El reset de parell a l’ASA esborra les SA d’IPsec, no l’estat d’IKE ni les sessions
Un clear limitat al parell només enderroca el camí de dades d’IPsec. Mireu què sobreviu, per què el túnel es reconstrueix en segons i quina capa cal netejar en lloc seu.
El túnel cau per a una sola aplicació, algú executa un clear d’IPsec limitat al parell i el tiquet es tanca perquè l’ordre s’ha acceptat. Res d’aquesta seqüència no demostra que la fallada s’hagi reparat. En un ASA la paraula reset cobreix tres àmbits separats, i el clear limitat al parell toca exactament un d’ells, i per això el mateix túnel sovint torna a estar en marxa abans que l’operador hagi acabat de llegir la sortida.
Tres àmbits s’amaguen darrere una paraula
Una parella de SA d’IPsec és el camí de dades mateix, una associació per sentit, amb números de seqüència i comptadors. Una SA d’IKE és el canal de negociació que va produir aquestes associacions i que encara manté la relació amb el parell. Una sessió VPN és el registre de la base de dades de sessions per a un usuari, un parell lloc a lloc o una connexió sense client.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Els àmbits són prou independents perquè netejar-ne un deixi els altres funcionant, i aquesta independència genera bona part de la confusió. Netegeu les SA d’IPsec mentre la SA d’IKE és sana i el trànsit provoca associacions noves en segons, així que el túnel sembla que s’hagi curat sol. Però el desajust de la proposta, el forat de ruta o la fallada d’autenticació continuen allà.
Si la fallada és a la negociació, un clear d’IPsec no canvia res que pugueu observar.
Llegiu l’estat mentre encara existeix
Anoteu l’adreça del parell, la versió d’IKE en ús, les xarxes protegides i els comptadors direccionals abans de tocar res. Les vistes admeses varien segons la versió, però les formes són estables: show crypto ipsec sa peer, show crypto ikev2 sa detailed o l’equivalent per a IKEv1, i show vpn-sessiondb per a la capa de sessions.
Escriviu la marca de temps i la fallada exacta que veu l’usuari al costat d’aquella sortida. Un parell sol portar diverses xarxes protegides, així que l’abast d’un clear limitat al parell és cada selector d’aquell parell, no l’única aplicació del tiquet. Un reset sense imatge prèvia no es pot diagnosticar després, perquè el clear esborra precisament els comptadors amb què hauríeu comparat.
Captureu primer les proves. El clear les elimina, i una captura feta després us diu què s’ha reconstruït, no què estava trencat.
Què fa realment el clear limitat al parell
La referència d’ordres clear de Cisco documenta la forma d’IPsec limitada al parell. Amb una adreça de documentació substituïda, queda així:
clear crypto ipsec sa peer 198.51.100.42Aquesta ordre enderroca les associacions d’IPsec que coincideixen amb el parell. No elimina la SA d’IKE, no esborra la configuració ni reinicia la base de dades de sessions. Executeu-la des d’un camí de gestió que no depengui del túnel que canvieu, perquè una sessió SSH portada dins d’aquell túnel morirà amb ell i potser no tornarà sola. La resta del dispositiu continua funcionant, i és justament per això que l’ordre sembla inofensiva.
Quan la cerca de l’objectiu és incerta, no caigueu en un clear sense qualificar. La forma més àmplia arriba a cada parell del dispositiu, i la caiguda que provoqueu serà més gran que la que us ha fet trucar.
Verifiqueu la capa que volíeu reparar
Després del clear, confirmeu que les associacions han tornat amb comptadors nous en lloc de suposar que el reset ha funcionat perquè la llista de parells s’ha tornat a omplir. Després proveu l’aplicació que el tiquet anomena, perquè un ping correcte no diu res sobre un permís de servei o una sessió caducada.
Si les associacions es reconstrueixen i l’aplicació continua fallant, els candidats que queden són la capa d’IKE i la capa de sessions. Trieu la que encara pugueu inspeccionar. Feu servir l’operació dirigida per a la versió que realment s’executa, tant si és un clear d’IKEv2, un clear d’IKEv1 com un clear de la base de dades de sessions limitat al tipus de sessió correcte. Esborrar i recrear la configuració persistent de crypto-map per forçar una reconstrucció és una conjectura amb una reversió més llarga.
Escaleu amb les dues imatges, abans i després, en lloc de netejar una altra vegada.
Quan el reset allarga la caiguda
Els clear repetits amaguen les fallades que un reset no pot arreglar: una ruta que falta, un selector que ja no coincideix amb la subxarxa nova, una clau prèviament compartida canviada en un costat o una renovació de clau que falla una vegada i una altra en una proposta que el parell no acceptarà. Cada clear interromp trànsit sa a cada selector d’aquell parell mentre la causa real queda intacta. Així és com una investigació de cinc minuts es converteix en una finestra de canvi.
Un reset acotat encara és útil. La versió útil és dirigida, enregistrada i seguida d’una inspecció de la capa que havia de reparar.
Ordre de treball: captureu parell, versió, selectors i comptadors; confirmeu a quin àmbit pertany la fallada; executeu el clear més estret que encaixi; verifiqueu les associacions i l’aplicació; escaleu amb proves si la capa es recupera però el símptoma no.