Нулирането на peer в ASA изчиства IPsec SA, но не състоянието на IKE или сесиите
Едно clear, ограничено до peer, разрушава само пътя за данни на IPsec. Вижте какво оцелява, защо тунелът се възстановява за секунди и кой слой да изчистите вместо това.
Тунелът пада за едно приложение, някой изпълнява IPsec clear, ограничен до peer, и тикетът се затваря, защото командата е приета. Нищо в тази последователност не показва, че повредата е отстранена. На ASA думата reset покрива три отделни обхвата и clear-ът, ограничен до peer, докосва точно един от тях — затова същият тунел често е отново вдигнат, преди операторът да е дочел изхода.
Три обхвата се крият зад една дума
Двойката IPsec SA е самият път за данни, по една асоциация за посока, с поредни номера и броячи. IKE SA е каналът за договаряне, който е създал тези асоциации и все още държи връзката с peer заедно. VPN сесията е записът в базата данни за сесии за потребител, peer сайт-до-сайт или връзка без клиент.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Обхватите са достатъчно независими, че изчистването на един оставя другите работещи, и тази независимост поражда повечето объркване. Изчистете IPsec SA, докато IKE SA е здрав, и трафикът предизвиква нови асоциации за секунди, така че тунелът изглежда се е излекувал сам. Несъответствието в предложението, липсващият маршрут или провалът на удостоверяване обаче си остават.
Ако повредата е в договарянето, IPsec clear не променя нищо наблюдаемо.
Прочетете състоянието, докато още съществува
Запишете адреса на peer, използваната версия на IKE, защитените мрежи и броячите по посоки, преди да пипнете каквото и да е. Поддържаните изгледи се различават според версията, но формите са стабилни: show crypto ipsec sa peer, show crypto ikev2 sa detailed или еквивалентът за IKEv1, и show vpn-sessiondb за слоя на сесиите.
Запишете до този изход времевата марка и точната видима за потребителя повреда. Един peer обикновено носи няколко защитени мрежи, така че радиусът на clear, ограничен до peer, е всеки селектор на този peer, а не единственото приложение в тикета. Нулиране без снимка преди не може да бъде диагностицирано после, защото clear-ът изтрива точно броячите, с които бихте сравнили.
Първо съберете доказателствата. Clear-ът ги премахва, а направена след това снимка на екрана ви казва какво се е възстановило, не какво е било счупено.
Какво всъщност прави clear-ът, ограничен до peer
Справочникът на clear командите на Cisco документира формата на IPsec, ограничена до peer. С подменен документационен адрес изглежда така:
clear crypto ipsec sa peer 198.51.100.42Тази команда разрушава IPsec асоциациите, съответстващи на peer. Тя не премахва IKE SA, не изтрива конфигурация и не нулира базата данни за сесии. Изпълнете я от път за управление, който не зависи от тунела, който променяте, защото SSH сесия, пренасяна в този тунел, ще загине с него и може да не се върне сама. Всичко останало на устройството продължава да работи — точно затова командата изглежда безобидна.
Когато търсенето на целта е несигурно, не прибягвайте до clear без уточнение. По-широката форма стига до всеки peer на устройството и прекъсването, което ще създадете, ще е по-голямо от това, за което са ви повикали.
Проверете слоя, който сте имали намерение да поправите
След clear-а потвърдете, че асоциациите са се върнали с нови броячи, вместо да предполагате, че нулирането е проработило, защото списъкът с peer-и се е напълнил отново. После тествайте приложението, посочено в тикета, защото успешен ping не казва нищо за разрешение за услуга или изтекла сесия.
Ако асоциациите се възстановят, а приложението продължава да се проваля, останалите кандидати са слоят IKE и слоят на сесиите. Изберете този, чието състояние още можете да прегледате. Използвайте целенасочената операция за действително работещата версия — дали е clear за IKEv2, clear за IKEv1 или clear на базата данни за сесии, ограничен до правилния тип сесия. Изтриването и пресъздаването на постоянна crypto-map конфигурация, за да се наложи възстановяване, е догадка с по-дълго връщане назад.
Ескалирайте с двете снимки, преди и след, вместо да изчиствате отново.
Когато нулирането удължава прекъсването
Повтарящите се clear-ове скриват повредите, които нулирането не може да поправи: липсващ маршрут, селектор, който вече не съответства на новата подмрежа, предварително споделен ключ, сменен от едната страна, или подновяване на ключ, което се проваля постоянно на предложение, което peer-ът няма да приеме. Всеки clear прекъсва здрав трафик на всеки селектор на този peer, докато истинската причина остава недокосната. Така петминутно разследване се превръща в прозорец за промяна.
Ограниченото нулиране все още е полезно. Полезната версия е целенасочена, записана и последвана от проверка на слоя, който е трябвало да поправи.
Ред на работа: запишете peer, версия, селектори и броячи; потвърдете към кой обхват принадлежи повредата; изпълнете най-тесния съответстващ clear; проверете асоциациите и приложението; ескалирайте с доказателства, ако слоят се възстанови, но симптомът не изчезне.