Το peer reset στο ASA διαγράφει τα IPsec SA, όχι την κατάσταση IKE ή τις συνεδρίες
Ένα clear περιορισμένο στο peer γκρεμίζει μόνο τη διαδρομή δεδομένων του IPsec. Δείτε τι επιβιώνει, γιατί η σήραγγα ξαναχτίζεται σε δευτερόλεπτα και ποιο στρώμα να καθαρίσετε αντ' αυτού.
Η σήραγγα πέφτει για μία μόνο εφαρμογή, κάποιος εκτελεί ένα IPsec clear περιορισμένο στο peer και το ticket κλείνει επειδή η εντολή έγινε δεκτή. Τίποτα σε αυτή την ακολουθία δεν δείχνει ότι η βλάβη αποκαταστάθηκε. Σε ένα ASA η λέξη reset καλύπτει τρεις ξεχωριστούς τομείς και το clear που περιορίζεται στο peer αγγίζει ακριβώς έναν από αυτούς, γι' αυτό η ίδια σήραγγα συχνά είναι ξανά επάνω πριν ο χειριστής τελειώσει την ανάγνωση της εξόδου.
Τρεις τομείς κρύβονται πίσω από μία λέξη
Ένα ζεύγος IPsec SA είναι η ίδια η διαδρομή δεδομένων, μία συσχέτιση ανά κατεύθυνση, με αύξοντες αριθμούς και μετρητές. Ένα IKE SA είναι το κανάλι διαπραγμάτευσης που παρήγαγε αυτές τις συσχετίσεις και κρατά ακόμη τη σχέση με το peer. Μια συνεδρία VPN είναι η εγγραφή στη βάση δεδομένων συνεδριών για έναν χρήστη, ένα peer από τοποθεσία σε τοποθεσία ή μια σύνδεση χωρίς πελάτη.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Οι τομείς είναι αρκετά ανεξάρτητοι ώστε ο καθαρισμός του ενός να αφήνει τους άλλους να λειτουργούν, και αυτή η ανεξαρτησία παράγει το μεγαλύτερο μέρος της σύγχυσης. Καθαρίστε τα IPsec SA ενώ το IKE SA είναι υγιές και η κίνηση προκαλεί νέες συσχετίσεις μέσα σε δευτερόλεπτα, οπότε η σήραγγα φαίνεται να έχει γιατρευτεί μόνη της. Η υποκείμενη αναντιστοιχία πρότασης, το κενό διαδρομής ή η αποτυχία ελέγχου ταυτότητας εξακολουθούν να υπάρχουν.
Αν η βλάβη βρίσκεται στη διαπραγμάτευση, ένα IPsec clear δεν αλλάζει τίποτα παρατηρήσιμο.
Διαβάστε την κατάσταση όσο υπάρχει ακόμη
Καταγράψτε τη διεύθυνση του peer, την έκδοση IKE που χρησιμοποιείται, τα προστατευμένα δίκτυα και τους μετρητές ανά κατεύθυνση πριν αγγίξετε οτιδήποτε. Οι υποστηριζόμενες προβολές διαφέρουν ανά έκδοση, αλλά οι μορφές είναι σταθερές: show crypto ipsec sa peer, show crypto ikev2 sa detailed ή το αντίστοιχο για IKEv1, και show vpn-sessiondb για το στρώμα συνεδριών.
Γράψτε τη χρονική σήμανση και την ακριβή βλάβη που βλέπει ο χρήστης δίπλα σε αυτή την έξοδο. Ένα peer συνήθως μεταφέρει πολλά προστατευμένα δίκτυα, άρα η ακτίνα ενός clear περιορισμένου στο peer είναι κάθε επιλογέας σε αυτό το peer, όχι η μία εφαρμογή του ticket. Ένα reset χωρίς εικόνα πριν δεν μπορεί να διαγνωστεί εκ των υστέρων, γιατί το clear διαγράφει ακριβώς τους μετρητές με τους οποίους θα συγκρίνατε.
Συλλέξτε πρώτα τα στοιχεία. Το clear τα αφαιρεί και ένα στιγμιότυπο που λαμβάνεται μετά σάς λέει τι ξαναχτίστηκε, όχι τι ήταν χαλασμένο.
Τι κάνει στην πραγματικότητα το clear περιορισμένο στο peer
Η αναφορά εντολών clear της Cisco τεκμηριώνει τη μορφή IPsec που περιορίζεται στο peer. Με αντικατεστημένη διεύθυνση τεκμηρίωσης, μοιάζει έτσι:
clear crypto ipsec sa peer 198.51.100.42Αυτή η εντολή γκρεμίζει τις συσχετίσεις IPsec που ταιριάζουν με το peer. Δεν αφαιρεί το IKE SA, δεν διαγράφει διαμόρφωση και δεν επαναφέρει τη βάση δεδομένων συνεδριών. Εκτελέστε την από διαδρομή διαχείρισης που δεν εξαρτάται από τη σήραγγα που αλλάζετε, γιατί μια συνεδρία SSH που μεταφέρεται μέσα σε αυτή τη σήραγγα θα πεθάνει μαζί της και μπορεί να μην επιστρέψει μόνη της. Όλα τα άλλα στη συσκευή συνεχίζουν να λειτουργούν, και γι' αυτό ακριβώς η εντολή μοιάζει ακίνδυνη.
Όταν η αναζήτηση στόχου είναι αβέβαιη, μην καταφεύγετε σε clear χωρίς περιορισμό. Η ευρύτερη μορφή φτάνει σε κάθε peer της συσκευής και η διακοπή που θα δημιουργήσετε θα είναι μεγαλύτερη από αυτή για την οποία σας κάλεσαν.
Επαληθεύστε το στρώμα που θέλατε να διορθώσετε
Μετά το clear, επιβεβαιώστε ότι οι συσχετίσεις επέστρεψαν με νέους μετρητές αντί να υποθέσετε ότι το reset δούλεψε επειδή η λίστα peer ξαναγέμισε. Έπειτα δοκιμάστε την εφαρμογή που ανέφερε το ticket, γιατί ένα επιτυχές ping δεν λέει τίποτα για άδεια υπηρεσίας ή ληγμένη συνεδρία.
Αν οι συσχετίσεις ξαναχτιστούν και η εφαρμογή εξακολουθεί να αποτυγχάνει, οι εναπομείναντες υποψήφιοι είναι το στρώμα IKE και το στρώμα συνεδριών. Διαλέξτε εκείνο του οποίου την κατάσταση μπορείτε ακόμη να επιθεωρήσετε. Χρησιμοποιήστε τη στοχευμένη λειτουργία για την έκδοση που εκτελείται πραγματικά, είτε είναι clear IKEv2, clear IKEv1 είτε clear της βάσης δεδομένων συνεδριών περιορισμένο στον σωστό τύπο συνεδρίας. Το να διαγράψετε και να ξαναδημιουργήσετε μόνιμη διαμόρφωση crypto-map για να επιβάλετε αναδόμηση είναι εικασία με μεγαλύτερη επιστροφή.
Κλιμακώστε με τις δύο εικόνες, πριν και μετά, αντί να καθαρίσετε ξανά.
Όταν το reset επιμηκύνει τη διακοπή
Τα επαναλαμβανόμενα clear κρύβουν τις βλάβες που ένα reset δεν μπορεί να διορθώσει: μια διαδρομή που λείπει, ένας επιλογέας που δεν ταιριάζει πια στο νέο υποδίκτυο, ένα προ-κοινόχρηστο κλειδί που άλλαξε στη μία πλευρά ή μια ανανέωση κλειδιού που αποτυγχάνει επανειλημμένα σε μια πρόταση που το peer δεν θα δεχτεί. Κάθε clear διακόπτει υγιή κίνηση σε κάθε επιλογέα αυτού του peer, ενώ η πραγματική αιτία μένει ανέγγιχτη. Έτσι μια έρευνα πέντε λεπτών γίνεται παράθυρο αλλαγών.
Ένα περιορισμένο reset παραμένει χρήσιμο. Η χρήσιμη εκδοχή είναι στοχευμένη, καταγεγραμμένη και ακολουθείται από επιθεώρηση του στρώματος που υποτίθεται ότι θα επισκεύαζε.
Σειρά εργασίας: καταγράψτε peer, έκδοση, επιλογείς και μετρητές· επιβεβαιώστε σε ποιον τομέα ανήκει η βλάβη· εκτελέστε το στενότερο ταιριαστό clear· επαληθεύστε συσχετίσεις και εφαρμογή· κλιμακώστε με στοιχεία αν το στρώμα ανακάμψει αλλά το σύμπτωμα παραμείνει.