Kassinipedia

Runbooks (F5)

Se lee en 5 min

Runbooks (F5)

Contenido complementario

Recetas armadas con lo aprendido en los cursos y prácticas habituales de operación. Ajústalas a los procedimientos de tu empresa.

Pendiente: validar en el lab

Este contenido no salió de mis clases. Probar estos comandos y pasos en BIG-IP VE antes de usarlos en un trabajo real, y corregir lo que difiera en mi versión.

Resumen

Un runbook es una receta paso a paso para una tarea que se repite o que ocurre bajo presión: publicar una aplicación, drenar un servidor, renovar un certificado, revertir un cambio, actualizar un par HA, reemplazar un equipo averiado. Cada runbook dice cuándo usarlo, qué preparar, los pasos con su verificación y cómo volver atrás.

Requisitos previos

  • Acceso a GUI y bash de ambos equipos del par
  • Ventana de cambio aprobada (salvo emergencias)
  • UCS reciente fuera del equipo

Regla general para todos los cambios

  1. Antes: UCS de ambos equipos, captura del estado (Network Map, conexiones), plan de rollback escrito.
  2. Durante: cambia solo en un equipo (normalmente el activo), verifica, y recién entonces sincroniza.
  3. Después: prueba la aplicación, revisa /var/log/ltm, guarda (tmsh save sys config), documenta.

Runbook 1: Publicar una aplicación nueva

  1. Monitor de contenido (Health Monitors).
  2. Pool con miembros y método (Pools y Load Balancing).
  3. Certificado y Client SSL si es HTTPS (Certificados y Client SSL).
  4. VS 443 con TCP + HTTP + Client SSL, SNAT si hace falta, persistencia, solo en la VLAN external (Virtual Servers).
  5. VS 80 con redirección a HTTPS (_sys_https_redirect).
  6. Verifica: Network Map verde, curl -vk https://<VIP>/, logs del servidor con la IP real (XFF).
  7. Sincroniza el par HA.
  • Rollback: borra los objetos creados o restaura el UCS.

Runbook 2: Mantenimiento de un servidor (drenar)

  1. Pool > Members > el miembro > Disable (o Force Offline si no deben entrar ni los persistentes).
  2. Espera Current Connections = 0 (tmsh show ltm pool <pool> members).
  3. Avisa al equipo del servidor: puede parchar/reiniciar.
  4. Al terminar, verifica el monitor en verde y Enable.
  • Rollback: Enable inmediato.

Runbook 3: Renovar un certificado

  1. CSR nuevo (o certificado de la PKI) con nombre nuevo (sitio_2028).
  2. Importa certificado y cadena intermedia.
  3. Reemplaza el Certificate Key Chain en el perfil Client SSL existente.
  4. Verifica con openssl s_client -showcerts (fecha nueva, cadena completa).
  5. Sincroniza; no borres el certificado viejo hasta confirmar.
  • Rollback: vuelve a poner el certificado anterior en el perfil.

Runbook 4: Revertir un cambio que rompió algo

  1. Identifica el cambio (System > Logs > Audit o /var/log/audit).
  2. Si es puntual: deshaz el objeto (quitar iRule, volver el perfil anterior).
  3. Si no está claro: restaura el UCS previo al cambio (Backups (UCS) y QKview).
  4. Sincroniza y verifica.

Runbook 5: Failover manual (mantenimiento de un equipo)

  1. Confirma In Sync.
  2. En el activo: Device Management > Devices > Force to Standby.
  3. Verifica que el otro quedó activo y las apps funcionan (ping continuo al VIP).
  4. Haz el mantenimiento; si debe quedar fuera de servicio, Force Offline.
  5. Al terminar, Release Offline y, si quieres volver al equipo original, Force to Standby en el que quedó activo.

Runbook 6: Actualizar un par HA

Sigue Upgrades y hotfixes: UCS + QKview + verify, primero el standby, failover, luego el otro, verificar sync y failover en ambos sentidos.

Runbook 7: Reemplazar un equipo averiado (RMA)

  1. Instala en el equipo nuevo la misma versión y licencia (la suya).
  2. Configura la IP de gestión.
  3. Restaura el UCS del equipo viejo con no-license.
  4. Rehace el device trust (el certificado del equipo cambió) y sincroniza desde el equipo sano.
  5. Prueba el failover.

Runbook 8: Perdí el acceso de administrador

  1. Entra por consola (VE: consola del hipervisor; físico: serial, Esc ( para el menú AOM si hace falta).
  2. Como root: tmsh modify auth user admin password <nueva> o corrige httpd allow.
  3. Si no recuerdas la contraseña de root, sigue el procedimiento de recuperación de F5 para tu plataforma (reinicio en modo de mantenimiento).

Runbook 9: Revisión periódica (mensual)

  • QKview a iHealth: diagnósticos y objetos sin uso.
  • Certificados por vencer: tmsh run sys crypto check-cert.
  • Espacio en disco: df -h.
  • Notificaciones de seguridad de F5 y versión instalada.
  • Prueba de failover en ventana.
  • Verifica que los UCS automáticos se están copiando fuera del equipo.

Verificación

Comando o lugarQué debes verSi no lo ves
tmsh show cm sync-statusIn Sync al terminarSincroniza desde el equipo correcto
Network MapTodo en verdeRevisa el paso que falló
System > Logs > AuditTu cambio registrado con usuario y hora—

Errores comunes

El cambio se perdió al sincronizar

  • Causa: se hizo en el standby y se sincronizó desde el activo.
  • Solución: cambia siempre en el mismo equipo y sincroniza desde él.

No había respaldo para volver atrás

  • Causa: no se creó el UCS antes del cambio.
  • Solución: hazlo parte obligatoria de cada runbook.

El failover no fue transparente

Retroenlaces