Mae reset peer ar ASA yn dileu SA IPsec, nid cyflwr IKE na sesiynau
Dim ond y llwybr data IPsec y mae un clear wedi'i gyfyngu i'r peer yn ei chwalu. Gwelwch beth sy'n goroesi, pam mae'r twnnel yn ailadeiladu mewn eiliadau, a pha haen i'w glirio yn lle hynny.
Mae'r twnnel yn cwympo ar gyfer un cymhwysiad, mae rhywun yn rhedeg clear IPsec wedi'i gyfyngu i'r peer, ac mae'r tocyn yn cael ei gau oherwydd bod y gorchymyn wedi'i dderbyn. Nid oes dim yn y dilyniant hwnnw'n dangos bod y diffyg wedi'i drwsio. Ar ASA mae'r gair reset yn cwmpasu tri chwmpas ar wahân, ac mae'r clear sydd wedi'i gyfyngu i'r peer yn cyffwrdd yn union un ohonynt, a dyna pam mae'r un twnnel yn aml yn ôl i fyny cyn i'r gweithredwr orffen darllen yr allbwn.
Mae tri chwmpas yn cuddio y tu ôl i un gair
Pâr o SA IPsec yw'r llwybr data ei hun, un gymdeithas fesul cyfeiriad, gyda rhifau dilyniant a chyfrifwyr. Sianel negodi yw SA IKE a gynhyrchodd y cymdeithasau hynny ac sy'n dal y berthynas â'r peer at ei gilydd o hyd. Cofnod yn y gronfa ddata sesiynau yw sesiwn VPN ar gyfer defnyddiwr, peer safle-i-safle neu gysylltiad heb gleient.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Mae'r cwmpasau'n ddigon annibynnol fel bod glirio un yn gadael y lleill yn gweithio, ac mae'r annibyniaeth honno'n creu'r rhan fwyaf o'r dryswch. Gliriwch y SA IPsec tra bo'r SA IKE yn iach, ac mae'r traffig yn sbarduno cymdeithasau newydd o fewn eiliadau, felly mae'n ymddangos bod y twnnel wedi gwella'i hun. Ond mae'r anghysondeb cynnig, y bwlch llwybr neu'r methiant dilysu yn dal yno.
Os yw'r diffyg yn y negodi, nid yw clear IPsec yn newid dim y gallwch ei arsylwi.
Darllenwch y cyflwr cyn iddo ddiflannu
Cofnodwch gyfeiriad y peer, y fersiwn IKE sy'n cael ei defnyddio, y rhwydweithiau gwarchodedig a'r cyfrifwyr cyfeiriadol cyn cyffwrdd â dim. Mae'r golygfeydd a gefnogir yn amrywio yn ôl rhyddhau, ond mae'r siapiau'n sefydlog: show crypto ipsec sa peer, show crypto ikev2 sa detailed neu'r cyfwerth ar gyfer IKEv1, a show vpn-sessiondb ar gyfer haen y sesiynau.
Ysgrifennwch y stamp amser a'r diffyg union y mae'r defnyddiwr yn ei weld wrth ymyl yr allbwn hwnnw. Mae un peer fel arfer yn cario sawl rhwydwaith gwarchodedig, felly radiws y clear sydd wedi'i gyfyngu i'r peer yw pob detholwr ar y peer hwnnw, nid yr un cymhwysiad yn y tocyn. Ni ellir dadansoddi reset heb lun o'r blaen ar ôl hynny, oherwydd mae'r clear yn dileu'r union gyfrifwyr y byddech wedi cymharu â nhw.
Casglwch y dystiolaeth yn gyntaf. Mae'r clear yn ei dileu, ac mae sgrinlun a dynnir wedyn yn dweud wrthych beth a aildroed, nid beth oedd wedi torri.
Beth mae'r clear wedi'i gyfyngu i'r peer yn ei wneud mewn gwirionedd
Mae cyfeirlyfr gorchmynion clear Cisco yn dogfennu'r ffurf IPsec wedi'i chyfyngu i'r peer. Gyda chyfeiriad dogfennu wedi'i amnewid, mae'n edrych fel hyn:
clear crypto ipsec sa peer 198.51.100.42Mae'r gorchymyn hwnnw'n chwalu'r cymdeithasau IPsec sy'n cyfateb i'r peer. Nid yw'n tynnu'r SA IKE, nid yw'n dileu cyfluniad, ac nid yw'n ailosod y gronfa ddata sesiynau. Rhedwch ef o lwybr rheoli nad yw'n dibynnu ar y twnnel rydych yn ei newid, oherwydd bydd sesiwn SSH a gludir y tu mewn i'r twnnel hwnnw'n marw gydag ef ac efallai na ddaw'n ôl ar ei phen ei hun. Mae popeth arall ar y ddyfais yn parhau i redeg, a dyna'n union pam mae'r gorchymyn yn teimlo'n ddiniwed.
Pan fo chwilio am y targed yn ansicr, peidiwch â disgyn yn ôl i clear digymhwyster. Mae'r ffurf ehangach yn cyrraedd pob peer ar y ddyfais, a bydd y toriad a grëwch yn fwy na'r un y cawsoch eich galw amdano.
Gwiriwch yr haen roeddech am ei thrwsio
Ar ôl y clear, cadarnhewch fod y cymdeithasau wedi dod yn ôl gyda chyfrifwyr ffres yn hytrach na chymryd bod y reset wedi gweithio oherwydd bod y rhestr peer wedi ail-lenwi. Yna profwch y cymhwysiad a enwyd yn y tocyn, oherwydd nid yw ping llwyddiannus yn dweud dim am ganiatâd gwasanaeth na sesiwn sydd wedi dod i ben.
Os bydd'r cymdeithasau'n ailadeiladu ac mae'r cymhwysiad yn dal i fethu, yr ymgeiswyr sy'n weddill yw haen IKE a haen y sesiynau. Dewiswch yr un y gallwch weld ei chyflwr o hyd. Defnyddiwch y gweithrediad wedi'i dargedu ar gyfer y fersiwn sy'n rhedeg mewn gwirionedd, boed yn clear IKEv2, yn clear IKEv1 neu'n clear cronfa ddata sesiynau wedi'i gyfyngu i'r math cywir o sesiwn. Mae dileu ac ail-greu cyfluniad crypto-map parhaus i orfodi ailadeiladu yn ddyfalu gyda chyfnod adfer hirach.
Escaleiddiwch gyda'r ddau lun, cyn ac ar ôl, yn lle glirio eto.
Pan mae'r reset yn gwneud y toriad yn hirach
Mae clear dro ar ôl tro yn cuddio'r diffygion na all reset eu trwsio: llwybr ar goll, detholwr nad yw'n cyfateb i'r is-rwydwaith newydd mwyach, allwedd wedi'i rhannu ymlaen llaw wedi'i newid ar un ochr, neu ailallweddu sy'n methu'n barhaus ar gynnig na fydd y peer yn ei dderbyn. Mae pob clear yn torri traffig iach ar bob detholwr o'r peer hwnnw tra bo'r gwir achos yn parhau heb ei gyffwrdd. Dyna sut mae ymchwiliad pum munud yn troi'n ffenestr newid.
Mae reset cyfyngedig yn dal yn ddefnyddiol. Y fersiwn defnyddiol yw un wedi'i thargedu, wedi'i chofnodi ac wedi'i dilyn gan archwiliad o'r haen roedd i fod i'w thrwsio.
Trefn gwaith: cofnodwch peer, fersiwn, detholwyr a chyfrifwyr; cadarnhewch pa gwmpas y mae'r diffyg yn perthyn iddo; rhedwch y clear mwyaf cul sy'n cyfateb; gwiriwch y cymdeithasau a'r cymhwysiad; escaleiddiwch gyda thystiolaeth os yw'r haen yn gwella ond nad yw'r symptom yn diflannu.