ASA tunnellarini qayta ishga tushirishni avtomatlashtirish: ruxsat berishdan oldin uchta darvoza
ASA sherikning xavfsizlik assotsiatsiyalarini o'zi o'chirishdan oldin uchta darvozani hal qiling: nosozlik tunnel ichida, qamrov bitta sherik, qayta urinishlar to'xtaydi.
Avtomatik tunnel qayta ishga tushirishni portlash radiusiga ega tiklash harakati deb biling, rejalashtirilgan kayfiyat o'zgarishi deb emas. Oldingizdagi qaror asboblar ishora qilganidan torroq: qaysi nosozlik uni oqlaydi, qaysi sherikka tegishi mumkin va uni nima to'xtatadi. Bu uchtasida xato qilsangiz, dalillarni o'chiruvchi mashina qurgansiz. Men ulardan birining deyarli bir hafta davomida har o'n besh daqiqada sog'lom sherikka qarata otishini ko'rdim, hech kim sezmadi, chunki tunnel har safar qaytib kelardi.
Birinchi darvoza: nosozlik tunnel ichida ekanini isbotlang
Biror narsaga ruxsat berishdan oldin yangi holatni bog'lang. show crypto ikev2 sa detailed IKEv2 assotsiatsiyasi bor-yo'qligini va muzokaralar qanchalik uzoqqa ketganini aytadi, show vpn-sessiondb detail l2l esa aynan shu sherikka mos sessiya ko'rinishini beradi. So'ngra show crypto ipsec sa peer 203.0.113.10 bola SA'larni, encaps va decaps hisoblagichlarini va ishlatilayotgan selektorlarni ko'rsatadi. Ko'tarilayotgan encaps hisoblagichi va tekis decaps hisoblagichi assotsiatsiya umuman yo'qligidan butunlay boshqa muammo.
Keyin qayta qurish tuzata olmaydigan narsalarni tekshiring: yo'qolgan qaytish marshruti, katta paketlarni yutadigan MTU, shifr ochilgandan keyin portni rad etuvchi siyosat yoki javoblarni qurilma atrofidan yuboradigan assimetrik marshrutlash. Ularning birortasiga qarshi SA o'chirish qisqa yashil chaqnash va ertaga o'sha chiptani beradi. Har biri ilova tomondan o'lik tunneldek ko'rinadi, shuning uchun hisoblagichlar ogohlantirishdan muhimroq.
Harakatdan oldin holat suratini oling. Sherikni, assotsiatsiya identifikatorlarini, ishga tushgan paytdagi hisoblagichlarni va uni ishga tushirgan dalillarni yozib oling. Suratdan oldin yuguradigan qayta ishga tushirish hodisaning eng foydali ma'lumotlarini yo'q qiladi.
Ikkinchi darvoza: qamrovni sherik bilan cheklang, hech qachon dunyo bilan emas
ASA CLI'da clear crypto ikev2 sa peer 203.0.113.10 va clear crypto ipsec sa peer 203.0.113.10 maqsadli operatsiyalardir. Sherik argumentisiz o'sha buyruqlar kontekstdagi har bir assotsiatsiyani o'chiradi, bu ularni imlo varianti va ta'siri bo'yicha uzilishga aylantiradi. Cisco'ning o'chirish buyruqlari ma'lumotnomasi hujjati bu shakllarni faqat statistika variantidan ajratadi, u hisoblagichlarni qayta o'rnatadi va hech narsani tuzatmaydi. Ko'p kontekstli rejimda buyruq faqat joriy kontekstga ta'sir qiladi, shuning uchun avtomatlashtirish qaysi kontekstda ekanini ham bilishi kerak.
Buyruq tuzilishidan oldin sherikni tekshiring. Bo'sh yoki hal qilinmagan o'zgaruvchi hamma narsani o'chirishga qulash o'rniga ishni baland ovozda barbod qilishi kerak va bu tekshiruv taqrizchi o'qiy oladigan kodda bo'lishi lozim.
Portlash radiusini halol chizing. Bitta sherik bir nechta himoyalangan tarmoqni, minglab sessiyani va boshqaruv uchun ikkinchi tunnelni ko'tarishi mumkin, shuning uchun sherik bilan cheklangan o'chirish habda baribir ko'p mijozli hodisa. Harakatni qayta tiklanayotgan tunnelga bog'liq bo'lmagan boshqaruv yo'lidan bajaring. Aks holda avtomatlashtirish o'z natijasini tekshira olmaydi va keyingi qadam saytga mashina haydab boradigan odamdir.
Uchinchi darvoza: qayta urinishlar, sovutish, aniqlangan muvaffaqiyat
Ishga har bir sherik uchun qulf, sovutish davri va yangi kuzatishlardan hisoblanadigan qat'iy urinish chegarasi bering. Qulfsiz bir vaqtda ishga tushgan ikki monitor qayta muzokaralar davom etayotganda o'sha sherikni o'chiradi va har biri ikkinchisi muvaffaqiyatsiz bo'ldi deb xulosa qiladi.
Muvaffaqiyat assotsiatsiya qaytgani va ruxsat etilgan yuk o'tgani demakdir, buyruq xatosiz qaytgani emas. Nosozlikni aniqlagan o'sha tekshiruv bilan sinab ko'ring, so'ngra bola SA hisoblagichlari ikki tomonga ham harakatlanishini tasdiqlang. Tunnel pastda turganda nol bilan chiqadigan buyruq tiklash libosidagi monitoring nosozligidir.
Noma'lumni muvaffaqiyatsizdan ajratib turing. Agar telemetriya eskirgan bo'lsa yoki boshqaruv yo'li yetib bo'lmaydigan bo'lsa, halol holat noma'lum va qayta urinish byudjeti buni yana o'q otishga ruxsat deb o'qimasligi kerak.
Birinchi tasdiqlangan tiklash xizmatni qaytarmasa, aylanib yurish o'rniga holat surati bilan eskalatsiya qiling. Rejalashtirilgan qayta ishga tushirishlar bu naqshning eng yomon varianti, chunki ular kalit yangilash, marshrut yoki siyosat nuqsonini yashirib, sog'lom sessiyalarni taymer bilan kesadi.
Egalik, o'chirish tugmasi va bitta mashq
Egasi nomini bering, applet yoki jadvalni bir qadamda qanday o'chirishni hujjatlashtiring va ko'rib chiqish sanasini belgilang. O'chirish yo'li bo'lmagan avtomatlashtirish muallifi jamoa almashtirgan kuni doimiy infratuzilmaga aylanadi.
Sherik tanlovini ataylab buzb, laboratoriya yoki texnik xizmat oynasida mashq qiling, ish xavfsiz tarzda barbod bo'ladimi-yo'qmi bilish uchun. So'ngra muvaffaqiyat yo'lini mashq qiling, chunki faqat biror narsa noto'g'ri bo'lganda ishlaydigan ish o'zining oddiy xulq-atvori haqida sizga hech narsa o'rgatmaydi.