi değil, etki yarıçapı olan bir kurtarma eylemi olarak düşünün. Önünüzdeki karar, araçların ima ettiğinden daha dar: hangi arıza bunu haklı çıkarır, hangi eşe dokunabilir ve onu ne durdurur. Bu üçünü yanlış yaparsanız kanıt silen bir makine kurmuş olursunuz. Bunlardan birinin neredeyse bir hafta boyunca her on beş dakikada sağlıklı bir eşe ateş ettiğini gördüm ve kimse fark etmedi çünkü tünel her seferinde geri geliyordu.

Birinci kapı: arızanın tünelin içinde olduğunu kanıtlayın

Herhangi bir şeyi onaylamadan önce taze durumu ilişkilendirin. show crypto ikev2 sa detailed IKEv2 ilişkisinin var olup olmadığını ve görüşmenin ne kadar ilerlediğini söyler, show vpn-sessiondb detail l2l aynı eşe karşılık gelen oturum görünümünü verir. Ardından show crypto ipsec sa peer 203.0.113.10 alt SA'ları, encaps ve decaps sayaçlarını ve kullanılan seçicileri gösterir. Yükselen encaps sayacı ile düz decaps sayacı, hiç ilişki olmamasından tamamen farklı bir sorundur.

Sonra yeniden yapılandırmanın onaramayacağı şeyleri denetleyin: eksik dönüş rotası, büyük paketleri yutan MTU, şifre çözümünden sonra bağlantı noktasını reddeden ilke ya da yanıtları cihazın etrafından gönderen asimetrik yönlendirme. Bunlardan herhangi birine karşı SA silmek kısa bir yeşil parıltı ve yarın aynı bilet verir. Her biri uygulama tarafından ölü tünel gibi görünür, bu yüzden sayaçlar uyarıdan daha önemlidir.

Eylemden önce durum anlık görüntüsü alın. Eşi, ilişki tanımlayıcılarını, tetikleme anındaki sayaçları ve onu tetikleyen kanıtları kaydedin. Anlık görüntünün önüne geçen bir sıfırlama, olayın sahip olduğu en yararlı veriyi yok eder.

İkinci kapı: kapsamı eşe sınırlayın, asla dünyaya değil

ASA CLI'de clear crypto ikev2 sa peer 203.0.113.10 ve clear crypto ipsec sa peer 203.0.113.10 hedefli işlemlerdir. Eş argümanı olmayan aynı komutlar bağlamdaki her ilişkiyi siler, bu da onları bir yazım varyantı ve etkide kesinti yapar. Cisco'nun silme komutları başvurusu belgesi bu biçimleri yalnızca istatistik varyantından ayırır; o varyant sayaçları sıfırlar ve hiçbir şeyi onarmaz. Çok bağlamlı kipte komut yalnızca geçerli bağlamda etkilidir, bu yüzden otomasyon hangi bağlamda olduğundan da emin olmalıdır.

Komut kurulmadan önce eşi doğrulayın. Boş veya çözülmemiş bir değişken, her şeyi silmeye çökmek yerine işi yüksek sesle başarısız etmelidir ve bu denetim bir gözden geçirenin okuyabileceği kodda olmalıdır.

Etki yarıçapını dürüstçe çizin. Bir eş birden çok korumalı ağ, binlerce oturum ve yönetim için ikinci bir tünel taşıyabilir, bu yüzden eşe sınırlı silme bir hub'da hâlâ çok müşterili bir olaydır. Eylemi sıfırlanan tünele bağlı olmayan bir yönetim yolundan çalıştırın. Aksi halde otomasyon kendi sonucunu doğrulayamaz ve sonraki adım sahaya araba süren bir insandır.

Üçüncü kapı: yeniden denemeler, soğuma, tanımlı başarı

İşe eş başına kilit, soğuma süresi ve taze gözlemlerden sayılan sert bir deneme sınırı verin. Kilit olmadan, aynı anda tetiklenen iki izleyici yeniden müzakere sürerken aynı eşi siler ve her biri diğerinin başarısız olduğu sonucuna varır.

Başarı, ilişkinin geri gelmesi ve izin verilen iş yükünün geçmesi demektir; komutun hatasız dönmesi değil. Arızayı saptayan aynı denetimle sınayın, ardından alt SA sayaçlarının iki yönde de hareket ettiğini doğrulayın. Tünel aşağıdayken sıfırla çıkan bir komut, kurtarma kılığına girmiş bir izleme arızasıdır.

Bilinmeyeni başarısızdan ayrı tutun. Telemetri eskimişse veya yönetim yolu erişilemezse dürüst durum bilinmiyordur ve yeniden deneme bütçesi bunu yeniden ateş izni olarak okumamalıdır.

İlk onaylanmış kurtarma hizmeti geri getirmezse, döngüye girmek yerine anlık görüntüyle yükseltin. Zamanlanmış sıfırlamalar desenin en kötü sürümüdür, çünkü anahtar yenileme, rota veya ilke kusurunu gizlerken sağlıklı oturumları zamanlayıcıyla keserler.

Sahiplik, bir kapatma anahtarı ve bir prova

Bir sahip belirleyin, uygulamacığın veya zamanlamanın tek adımda nasıl devre dışı bırakılacağını belgeleyin ve bir gözden geçirme tarihi belirleyin. Devre dışı bırakma yolu olmayan otomasyon, yazarının ekip değiştirdiği gün kalıcı altyapıya dönüşür.

Eş seçimini kasten bozarak laboratuvarda veya bakım penceresinde prova edin, böylece işin güvenli biçimde başarısız olup olmadığını öğrenin. Sonra başarı yolunu prova edin, çünkü yalnızca bir şeyler ters gittiğinde çalışan bir iş, normal davranışı hakkında size hiçbir şey öğretmez.