ASA-herstelling van eweknie wis IPsec-SA's, nie IKE-toestand of sessies nie
Een eweknie-gerigte clear breek net die IPsec-datapad af. Sien wat bly staan, hoekom die tonnel in sekondes herbou, en watter laag eerder skoongemaak moet word.
Die tonnel val vir 'n enkele toepassing, iemand voer 'n eweknie-gerigte IPsec-clear uit, en die kaartjie word toegemaak omdat die opdrag aanvaar is. Niks in daardie volgorde wys dat die fout herstel is nie. Op 'n ASA dek die woord reset drie afsonderlike bestekke, en die eweknie-gerigte clear raak presies een daarvan, daarom is dieselfde tonnel dikwels weer op voordat die operateur klaar die uitset gelees het.
Drie bestekke skuil agter een woord
'n IPsec-SA-paar is die datapad self, een assosiasie per rigting, met volgnommers en tellers. 'n IKE-SA is die onderhandelingskanaal wat daardie assosiasies geskep het en wat die eweknie-verhouding steeds bymekaar hou. 'n VPN-sessie is die rekord in die sessiedatabasis vir 'n gebruiker, 'n werf-tot-werf-eweknie of 'n verbinding sonder kliënt.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Die bestekke is onafhanklik genoeg dat die skoonmaak van een die ander laat werk, en daardie onafhanklikheid veroorsaak die meeste verwarring. Maak die IPsec-SA's skoon terwyl die IKE-SA gesond is, en verkeer veroorsaak binne sekondes vars assosiasies, so die tonnel lyk of dit homself genees het. Die onderliggende voorstel-wanpassing, roete-gaping of verifikasiefout is steeds daar.
As die fout by die onderhandeling lê, verander 'n IPsec-clear niks wat jy kan sien nie.
Lees die toestand terwyl dit nog bestaan
Teken die eweknie-adres, die IKE-weergawe in gebruik, die beskermde netwerke en die rigting-tellers aan voordat jy enigiets aanraak. Die ondersteunde aansigte verskil per weergawe, maar die vorms is stabiel: show crypto ipsec sa peer, show crypto ikev2 sa detailed of die IKEv1-ekwivalent, en show vpn-sessiondb vir die sessielaag.
Skryf die tydstempel en die presiese gebruikersigbare fout langs daardie uitset neer. Een eweknie dra gewoonlik verskeie beskermde netwerke, so die impak van 'n eweknie-gerigte clear is elke selektor op daardie eweknie, nie die enkele toepassing in die kaartjie nie. 'n Herstelling sonder 'n vooraf-beeld kan nie agterna gediagnoseer word nie, want die clear verwyder juis die tellers waarmee jy sou vergelyk het.
Maak eers die bewyse vas. Die clear verwyder dit, en 'n skermkopie wat daarna geneem word, sê vir jou wat herbou is, nie wat gebreek was nie.
Wat die eweknie-gerigte clear werklik doen
Cisco se verwysing vir clear-opdragte dokumenteer die eweknie-gerigte IPsec-vorm. Met 'n dokumentasie-adres ingevul, lyk dit so:
clear crypto ipsec sa peer 198.51.100.42Daardie opdrag breek die IPsec-assosiasies af wat by die eweknie pas. Dit verwyder nie die IKE-SA nie, dit vee nie konfigurasie uit nie, en dit herstel nie die sessiedatabasis nie. Voer dit uit vanaf 'n bestuurspad wat nie van die tonnel afhanklik is wat jy verander nie, want 'n SSH-sessie binne daardie tonnel sterf saam met dit en kom moontlik nie vanself terug nie. Alles anders op die toestel bly loop, en dit is juis hoekom die opdrag onskadelik voel.
Wanneer teikenopsporing onseker is, moenie na 'n ongekwalifiseerde clear terugval nie. Die breër vorm bereik elke eweknie op die toestel, en die onderbreking wat jy skep sal groter wees as die een waarvoor jy gebel is.
Verifieer die laag wat jy bedoel het om reg te maak
Bevestig ná die clear dat assosiasies met vars tellers teruggekom het, eerder as om aan te neem die herstelling het gewerk omdat die eweknie-lys weer gevul is. Toets dan die toepassing wat die kaartjie genoem het, want 'n suksesvolle ping sê niks oor 'n diensreg of 'n vervalre sessie nie.
As die assosiasies herbou en die toepassing steeds faal, is die oorblywende kandidate die IKE-laag en die sessielaag. Kies die een waarvan jy die toestand nog kan inspekteer. Gebruik die gerigte bewerking vir die weergawe wat werklik loop, of dit 'n IKEv2-clear, 'n IKEv1-clear of 'n sessiedatabasis-clear binne die regte sessietipe is. Om aanhoudende crypto-map-konfigurasie te verwyder en te herskep om 'n herbou af te dwing, is giswerk met 'n langer terugrol.
Eskaleer met albei beelde, voor en ná, eerder as om weer skoon te maak.
Wanneer die herstelling die onderbreking verleng
Herhaalde clears verberg die foute wat 'n herstelling nie kan regmaak nie: 'n ontbrekende roete, 'n selektor wat nie meer by die nuwe subnet pas nie, 'n vooraf-gedeelde sleutel wat aan een kant verander is, of 'n herleuteling wat bly faal op 'n voorstel wat die eweknie nie sal aanvaar nie. Elke clear onderbreek gesonde verkeer op elke selektor van daardie eweknie terwyl die werklike oorsaak onaangeraak bly. Dis hoe 'n vyf-minuut-ondersoek in 'n veranderingsvenster verander.
'n Begrensde herstelling is steeds nuttig. Die nuttige weergawe is gerig, aangeteken en gevolg deur 'n inspeksie van die laag wat dit veronderstel was om te herstel.
Volgorde van werk: teken eweknie, weergawe, selektors en tellers aan; bevestig by watter bestek die fout hoort; voer die nouste clear uit wat pas; verifieer assosiasies en die toepassing; eskaleer met bewyse as die laag herstel maar die simptoom nie.