Tự động hóa việc đặt lại đường hầm ASA: ba cổng trước khi cho phép

Hãy xem một lần đặt lại đường hầm tự động là hành động khôi phục có bán kính ảnh hưởng, không phải một thay đổi tâm trạng theo lịch. Quyết định trước mặt bạn hẹp hơn những gì công cụ gợi ý: lỗi nào biện minh cho nó, nó được chạm vào peer nào, và điều gì khiến nó dừng. Sai cả ba điều đó là bạn đã dựng một cỗ máy xóa bằng chứng. Tôi đã thấy một cái như vậy khai hỏa mỗi mười lăm phút nhắm vào một peer khỏe mạnh gần như cả tuần, và không ai để ý vì đường hầm lần nào cũng trở lại.

Cổng một: chứng minh lỗi nằm trong đường hầm

Đối chiếu trạng thái mới trước khi bạn cho phép bất cứ điều gì. show crypto ikev2 sa detailed cho biết liên kết IKEv2 có tồn tại và quá trình thương lượng đã đi đến đâu, còn show vpn-sessiondb detail l2l đưa ra góc nhìn phiên khớp với cùng peer đó. Sau đó show crypto ipsec sa peer 203.0.113.10 hiển thị các SA con, bộ đếm encaps và decaps cùng các bộ chọn đang dùng. Bộ đếm encaps tăng trong khi bộ đếm decaps phẳng là một vấn đề hoàn toàn khác với việc không có liên kết nào.

Tiếp theo, kiểm tra những gì việc dựng lại không thể sửa: tuyến trở về bị thiếu, MTU nuốt gói lớn, chính sách từ chối cổng sau khi giải mã, hoặc định tuyến bất đối xứng gửi phản hồi vòng quanh thiết bị. Xóa SA đối với bất kỳ điều nào trong số đó cho một nháy xanh ngắn và cùng một phiếu vào ngày mai. Mỗi thứ đều trông như đường hầm chết từ phía ứng dụng, vì vậy các bộ đếm quan trọng hơn cảnh báo.

Chụp ảnh trạng thái trước khi hành động. Ghi lại peer, các định danh liên kết, bộ đếm tại thời điểm kích hoạt và bằng chứng đã kích hoạt nó. Một lần đặt lại chạy trước ảnh chụp sẽ phá hủy dữ liệu hữu ích nhất mà sự cố có.

Cổng hai: giới hạn phạm vi ở peer, không bao giờ ở cả thế giới

Trên CLI của ASA, clear crypto ikev2 sa peer 203.0.113.10 và clear crypto ipsec sa peer 203.0.113.10 là các thao tác có mục tiêu. Cùng những lệnh đó không có đối số peer sẽ xóa mọi liên kết trong ngữ cảnh, khiến chúng thành một biến thể chính tả và một sự cố ngừng trong hiệu ứng. tham chiếu lệnh xóa của Cisco tách các dạng đó khỏi biến thể chỉ thống kê, vốn đặt lại bộ đếm và không sửa gì. Ở chế độ đa ngữ cảnh, lệnh chỉ tác động lên ngữ cảnh hiện tại, nên tự động hóa cũng phải chắc chắn mình đang ở ngữ cảnh nào.

Xác thực peer trước khi lệnh được dựng. Một biến trống hoặc chưa giải được phải làm công việc thất bại ầm ĩ thay vì sụp thành xóa tất cả, và bước kiểm tra đó thuộc về mã mà người đánh giá có thể đọc.

Vẽ bán kính ảnh hưởng một cách trung thực. Một peer có thể mang nhiều mạng được bảo vệ, hàng nghìn phiên và một đường hầm thứ hai cho quản trị, nên việc xóa giới hạn ở peer vẫn là sự kiện nhiều khách hàng trên một hub. Thực hiện hành động từ một đường quản trị không phụ thuộc vào đường hầm đang bị đặt lại. Nếu không, tự động hóa không thể tự kiểm chứng kết quả, và bước tiếp theo là một người lái xe đến hiện trường.

Cổng ba: thử lại, làm nguội, thành công được định nghĩa

Cho công việc một khóa theo từng peer, một khoảng làm nguội và một giới hạn thử cứng được tính từ các quan sát mới. Không có khóa, hai giám sát kích hoạt cùng lúc sẽ xóa cùng một peer trong khi quá trình thương lượng lại đang diễn ra, và mỗi bên kết luận bên kia đã thất bại.

Thành công nghĩa là liên kết đã trở lại và khối lượng công việc được phép đi qua, không phải lệnh trả về mà không có lỗi. Kiểm tra bằng chính phép thử đã phát hiện lỗi, rồi xác nhận bộ đếm SA con chuyển động theo cả hai chiều. Một lệnh thoát với số không trong khi đường hầm vẫn nằm xuống là lỗi giám sát khoác áo khôi phục.

Giữ điều chưa biết tách khỏi thất bại. Nếu telemetry đã cũ hoặc đường quản trị không tới được, trạng thái trung thực là không rõ, và ngân sách thử lại không nên đọc đó là cho phép bắn tiếp.

Khi lần khôi phục được phê duyệt đầu tiên không trả lại dịch vụ, hãy nâng cấp với ảnh chụp thay vì lặp vòng. Đặt lại theo lịch là phiên bản tồi tệ nhất của mẫu này, vì chúng che giấu khiếm khuyết về tái tạo khóa, tuyến hoặc chính sách trong khi cắt các phiên khỏe mạnh theo bộ hẹn giờ.

Quyền sở hữu, một công tắc tắt và một buổi diễn tập

Chỉ định một chủ sở hữu, ghi lại cách vô hiệu hóa applet hoặc lịch trình trong một bước, và đặt ngày rà soát. Một tự động hóa không có đường vô hiệu hóa sẽ trở thành hạ tầng vĩnh viễn vào ngày tác giả của nó chuyển nhóm.

Diễn tập trong phòng thí nghiệm hoặc trong cửa sổ bảo trì với việc chọn peer bị cố ý làm hỏng, để biết công việc có thất bại an toàn hay không. Sau đó diễn tập đường thành công, vì một công việc chỉ chạy khi có gì đó sai sẽ không dạy bạn điều gì về hành vi bình thường của nó.