ASA-da peer reset IPsec SA-ları silir, IKE vəziyyətini və ya sessiyaları yox
Bir peer üçün məhdudlaşdırılmış clear yalnız IPsec data yolunu dağıdır. Nəyin qaldığını, tunelin niyə saniyələr içində yenidən qurulduğunu və hansı qatı təmizləmək lazım olduğunu görün.
Tunel tək bir tətbiq üçün düşür, kimsə peer üçün məhdudlaşdırılmış IPsec clear işlədir və bileti əmr qəbul olunduğu üçün bağlayır. Bu ardıcıllıqda nasazlığın aradan qaldırıldığını göstərən heç nə yoxdur. ASA-da reset sözü üç ayrı əhatə dairəsini örtür və peer üçün clear onlardan düz birinə toxunur; buna görə də eyni tunel çox vaxt operator çıxışı oxuyub qurtarmadan əvvəl yenidən qalxır.
Bir sözün arxasında üç əhatə dairəsi gizlənir
IPsec SA cütü data yolunun özüdür, hər istiqamət üçün bir assosiasiya, sıra nömrələri və sayğaclarla. IKE SA həmin assosiasiyaları yaradan və peer əlaqəsini hələ də bir yerdə saxlayan danışıq kanalıdır. VPN sessiyası isə istifadəçi, sayt-sayt peer və ya müştərisiz bağlantı üçün sessiya verilənlər bazasındakı qeyddir.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Əhatə dairələri kifayət qədər müstəqildir ki, birini təmizləmək digərlərini işlək saxlayır və bu müstəqillik qarışıqlığın çoxunu yaradır. IKE SA sağlam ikən IPsec SA-ları təmizləyin, trafik saniyələr içində yeni assosiasiyalar yaradır və tunel özünü sağaltmış kimi görünür. Amma təklif uyğunsuzluğu, marşrut boşluğu və ya autentifikasiya nasazlığı hələ də oradadır.
Nasazlıq danışıq qatındadırsa, IPsec clear müşahidə edə bildiyiniz heç nəyi dəyişmir.
Vəziyyəti hələ mövcudkən oxuyun
Heç nəyə toxunmadan əvvəl peer ünvanını, istifadə olunan IKE versiyasını, qorunan şəbəkələri və istiqamət sayğaclarını qeyd edin. Dəstəklənən görünüşlər buraxılışa görə fərqlənir, amma formalar sabitdir: show crypto ipsec sa peer, show crypto ikev2 sa detailed və ya IKEv1 ekvivalenti və sessiya qatı üçün show vpn-sessiondb.
Həmin çıxışın yanına vaxt möhürünü və istifadəçinin gördüyü dəqiq nasazlığı yazın. Bir peer adətən bir neçə qorunan şəbəkə daşıyır, yəni peer üçün clear-ın təsir radiusu həmin peer-dəki bütün seçicilərdir, biletdəki tək tətbiq deyil. Əvvəlki mənzərə olmadan edilən reset sonradan diaqnostika edilə bilməz, çünki clear müqayisə edəcəyiniz sayğacların elə özünü silir.
Əvvəlcə sübutları toplayın. Clear onları silir və sonradan çəkilən ekran görüntüsü nəyin qurulduğunu deyir, nəyin pozulduğunu yox.
Peer üçün clear əslində nə edir
Cisco-nun clear əmrləri arayışı peer üçün IPsec formasını sənədləşdirir. Sənədləşdirmə ünvanı yerinə qoyulanda belə görünür:
clear crypto ipsec sa peer 198.51.100.42Bu əmr peer-ə uyğun IPsec assosiasiyalarını dağıdır. IKE SA-nı silmir, konfiqurasiyanı silmir və sessiya verilənlər bazasını sıfırlamır. Onu dəyişdiyiniz tuneldən asılı olmayan idarəetmə yolundan işlədin, çünki həmin tunelin içindən keçən SSH sessiyası onunla birlikdə öləcək və öz-özünə geri qayıtmaya bilər. Cihazdakı hər şey işləməyə davam edir, buna görə də əmr zərərsiz görünür.
Hədəf axtarışı qeyri-müəyyənsə, kvalifikasiyasız clear-a keçməyin. Daha geniş forma cihazdakı hər peer-ə çatır və yaratdığınız kəsinti sizi çağırdıqları kəsintidən böyük olacaq.
Düzəltmək istədiyiniz qatı yoxlayın
Clear-dan sonra peer siyahısının yenidən dolduğuna görə resetin işlədiyini güman etmək əvəzinə assosiasiyaların təzə sayğaclarla qayıtdığını təsdiqləyin. Sonra biletdə göstərilən tətbiqi sınayın, çünki uğurlu ping xidmət icazəsi və ya vaxtı keçmiş sessiya haqqında heç nə demir.
Assosiasiyalar yenidən qurulur və tətbiq yenə də uğursuz olursa, qalan namizədlər IKE qatı və sessiya qatıdır. Vəziyyətini hələ yoxlaya bildiyinizi seçin. Faktiki işləyən versiya üçün hədəflənmiş əməliyyatdan istifadə edin: IKEv2 clear, IKEv1 clear və ya düzgün sessiya növünə aid sessiya verilənlər bazası clear-ı. Yenidənqurmanı məcbur etmək üçün davamlı crypto-map konfiqurasiyasını silib yenidən yaratmaq daha uzun geri qayıtma ilə təxmindir.
Yenidən təmizləmək əvəzinə hər iki mənzərə ilə, əvvəl və sonra, eskalasiya edin.
Reset kəsintini uzadanda
Təkrar clear-lar resetin düzəldə bilmədiyi nasazlıqları gizlədir: çatışmayan marşrut, yeni alt şəbəkəyə artıq uyğun gəlməyən seçici, bir tərəfdə dəyişdirilmiş əvvəlcədən paylaşılan açar və ya peer-in qəbul etməyəcəyi təklif üzərində təkrar uğursuz olan açar yenilənməsi. Hər clear həmin peer-in bütün seçicilərində sağlam trafiki kəsir, əsl səbəb isə toxunulmaz qalır. Beş dəqiqəlik araşdırma beləcə dəyişiklik pəncərəsinə çevrilir.
Məhdudlaşdırılmış reset yenə də faydalıdır. Faydalı versiya hədəflənmiş, qeydə alınmış və düzəltməli olduğu qatın yoxlanması ilə izlənən versiyadır.
İş sırası: peer-i, versiyanı, seçiciləri və sayğacları qeyd edin; nasazlığın hansı əhatə dairəsinə aid olduğunu təsdiqləyin; uyğun gələn ən dar clear-ı işlədin; assosiasiyaları və tətbiqi yoxlayın; qat bərpa olunub, simptom isə qalırsa, sübutlarla eskalasiya edin.