ASA-তে peer reset IPsec SA মুছে দেয়, IKE অবস্থা বা সেশন নয়
শুধু peer-কেন্দ্রিক একটি clear কেবল IPsec ডেটা পাথ ভাঙে। কী টিকে থাকে, কেন টানেল সেকেন্ডে আবার তৈরি হয় এবং বদলে কোন স্তর পরিষ্কার করবেন তা দেখুন।
একটি অ্যাপ্লিকেশনের জন্য টানেল নেমে যায়, কেউ peer-কেন্দ্রিক IPsec clear চালায়, আর কমান্ড গ্রহণ করা হয়েছে বলে টিকিট বন্ধ হয়ে যায়। সেই ধারাবাহিকতায় কোথাও দেখায় না যে ত্রুটি সারানো হয়েছে। ASA-তে reset শব্দটি তিনটি আলাদা পরিধি বোঝায়, আর peer-কেন্দ্রিক clear ঠিক একটিকে স্পর্শ করে, তাই অপারেটর আউটপুট পড়া শেষ করার আগেই একই টানেল প্রায়ই আবার উঠে যায়।
একটি শব্দের পিছনে তিনটি পরিধি
একটি IPsec SA জোড়া হলো ডেটা পাথ নিজেই, প্রতি দিকে একটি অ্যাসোসিয়েশন, সিকোয়েন্স নম্বর ও কাউন্টার সহ। IKE SA হলো সেই আলোচনা চ্যানেল যা ওই অ্যাসোসিয়েশনগুলো তৈরি করেছে এবং এখনো peer সম্পর্কটি একসাথে ধরে রেখেছে। VPN সেশন হলো সেশন ডেটাবেসে একটি ব্যবহারকারী, সাইট-থেকে-সাইট peer বা ক্লায়েন্টহীন সংযোগের রেকর্ড।
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
পরিধিগুলো যথেষ্ট স্বাধীন যে একটি পরিষ্কার করলে বাকিগুলো কাজ করতে থাকে, আর এই স্বাধীনতাই বেশিরভাগ বিভ্রান্তির জন্ম দেয়। IKE SA সুস্থ থাকা অবস্থায় IPsec SA পরিষ্কার করুন, ট্রাফিক সেকেন্ডের মধ্যে নতুন অ্যাসোসিয়েশন তৈরি করে, তাই টানেল নিজেই সেরে গেছে বলে মনে হয়। কিন্তু অন্তর্নিহিত প্রস্তাব-অমিল, রুটের ফাঁক বা প্রমাণীকরণের ব্যর্থতা তখনো আছে।
যদি ত্রুটি আলোচনায় থাকে, IPsec clear লক্ষণীয় কিছু বদলায় না।
অবস্থাটি এখনো থাকতেই পড়ে নিন
কিছু স্পর্শ করার আগে peer ঠিকানা, ব্যবহৃত IKE সংস্করণ, সুরক্ষিত নেটওয়ার্ক এবং দিকভিত্তিক কাউন্টার লিখে রাখুন। সমর্থিত ভিউ সংস্করণভেদে ভিন্ন, কিন্তু আকার স্থির: show crypto ipsec sa peer, show crypto ikev2 sa detailed বা IKEv1-এর সমতুল্য, এবং সেশন স্তরের জন্য show vpn-sessiondb।
সেই আউটপুটের পাশে টাইমস্ট্যাম্প এবং ব্যবহারকারীর দেখা সঠিক ত্রুটিটি লিখুন। একটি peer সাধারণত একাধিক সুরক্ষিত নেটওয়ার্ক বহন করে, তাই peer-কেন্দ্রিক clear-এর প্রভাব সেই peer-এর প্রতিটি সিলেক্টরে, টিকিটের একক অ্যাপ্লিকেশনে নয়। আগের ছবি ছাড়া রিসেট পরে নির্ণয় করা যায় না, কারণ clear ঠিক সেই কাউন্টারগুলোই মুছে দেয় যেগুলোর সাথে আপনি তুলনা করতেন।
আগে প্রমাণ সংগ্রহ করুন। clear তা মুছে দেয়, আর পরে নেওয়া স্ক্রিনশট আপনাকে বলে কী আবার তৈরি হয়েছে, কী ভাঙা ছিল তা নয়।
peer-কেন্দ্রিক clear আসলে কী করে
Cisco-র clear কমান্ডের রেফারেন্স peer-কেন্দ্রিক IPsec রূপটি নথিভুক্ত করে। ডকুমেন্টেশন ঠিকানা বসিয়ে দিলে তা এমন দেখায়:
clear crypto ipsec sa peer 198.51.100.42সেই কমান্ড peer-এর সাথে মেলা IPsec অ্যাসোসিয়েশনগুলো ভেঙে দেয়। এটি IKE SA সরায় না, কনফিগারেশন মোছে না, এবং সেশন ডেটাবেস রিসেট করে না। এমন কোনো ম্যানেজমেন্ট পথ থেকে এটি চালান যা আপনি যে টানেল বদলাচ্ছেন তার উপর নির্ভর করে না, কারণ সেই টানেলের ভেতর দিয়ে যাওয়া SSH সেশন তার সাথে মরে যাবে এবং নিজে থেকে ফিরে নাও আসতে পারে। ডিভাইসের বাকি সবকিছু চলতে থাকে, আর ঠিক তাই কমান্ডটি নিরীহ মনে হয়।
লক্ষ্য খোঁজা অনিশ্চিত হলে শর্তহীন clear-এ ফিরে যাবেন না। বিস্তৃত রূপটি ডিভাইসের প্রতিটি peer-এ পৌঁছায়, আর আপনি যে বিভ্রাট তৈরি করবেন তা যেটির জন্য ডাকা হয়েছিল তার চেয়ে বড় হবে।
আপনি যে স্তরটি ঠিক করতে চেয়েছিলেন তা যাচাই করুন
clear-এর পরে peer তালিকা আবার ভরে উঠেছে বলে রিসেট কাজ করেছে ধরে নেওয়ার বদলে নিশ্চিত করুন যে অ্যাসোসিয়েশনগুলো নতুন কাউন্টার নিয়ে ফিরেছে। তারপর টিকিটে নামানো অ্যাপ্লিকেশনটি পরীক্ষা করুন, কারণ সফল ping কোনো পরিষেবা অনুমতি বা মেয়াদোত্তীর্ণ সেশন সম্পর্কে কিছুই বলে না।
অ্যাসোসিয়েশন আবার তৈরি হয় আর অ্যাপ্লিকেশন এখনো ব্যর্থ হলে বাকি প্রার্থীরা হলো IKE স্তর ও সেশন স্তর। যেটির অবস্থা আপনি এখনো দেখতে পারেন সেটি বাছুন। যে সংস্করণ সত্যিই চলছে তার জন্য লক্ষ্যভিত্তিক অপারেশন ব্যবহার করুন — তা IKEv2 clear, IKEv1 clear বা সঠিক সেশন ধরনে সীমিত সেশন ডেটাবেস clear হোক। পুনর্নির্মাণ জোর করতে স্থায়ী crypto-map কনফিগারেশন মুছে আবার তৈরি করা লম্বা রোলব্যাকসহ অনুমান।
আবার পরিষ্কার করার বদলে আগের ও পরের দুই ছবি নিয়ে এস্কেলেট করুন।
যখন রিসেট বিভ্রাট দীর্ঘ করে
বারবার clear সেই ত্রুটিগুলো লুকায় যা রিসেট সারাতে পারে না: অনুপস্থিত রুট, নতুন সাবনেটের সাথে আর না মেলা সিলেক্টর, এক পাশে বদলে যাওয়া পূর্ব-শেয়ার করা কী, বা এমন প্রস্তাবে বারবার ব্যর্থ হওয়া কী পুনর্নবীকরণ যা peer গ্রহণ করবে না। প্রতিটি clear সেই peer-এর প্রতিটি সিলেক্টরে সুস্থ ট্রাফিক ব্যাহত করে, আর আসল কারণ অক্ষত থাকে। এভাবেই পাঁচ মিনিটের তদন্ত একটি পরিবর্তন উইন্ডোতে পরিণত হয়।
সীমিত রিসেট এখনো কাজে লাগে। কাজে লাগা রূপটি লক্ষ্যভিত্তিক, লিপিবদ্ধ এবং যে স্তর সারানোর কথা ছিল তার পরিদর্শনসহ।
কাজের ক্রম: peer, সংস্করণ, সিলেক্টর ও কাউন্টার লিখুন; ত্রুটি কোন পরিধির তা নিশ্চিত করুন; সবচেয়ে সংকীর্ণ মেলা clear চালান; অ্যাসোসিয়েশন ও অ্যাপ্লিকেশন যাচাই করুন; স্তর সেরে উঠলেও উপসর্গ না গেলে প্রমাণসহ এস্কেলেট করুন।