Reset peera na ASA briše IPsec SA, ne stanje IKE-a ni sesije
Jedan clear ograničen na peera ruši samo IPsec put podataka. Pogledajte šta preživi, zašto se tunel obnovi u sekundama i koji sloj očistiti umjesto toga.
Tunel padne za jednu aplikaciju, neko pokrene IPsec clear ograničen na peera i tiket se zatvori jer je komanda prihvaćena. Ništa u tom nizu ne pokazuje da je kvar otklonjen. Na ASA riječ reset pokriva tri odvojena opsega, a clear ograničen na peera dotiče tačno jedan od njih, zato je isti tunel često ponovo podignut prije nego što operater pročita izlaz.
Tri opsega kriju se iza jedne riječi
Par IPsec SA je sam put podataka, po jedna asocijacija za svaki smjer, sa rednim brojevima i brojačima. IKE SA je kanal pregovaranja koji je stvorio te asocijacije i još drži odnos s peerom na okupu. VPN sesija je zapis u bazi sesija za korisnika, peera lokacija-na-lokaciju ili vezu bez klijenta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Opsezi su dovoljno neovisni da čišćenje jednog ostavlja ostale u radu, i ta neovisnost stvara većinu zabune. Očistite IPsec SA dok je IKE SA zdrav i promet u sekundama izazove nove asocijacije, pa tunel izgleda kao da se sam izliječio. No nesklad predloga, praznina u ruti ili neuspjeh autentifikacije i dalje su tu.
Ako je kvar u pregovaranju, IPsec clear ne mijenja ništa što možete primijetiti.
Pročitajte stanje dok još postoji
Zapišite adresu peera, verziju IKE-a koja se koristi, zaštićene mreže i smjerne brojače prije nego što bilo šta dotaknete. Podržani prikazi razlikuju se po izdanju, ali oblici su stabilni: show crypto ipsec sa peer, show crypto ikev2 sa detailed ili ekvivalent za IKEv1, i show vpn-sessiondb za sloj sesija.
Uz taj izlaz zapišite vremensku oznaku i tačan kvar koji korisnik vidi. Jedan peer obično nosi nekoliko zaštićenih mreža, pa je domet cleara ograničenog na peera svaki selektor na tom peeru, a ne jedna aplikacija iz tiketa. Reset bez slike prije ne može se poslije dijagnosticirati, jer clear briše upravo brojače s kojima biste uporedili.
Prvo zabilježite dokaze. Clear ih uklanja, a snimka ekrana uzeta poslije govori šta se obnovilo, a ne šta je bilo pokvareno.
Šta clear ograničen na peera zapravo radi
Ciscov pregled clear komandi dokumentuje IPsec oblik ograničen na peera. S zamijenjenom dokumentacijskom adresom to izgleda ovako:
clear crypto ipsec sa peer 198.51.100.42Ta komanda ruši IPsec asocijacije koje odgovaraju peeru. Ne uklanja IKE SA, ne briše konfiguraciju i ne resetuje bazu sesija. Pokrenite je s upravljačkog puta koji ne zavisi od tunela koji mijenjate, jer SSH sesija prenesena tim tunelom umrijet će s njim i možda se neće sama vratiti. Sve ostalo na uređaju nastavlja raditi, i upravo zato komanda djeluje bezazleno.
Kad je pronalaženje cilja nesigurno, ne vraćajte se na clear bez kvalifikacije. Širi oblik doseže svaki peer na uređaju, a prekid koji napravite bit će veći od onog zbog kojeg su vas pozvali.
Provjerite sloj koji ste namjeravali popraviti
Poslije cleara potvrdite da su se asocijacije vratile sa svježim brojačima, umjesto da pretpostavite da je reset uspio jer se lista peera ponovo napunila. Zatim testirajte aplikaciju koju tiket navodi, jer uspješan ping ne govori ništa o dozvoli za uslugu ili istekoj sesiji.
Ako se asocijacije obnove, a aplikacija i dalje pada, preostali kandidati su IKE sloj i sloj sesija. Odaberite onaj čije stanje još možete pregledati. Koristite ciljanu operaciju za verziju koja stvarno radi, bilo da je to clear za IKEv2, clear za IKEv1 ili clear baze sesija ograničen na pravi tip sesije. Brisanje i ponovno stvaranje trajne crypto-map konfiguracije da bi se prisilila obnova je nagađanje s dužim vraćanjem.
Eskalirajte s obje slike, prije i poslije, umjesto da čistite ponovo.
Kad reset produži prekid
Ponovljeni clearovi skrivaju kvarove koje reset ne može popraviti: ruta koja nedostaje, selektor koji više ne odgovara novoj podmreži, unaprijed dijeljeni ključ promijenjen na jednoj strani ili obnova ključa koja stalno pada na predlogu koji peer neće prihvatiti. Svaki clear prekida zdrav promet na svakom selektoru tog peera dok stvarni uzrok ostaje netaknut. Tako se petominutna istraga pretvori u prozor za promjene.
Ograničeni reset je i dalje koristan. Korisna verzija je ciljana, zabilježena i praćena pregledom sloja koji je trebalo popraviti.
Redoslijed rada: zabilježite peer, verziju, selektore i brojače; potvrdite kojem opsegu kvar pripada; pokrenite najuži odgovarajući clear; provjerite asocijacije i aplikaciju; eskalirajte s dokazima ako se sloj oporavi, ali simptom ne nestane.