ASA 5550 - Reinicialização vale a pena?

Eu tenho um ASA 5550 que esteja executando cargas e cargas de operações (AnyConnect, NAT, ACL, RAIO, etc, etc). Não é particularmente sobrecarregado em termos de CPU e memória, mas possui um tempo de atividade de mais de 3,5 anos.

Ultimamente, tenho tentado implantar outro túnel IPSEC (via criptomap) junto com uma regra de isenção de NAT, mas o ASA está exibindo um comportamento muito estranho. Às vezes, quando adiciono ACE, uma massa de texto aparece do nada no campo de descrição. Não importa o que eu faça, meus testes com a ferramenta PacketTracer na caixa não produzem os resultados esperados (por exemplo - vejo o pacote atingindo a regra Qualquer / Qualquer na parte inferior da ACL, mesmo que exista uma configuração específica) ACE na parte superior da referida ACL).

Enfim, a pergunta é a seguinte: alguém realmente resolveu algo reiniciando um ASA? Não é minha opção favorita, mas com os comportamentos muito estranhos que vejo, a solução de problemas está se tornando infrutífera.

Resposta curta: Sim.

Resposta mais longa: :-) Há bugs em todo software. Quanto mais tempo ele for executado, maior será a probabilidade de configurar a loja na sua rede. Mas, mais importante, quanto mais tempo for necessário sem uma reinicialização, mais pequenos pedaços de configuração e / ou status "antigos" permanecerão remanescentes. No IOS, no interface fooemitirá um aviso de que não está completamente destruído e os elementos de configuração poderão reaparecer se você recriar a interface - não deve ocorrer em um ASA, mas em casos raros, ocorre. Eu também vi entradas NAT fantasmas depois de excluí-las da configuração. (aquele realmente é um bug)

Ao lidar com IPSec / criptografia, descobri que muitos malucos podem ser esclarecidos por um reload. Em um caso (pix 6.3.5), ele não restabeleceria um túnel VPN até que eu o fizesse.

[editar] Uma palavra sobre reinicializações em geral: eu tendem a reiniciar as coisas apenas para garantir que elas sejam executadas . Com muita frequência, eu tenho vários sistemas (roteadores, firewalls, servidores) em execução por longos períodos - sendo constantemente modificados e quando algo acaba reiniciando-os (geralmente uma falta de energia, mas "opa, máquina errada" acontece também) eles raramente voltam exatamente como eram antes ... alguém se esqueceu de fazer o X iniciar na inicialização, ou alguma interação estranha de peças faz com que algo não seja inicializado conforme o esperado. Eu admito, é menos uma preocupação com partes mais estáticas da infraestrutura.

Geralmente, não recomendo a reinicialização como solução para um problema, a menos que você saiba que está lidando com um bug que introduz algo como vazamento de memória ou condição de estouro de cache.

Com um ASA executando uma imagem com pelo menos 3,5 anos, você verificou o kit de ferramentas de erros da Cisco? As probabilidades são de que quaisquer erros na plataforma sejam documentados e você pode ver se algum deles se aplica.

Eu também recomendaria abrir um caso TAC se você tiver suporte.

Reinicializações em minha mente encobrem outros problemas e podem tornar muito difícil (se não impossível) encontrar a causa raiz. Por fim, sem entender a causa raiz, você não sabe que consertou nada e acho isso muito perigoso, especialmente em uma plataforma de "segurança".

Por exemplo, talvez você tenha uma vulnerabilidade de segurança no código que está sendo explorado por uma fonte externa. Embora a reinicialização possa interromper a conexão e aliviar os sintomas, ela não faz nada para solucionar o problema.

Como mencionado, o gerenciamento de riscos e o gerenciamento de vulnerabilidades devem ser suas preocupações. Eu diria que existem pelo menos 10 a 20 vulnerabilidades conhecidas para sua versão de software ASA, supondo que você tenha o firmware mais recente instalado no momento representado pelo tempo de atividade.

Link Tools.cisco.com, com vulns do ano passado (alguns não são relevantes, mas isso deve lhe dar uma boa ideia)

Algumas outras ferramentas que podem ajudá-lo:

• Cisco Security IntelliShield Alert Manager - determine se os ativos de rede, hardware e software estão vulneráveis ​​a ameaças novas e existentes

• Verificador de Software Cisco IOS . Não sei se há algo semelhante para o ASA, mas talvez alguém possa entrar?

• Auditoria de configuração de roteador: O RedSeal pode incluir verificações de versão (já se passaram vários anos desde que eu trabalhei com ele), além de muitas outras ferramentas de segurança para redes

• Gerenciamento de vulnerabilidades: o Nessus possui versões comerciais e da comunidade, e há muitos outros softwares como esse por aí

Encontrei recentemente problemas semelhantes em um ASA executando 8.2 (2) 16 com ~ 2,5 anos de tempo de atividade, pelo qual os grupos de objetos especificados nas ACLs do mapa criptográfico não estavam sendo correspondidos. A adição de uma instrução ACL que o grupo de objetos já englobou fez com que correspondesse tráfego interessante. Muito frustrante.

Um colega informou que eles haviam visto esse comportamento anteriormente e que uma recarga o solucionava nesse caso.

Quando você diz que um carregamento de texto 'aleatório' está aparecendo ao adicionar ACE's, você está digitando manualmente esses ACEs ou colando-os de alguma outra fonte (como o bloco de notas).

Eu já vi problemas antes em que, se você estiver colando muitas linhas em um dispositivo, ele pode ficar sobrecarregado e ocorrer alguma corrupção, colar menos linhas geralmente o corrige ou usa uma função no programa de terminal para 'colar devagar' para permitir uma pequena intervalo de tempo entre cada linha.