Reset peeru na ASA smaže IPsec SA, ne stav IKE ani relace
Jeden clear omezený na peer shodí jen datovou cestu IPsec. Podívejte se, co přežije, proč se tunel během sekund obnoví a kterou vrstvu místo toho vyčistit.
Tunel spadne pro jednu aplikaci, někdo spustí IPsec clear omezený na peer a tiket se zavře, protože příkaz byl přijat. Nic v této posloupnosti neukazuje, že závada byla opravena. Na ASA slovo reset pokrývá tři samostatné rozsahy a clear omezený na peer zasahuje přesně jeden z nich, a proto je stejný tunel často zpět nahoru dřív, než operátor dočte výstup.
Za jedním slovem se skrývají tři rozsahy
Dvojice IPsec SA je sama datová cesta, jedna asociace na směr, s pořadovými čísly a počítadly. IKE SA je vyjednávací kanál, který tyto asociace vytvořil a který stále drží vztah s peerem pohromadě. Relace VPN je záznam v databázi relací pro uživatele, peer typu lokalita-lokalita nebo připojení bez klienta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Rozsahy jsou dost nezávislé na to, aby vyčištění jednoho nechalo ostatní fungovat, a tato nezávislost plodí většinu zmatku. Vyčistěte IPsec SA, dokud je IKE SA zdravá, a provoz během sekund vyvolá nové asociace, takže tunel vypadá, jako by se sám vyléčil. Nesoulad návrhu, mezera v trase nebo selhání autentizace tam ale pořád jsou.
Pokud závada spočívá ve vyjednávání, IPsec clear nemění nic pozorovatelného.
Přečtěte stav, dokud ještě existuje
Zapište adresu peeru, používanou verzi IKE, chráněné sítě a směrová počítadla, než se čehokoli dotknete. Podporované pohledy se liší podle verze, ale tvary jsou stabilní: show crypto ipsec sa peer, show crypto ikev2 sa detailed nebo ekvivalent pro IKEv1, a show vpn-sessiondb pro vrstvu relací.
Vedle toho výstupu napište časové razítko a přesnou závadu viditelnou pro uživatele. Jeden peer obvykle nese několik chráněných sítí, takže dopad cleara omezeného na peer je každý selektor na tomto peeru, ne jediná aplikace z tiketu. Reset bez snímku před nelze dodatečně diagnostikovat, protože clear maže právě ta počítadla, se kterými byste porovnávali.
Nejprve zachyťte důkazy. Clear je odstraní a snímek obrazovky pořízený potom vám řekne, co se obnovilo, ne co bylo rozbité.
Co clear omezený na peer skutečně dělá
Cisco ve přehledu příkazů clear dokumentuje podobu IPsec omezenou na peer. S dosazenou dokumentační adresou to vypadá takto:
clear crypto ipsec sa peer 198.51.100.42Tento příkaz shodí asociace IPsec odpovídající peeru. Neodstraňuje IKE SA, nemaže konfiguraci a neresetuje databázi relací. Spouštějte jej z řídicí cesty, která nezávisí na tunelu, který měníte, protože SSH relace vedená tímto tunelem s ním zemře a nemusí se sama vrátit. Vše ostatní na zařízení běží dál, a právě proto příkaz působí neškodně.
Když je hledání cíle nejisté, neuchylujte se k neomezenému clearu. Širší podoba zasáhne každý peer na zařízení a výpadek, který vytvoříte, bude větší než ten, kvůli kterému vás volali.
Ověřte vrstvu, kterou jste chtěli opravit
Po clearu potvrďte, že asociace se vrátily s novými počítadly, místo abyste předpokládali, že reset zabral, protože se seznam peerů znovu naplnil. Potom otestujte aplikaci uvedenou v tiketu, protože úspěšný ping nic neříká o oprávnění služby nebo propadlé relaci.
Jestliže se asociace obnoví a aplikace stále selhává, zbývajícími kandidáty jsou vrstva IKE a vrstva relací. Vyberte tu, jejíž stav ještě můžete prohlédnout. Použijte cílenou operaci pro verzi, která skutečně běží, ať už je to clear pro IKEv2, clear pro IKEv1, nebo clear databáze relací omezený na správný typ relace. Mazat a znovu vytvářet trvalou konfiguraci crypto-map, abyste vynutili obnovu, je hádání s delším návratem.
Eskalujte s oběma snímky, před i po, místo abyste znovu čistili.
Když reset výpadek prodlouží
Opakované cleary skrývají závady, které reset opravit nedokáže: chybějící trasa, selektor, který už neodpovídá nové podsíti, předsdílený klíč změněný na jedné straně nebo obnova klíče, která opakovaně selhává na návrhu, jejž peer nepřijme. Každý clear přeruší zdravý provoz na každém selektoru tohoto peeru, zatímco skutečná příčina zůstává nedotčená. Tak se z pětiminutového šetření stane změnové okno.
Omezený reset je stále užitečný. Užitečná verze je cílená, zaznamenaná a následovaná prohlídkou vrstvy, kterou měla opravit.
Pořadí práce: zapište peer, verzi, selektory a počítadla; potvrďte, ke kterému rozsahu závada patří; spusťte nejužší odpovídající clear; ověřte asociace a aplikaci; eskalujte s důkazy, pokud se vrstva zotaví, ale symptom nezmizí.