إعادة تعيين الجار في ASA تحذف جمعيات IPsec SA لا حالة IKE أو الجلسات
أمر clear محدود بالجار يهدم مسار بيانات IPsec فقط. اطّلع على ما يبقى، ولماذا يُعاد بناء النفق في ثوانٍ، وأي طبقة ينبغي تنظيفها بدلاً من ذلك.
يسقط النفق لتطبيق واحد، فيشغّل أحدهم أمر clear خاصاً بـ IPsec محدوداً بالجار، وتُغلق التذكرة لأن الأمر قُبل. لا شيء في ذلك التسلسل يُظهر أن العطل قد أُصلح. في جهاز ASA يغطي لفظ reset ثلاثة نطاقات منفصلة، والـ clear المحدود بالجار يمس واحداً منها بالضبط، ولهذا يعود النفق نفسه غالباً قبل أن ينهي المشغّل قراءة المخرجات.
ثلاثة نطاقات تختبئ خلف كلمة واحدة
زوج IPsec SA هو مسار البيانات نفسه، جمعية لكل اتجاه، مع أرقام تسلسل وعدّادات. أما IKE SA فهو قناة التفاوض التي أنتجت تلك الجمعيات وما زالت تحفظ علاقة الجار. والجلسة VPN هي السجل في قاعدة بيانات الجلسات لمستخدم أو جار موقع-إلى-موقع أو اتصال بلا عميل.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
النطاقات مستقلة بما يكفي بحيث يترك تنظيف أحدها الآخرين يعملون، وهذا الاستقلال هو مصدر معظم الالتباس. نظّف جمعيات IPsec SA وIKE SA سليم، فيولّد المرور جمعيات جديدة خلال ثوانٍ، فيبدو النفق وكأنه شُفي بنفسه. لكن عدم تطابق المقترح أو ثغرة المسار أو فشل المصادقة لا يزال قائماً.
إذا كان العطل في التفاوض، فإن clear لـ IPsec لا يغيّر شيئاً يمكنك ملاحظته.
اقرأ الحالة وهي لا تزال موجودة
سجّل عنوان الجار وإصدار IKE المستخدم والشبكات المحمية والعدّادات الاتجاهية قبل أن تمس أي شيء. تختلف العروض المدعومة بحسب الإصدار، لكن الأشكال ثابتة: show crypto ipsec sa peer وshow crypto ikev2 sa detailed أو مكافئ IKEv1 وshow vpn-sessiondb لطبقة الجلسة.
اكتب الطابع الزمني والعطل الدقيق الظاهر للمستخدم بجانب تلك المخرجات. غالباً يحمل الجار الواحد عدة شبكات محمية، لذا فإن أثر clear محدود بالجار يشمل كل محدِّد على ذلك الجار، لا التطبيق الواحد في التذكرة. ولا يمكن تشخيص إعادة تعيين بلا صورة قبلية، لأن الـ clear يحذف بالضبط العدّادات التي كنت ستقارن بها.
التقط الأدلة أولاً. فالـ clear يزيلها، ولقطة شاشة تُؤخذ بعده تخبرك بما أُعيد بناؤه لا بما كان معطلاً.
ما يفعله clear المحدود بالجار فعلاً
يوثّق مرجع أوامر clear من Cisco الصيغة الخاصة بـ IPsec المحدودة بالجار. وبعنوان توثيقي مستبدل، يبدو الأمر هكذا:
clear crypto ipsec sa peer 198.51.100.42ذلك الأمر يهدم جمعيات IPsec المطابقة للجار. لا يزيل IKE SA، ولا يحذف الإعدادات، ولا يعيد تعيين قاعدة بيانات الجلسات. نفّذه من مسار إدارة لا يعتمد على النفق الذي تغيّره، لأن جلسة SSH محمولة داخل ذلك النفق ستموت معه وقد لا تعود من تلقاء نفسها. وكل شيء آخر على الجهاز يبقى يعمل، ولهذا بالضبط يبدو الأمر غير ضار.
عندما يكون بحث الهدف غير مؤكد، لا ترتد إلى clear غير محدَّد. فالصيغة الأوسع تصل إلى كل جار على الجهاز، وسيكون الانقطاع الذي تُحدثه أكبر من الذي استُدعيت من أجله.
تحقّق من الطبقة التي أردت إصلاحها
بعد الـ clear، أكّد أن الجمعيات عادت بعدّادات جديدة بدلاً من افتراض نجاح إعادة التعيين لأن قائمة الجيران امتلأت من جديد. ثم اختبر التطبيق الذي سمّته التذكرة، لأن نجاح ping لا يقول شيئاً عن تصريح خدمة أو جلسة منتهية.
إذا أُعيد بناء الجمعيات وظل التطبيق يفشل، فالمرشحان المتبقيان هما طبقة IKE وطبقة الجلسة. اختر ما لا يزال يمكنك فحص حالته. استخدم العملية الموجّهة للإصدار الذي يعمل فعلاً، سواء كان clear لـ IKEv2 أو clear لـ IKEv1 أو clear لقاعدة بيانات الجلسات محدوداً بنوع الجلسة الصحيح. أما حذف إعدادات crypto-map الثابتة وإعادة إنشائها لإجبار إعادة البناء فهو تخمين بتراجع أطول.
صعّد بالصورتين معاً، قبل وبعد، بدلاً من التنظيف مرة أخرى.
عندما تُطيل إعادة التعيين الانقطاع
عمليات clear المتكررة تخفي الأعطال التي لا تستطيع إعادة التعيين إصلاحها: مسار مفقود، أو محدِّد لم يعد يطابق الشبكة الفرعية الجديدة، أو مفتاح مشترك سابق تغيّر على أحد الجانبين، أو إعادة توليد مفاتيح تفشل باستمرار على مقترح لا يقبله الجار. كل clear يقطع مروراً سليماً على كل محدِّد لذلك الجار بينما يبقى السبب الحقيقي دون مساس. وهكذا يتحول تحقيق في خمس دقائق إلى نافذة تغيير.
إعادة التعيين المحدودة ما زالت مفيدة. النسخة المفيدة تكون موجّهة ومسجلة ويتبعها فحص للطبقة التي كان يُفترض إصلاحها.
ترتيب العمل: سجّل الجار والإصدار والمحدِّدات والعدّادات؛ أكّد النطاق الذي ينتمي إليه العطل؛ نفّذ أضيق clear مطابق؛ تحقّق من الجمعيات والتطبيق؛ صعّد بالأدلة إذا تعافت الطبقة ولم تختفِ الأعراض.