Автоматизація скидань тунелів ASA: три брами, перш ніж дозволити

Сприймайте автоматичне скидання тунелю як відновлювальну дію з радіусом ураження, а не як планову зміну настрою. Рішення перед вами вужче, ніж підказують інструменти: який збій його виправдовує, якого партнера він може зачепити і що його зупиняє. Помиліться в цих трьох — і ви побудували машину для знищення доказів. Я бачив, як один такий спрацьовував кожні п'ятнадцять хвилин проти здорового партнера майже тиждень, і ніхто не помітив, бо тунель щоразу повертався.

Перша брама: доведіть, що збій усередині тунелю

Зіставте свіжий стан, перш ніж щось дозволити. show crypto ikev2 sa detailed повідомляє, чи існує асоціація IKEv2 і як далеко зайшли переговори, а show vpn-sessiondb detail l2l дає подання сеансу, що відповідає тому самому партнеру. Далі show crypto ipsec sa peer 203.0.113.10 показує дочірні SA, лічильники encaps і decaps та використовувані селектори. Зростаючий лічильник encaps за плоского лічильника decaps — зовсім інша проблема, ніж повна відсутність асоціації.

Потім перевірте те, чого не може виправити перебудова: відсутній зворотний маршрут, MTU, що поглинає великі пакети, політику, яка відхиляє порт після розшифрування, або асиметричну маршрутизацію, що надсилає відповіді в обхід пристрою. Скидання SA проти будь-чого з цього дає короткий зелений спалах і той самий тикет завтра. Кожен із них з погляду застосунку виглядає як мертвий тунель, тому лічильники важливіші за сповіщення.

Зробіть знімок стану до дії. Запишіть партнера, ідентифікатори асоціації, лічильники в момент спрацювання та докази, що його запустили. Скидання, яке випереджає знімок, знищує найкорисніші дані інциденту.

Друга брама: обмежте обсяг партнером, ніколи світом

У CLI ASA команди clear crypto ikev2 sa peer 203.0.113.10 і clear crypto ipsec sa peer 203.0.113.10 — адресні операції. Ті самі команди без аргументу партнера очищають усі асоціації в контексті, що робить їх варіантом написання й аварією за ефектом. Довідник довідка команд очищення від Cisco відокремлює ці форми від варіанта лише зі статистикою, який скидає лічильники й нічого не виправляє. У режимі кількох контекстів команда діє лише на поточний контекст, тому автоматизація має ще й знати, у якому контексті вона перебуває.

Перевірте партнера до того, як команду буде побудовано. Порожня або невизначена змінна має гучно провалити завдання, а не згорнутися в очищення всього, і ця перевірка належить коду, який рецензент може прочитати.

Намалюйте радіус ураження чесно. Один партнер може нести кілька захищених мереж, тисячі сеансів і другий тунель для керування, тому скидання в межах партнера на концентраторі все одно подія для багатьох клієнтів. Виконуйте дію зі шляху керування, який не залежить від тунелю, що скидається. Інакше автоматизація не зможе перевірити власний результат, і наступний крок — людина, яка їде на майданчик.

Третя брама: повтори, охолодження, визначений успіх

Дайте завданню блокування на партнера, період охолодження та жорсткий ліміт спроб, що відраховується від свіжих спостережень. Без блокування два монітори, спрацьовані в один момент, очищають того самого партнера, поки триває перепогодження, і кожен доходить висновку, що інший не впорався.

Успіх означає, що асоціація повернулася і дозволене навантаження проходить, а не що команда повернулася без помилки. Перевірте тим самим тестом, що виявив збій, потім підтвердьте, що лічильники дочірніх SA рухаються в обидва боки. Команда, яка завершується нулем, коли тунель лежить, — це збій моніторингу в одежі відновлення.

Тримайте невідоме окремо від невдалого. Якщо телеметрія застаріла або шлях керування недоступний, чесний стан — невідомий, і бюджет повторів не повинен читати це як дозвіл стріляти знову.

Коли перше схвалене відновлення не повертає сервіс, ескалуйте зі знімком замість циклу. Планові скидання — найгірша версія шаблону, бо вони приховують дефект перегенерації ключів, маршруту або політики й водночас ріжуть здорові сеанси за таймером.

Відповідальність, вимикач і один тренувальний прогін

Призначте власника, задокументуйте, як вимкнути аплет або розклад одним кроком, і встановіть дату перегляду. Автоматизація без шляху вимкнення стає постійною інфраструктурою того дня, коли її автор змінює команду.

Потренуйтеся в лабораторії або у вікні обслуговування з навмисно зламаним вибором партнера, щоб дізнатися, чи падає завдання безпечно. Потім потренуйте шлях успіху, бо завдання, яке працює лише тоді, коли щось не так, нічого не вчить про свою нормальну поведінку.