Скід peer на ASA ачышчае IPsec SA, але не стан IKE ці сесіі
Адзін clear, абмежаваны peer, разбурае толькі шлях даных IPsec. Паглядзіце, што застаецца, чаму тунель адбудоўваецца за секунды і які ўзровень чысціць замест гэтага.
Тунель падае для адной праграмы, нехта выконвае IPsec clear, абмежаваны peer, і тыкет закрываюць, бо каманда была прынята. Нішто ў гэтай паслядоўнасці не паказвае, што няспраўнасць ухілена. На ASA слова reset ахоплівае тры асобныя межы, і clear, абмежаваны peer, закранае роўна адну з іх — таму той жа тунель часта ўжо ўзняты, перш чым аператар дачытае вывад.
Тры межы хаваюцца за адным словам
Пара IPsec SA — гэта сам шлях даных, па адной асацыяцыі на кірунак, з парадкавымі нумарамі і лічыльнікамі. IKE SA — гэта канал перамоваў, які стварыў гэтыя асацыяцыі і ўсё яшчэ трымае адносіны з peer разам. Сесія VPN — гэта запіс у базе даных сесій для карыстальніка, peer сайт-да-сайта або злучэння без кліента.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Межы дастаткова незалежныя, каб ачыстка адной пакідала іншыя працуючымі, і гэтая незалежнасць спараджае большую частку блытаніны. Ачысціце IPsec SA, пакуль IKE SA здаровы, і трафік за секунды выкліча новыя асацыяцыі, таму тунель выглядае так, быццам сам вылечыўся. Але неадпаведнасць прапановы, прагал у маршруце або збой аўтэнтыфікацыі ўсё яшчэ там.
Калі няспраўнасць у перамовах, IPsec clear не змяняе нічога назіранага.
Чытайце стан, пакуль ён яшчэ існуе
Запішыце адрас peer, версію IKE, якая выкарыстоўваецца, абароненыя сеткі і лічыльнікі па кірунках, перш чым нешта чапаць. Падтрыманыя прадстаўленні залежаць ад выпуску, але формы стабільныя: show crypto ipsec sa peer, show crypto ikev2 sa detailed або эквівалент для IKEv1, і show vpn-sessiondb для ўзроўню сесій.
Запішыце побач з гэтым вывадам адзнаку часу і дакладную бачную карыстальніку няспраўнасць. Адзін peer звычайна нясе некалькі абароненых сетак, таму радыус дзеяння clear, абмежаванага peer, — гэта кожны селектар на гэтым peer, а не адзіная праграма з тыкета. Скід без здымка да нельга дыягнаставаць потым, бо clear выдаляе менавіта тыя лічыльнікі, з якімі вы б параўноўвалі.
Спачатку зафіксуйце доказы. Clear іх выдаляе, а здымак экрана, зроблены пасля, кажа пра тое, што адбудавалася, а не пра тое, што было зламана.
Што насамрэч робіць clear, абмежаваны peer
Даведнік па камандах clear ад Cisco апісвае форму IPsec, абмежаваную peer. З падмененым дакументацыйным адрасам гэта выглядае так:
clear crypto ipsec sa peer 198.51.100.42Гэтая каманда разбурае IPsec-асацыяцыі, што адпавядаюць peer. Яна не выдаляе IKE SA, не выдаляе канфігурацыю і не скідвае базу даных сесій. Выконвайце яе з шляху кіравання, які не залежыць ад тунеля, які вы змяняеце, бо SSH-сесія, што ідзе праз гэты тунель, загіне разам з ім і можа не вярнуцца сама. Усё астатняе на прыладзе працягвае працаваць — менавіта таму каманда выглядае бяскрыўднай.
Калі пошук мэты няпэўны, не пераходзьце да clear без удакладнення. Шырэйшая форма дасягае кожнага peer на прыладзе, і перапынак, які вы створыце, будзе большым за той, з-за якога вам патэлефанавалі.
Праверце ўзровень, які вы мелі намер выправіць
Пасля clear пацвердзіце, што асацыяцыі вярнуліся з новымі лічыльнікамі, замест таго каб меркаваць, што скід спрацаваў, бо спіс peer зноў запоўніўся. Затым праверце праграму, названую ў тыкеце, бо паспяховы ping нічога не кажа пра дазвол на паслугу ці пратэрмінаваную сесію.
Калі асацыяцыі адбудоўваюцца, а праграма ўсё яшчэ збіваецца, пакінутыя кандыдаты — узровень IKE і ўзровень сесій. Выберыце той, стан якога яшчэ можаце агледзець. Выкарыстайце мэтавую аперацыю для версіі, якая рэальна працуе: clear для IKEv2, clear для IKEv1 або clear базы даных сесій, абмежаваны правільным тыпам сесіі. Выдаленне і перастварэнне пастаяннай канфігурацыі crypto-map, каб прымусіць адбудову, — гэта здагадка з даўжэйшым адкотам.
Эскаліруйце з абодвума здымкамі, да і пасля, замест таго каб чысціць яшчэ раз.
Калі скід падаўжае перапынак
Паўторныя clear хаваюць няспраўнасці, якія скід не можа выправіць: адсутны маршрут, селектар, што больш не адпавядае новай падсетцы, папярэдне агучаны ключ, зменены з аднаго боку, або пераўтварэнне ключа, якое ўвесь час збіваецца на прапанове, якую peer не прыме. Кожны clear перарывае здаровы трафік на кожным селектары гэтага peer, пакуль сапраўдная прычына застаецца некранутай. Так пяціхвіліннае расследаванне ператвараецца ў акно змен.
Абмежаваны скід усё яшчэ карысны. Карысная версія — мэтавая, зафіксаваная і суправаджаная аглядам узроўню, які яна павінна была выправіць.
Парадак працы: запішыце peer, версію, селектары і лічыльнікі; пацвердзіце, да якой мяжы належыць няспраўнасць; выканайце самы вузкі адпаведны clear; праверце асацыяцыі і праграму; эскаліруйце з доказамі, калі ўзровень аднавіўся, але сімптом застаўся.