Peer-reset på en ASA sletter IPsec-SA'er, ikke IKE-tilstand eller sessioner
En enkelt peer-afgrænset clear river kun IPsec-datastien ned. Se hvad der overlever, hvorfor tunnelen genopbygges på sekunder, og hvilket lag du i stedet bør rydde.
Tunnelen falder for en enkelt applikation, nogen kører en peer-afgrænset IPsec-clear, og sagen lukkes, fordi kommandoen blev accepteret. Intet i den sekvens viser, at fejlen blev rettet. På en ASA dækker ordet reset tre adskilte områder, og den peer-afgrænsede clear rører præcis ét af dem, og derfor er den samme tunnel ofte oppe igen, før operatøren er færdig med at læse outputtet.
Tre områder skjuler sig bag ét ord
Et IPsec-SA-par er selve datastien, én association pr. retning, med sekvensnumre og tællere. En IKE-SA er den forhandlingskanal, der frembragte disse associationer og stadig holder peer-forholdet sammen. En VPN-session er posten i sessionsdatabasen for en bruger, en site-til-site-peer eller en klientløs forbindelse.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Områderne er uafhængige nok til, at rydning af ét lader de andre køre, og den uafhængighed skaber det meste af forvirringen. Ryd IPsec-SA'erne, mens IKE-SA'en er sund, og trafikken udløser friske associationer inden for sekunder, så tunnelen ser ud til at have helet sig selv. Den underliggende uoverensstemmelse i forslaget, hullet i ruten eller godkendelsesfejlen er der stadig.
Hvis fejlen ligger i forhandlingen, ændrer en IPsec-clear intet, du kan observere.
Læs tilstanden, mens den stadig findes
Notér peer-adressen, den anvendte IKE-version, de beskyttede netværk og retningstællerne, før du rører noget. De understøttede visninger varierer efter version, men formerne er stabile: show crypto ipsec sa peer, show crypto ikev2 sa detailed eller IKEv1-modstykket, og show vpn-sessiondb for sessionslaget.
Skriv tidsstemplet og den præcise brugersynlige fejl ved siden af det output. En peer bærer ofte flere beskyttede netværk, så slagradiusen for en peer-afgrænset clear er hver selector på den peer, ikke den enkelte applikation i sagen. En reset uden et før-billede kan ikke diagnosticeres bagefter, fordi clearen sletter netop de tællere, du ville have sammenlignet med.
Indsaml beviserne først. Clearen fjerner dem, og et skærmbillede taget bagefter fortæller, hvad der blev genopbygget, ikke hvad der var i stykker.
Hvad den peer-afgrænsede clear faktisk gør
Ciscos reference for clear-kommandoer dokumenterer den peer-afgrænsede IPsec-form. Med en dokumentationsadresse indsat ser den sådan ud:
clear crypto ipsec sa peer 198.51.100.42Kommandoen river de IPsec-associationer ned, der matcher peeren. Den fjerner ikke IKE-SA'en, sletter ikke konfiguration og nulstiller ikke sessionsdatabasen. Kør den fra en administrationsvej, der ikke afhænger af den tunnel, du ændrer, fordi en SSH-session båret inde i tunnelen dør med den og kommer måske ikke tilbage af sig selv. Alt andet på enheden kører videre, og det er netop derfor, kommandoen føles uskadelig.
Når målsøgningen er usikker, fald ikke tilbage til en ukvalificeret clear. Den bredere form rammer hver peer på enheden, og det udfald, du skaber, bliver større end det, du blev kaldt ud for.
Verificér det lag, du ville rette
Bekræft efter clearen, at associationerne kom tilbage med friske tællere, i stedet for at antage, at reset virkede, fordi peer-listen blev fyldt igen. Test derefter den applikation, sagen nævnte, fordi en vellykket ping intet siger om en tjenestetilladelse eller en udløbet session.
Hvis associationerne genopbygges, og applikationen stadig fejler, er de resterende kandidater IKE-laget og sessionslaget. Vælg det, hvis tilstand du stadig kan inspicere. Brug den målrettede operation til den version, der faktisk kører, hvad enten det er en IKEv2-clear, en IKEv1-clear eller en sessionsdatabase-clear afgrænset til den rigtige sessionstype. At slette og genskabe vedvarende crypto-map-konfiguration for at tvinge en genopbygning er gætværk med en længere tilbagerulning.
Eskalér med begge billeder, før og efter, i stedet for at rydde igen.
Når resettet gør udfaldet længere
Gentagne clears skjuler de fejl, et reset ikke kan rette: en manglende rute, en selector der ikke længere matcher det nye subnet, en prædelt nøgle ændret på den ene side, eller en nøglefornyelse, der bliver ved med at fejle på et forslag, peeren ikke vil acceptere. Hver clear afbryder sund trafik på hver selector på den peer, mens den egentlige årsag forbliver urørt. Sådan bliver en fem minutters undersøgelse til et ændringsvindue.
Et afgrænset reset er stadig nyttigt. Den nyttige version er målrettet, dokumenteret og efterfulgt af en inspektion af det lag, den skulle reparere.
Arbejdsrækkefølge: notér peer, version, selectors og tællere; bekræft hvilket område fejlen hører til; kør den snævrest mulige clear; verificér associationer og applikation; eskalér med beviser, hvis laget kommer sig, men symptomet ikke forsvinder.