Peer-reseto sur ASA forigas IPsec SA, ne la IKE-staton aŭ sesiojn
Unu clear limigita al la peer nur faligas la IPsec-datvojon. Vidu, kio postvivas, kial la tunelo rekonstruiĝas en sekundoj kaj kiun tavolon anstataŭe purigi.
La tunelo falas por unu aplikaĵo, iu rulas IPsec-clear limigitan al la peer, kaj la bileto fermiĝas ĉar la komando estis akceptita. Nenio en tiu sinsekvo montras, ke la difekto estis riparita. Ĉe ASA la vorto reset kovras tri apartajn kampojn, kaj la clear limigita al la peer tuŝas precize unu el ili, kaj tial la sama tunelo ofte estas denove supren antaŭ ol la operatoro finis legi la eligon.
Tri kampoj kaŝiĝas malantaŭ unu vorto
IPsec-SA-paro estas la datvojo mem, unu asocio por ĉiu direkto, kun sinsekvaj numeroj kaj nombriloj. IKE-SA estas la intertraktada kanalo, kiu produktis tiujn asociojn kaj ankoraŭ tenas la peer-rilaton kune. VPN-sesio estas la rikordo en la sesia datumbazo por uzanto, peer de ejo al ejo aŭ konekto sen kliento.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
La kampoj estas sufiĉe sendependaj, ke purigado de unu lasas la aliajn funkciantaj, kaj tiu sendependeco kaŭzas la plejparton de la konfuzo. Purigu la IPsec-SA dum la IKE-SA estas sana, kaj trafiko kaŭzos novajn asociojn ene de sekundoj, do la tunelo ŝajnas sin mem resaniginta. Sed la suba malkongruo de propono, la manko de vojo aŭ la aŭtentiga fiasko ankoraŭ estas tie.
Se la difekto kuŝas en la intertraktado, IPsec-clear ŝanĝas nenion observeblan.
Legu la staton dum ĝi ankoraŭ ekzistas
Notu la peer-adreson, la uzatan IKE-version, la protektitajn retojn kaj la direktain nombrilojn antaŭ ol tuŝi ion ajn. La subtenataj vidoj varias laŭ eldono, sed la formoj estas stabilaj: show crypto ipsec sa peer, show crypto ikev2 sa detailed aŭ la IKEv1-ekvivalento, kaj show vpn-sessiondb por la sesia tavolo.
Skribu la tempostampon kaj la precizan uzantvideblan difekton apud tiu eligo. Unu peer kutime portas plurajn protektitajn retojn, do la efikradio de clear limigita al la peer estas ĉiu selektilo ĉe tiu peer, ne la unuopa aplikaĵo en la bileto. Reseto sen antaŭa bildo ne povas esti diagnozita poste, ĉar la clear forigas ĝuste la nombrilojn, kun kiuj vi komparus.
Unue kaptu la pruvojn. La clear forigas ilin, kaj ekrankopio farita poste diras al vi, kio rekonstruiĝis, ne kio estis difektita.
Kion la clear limigita al la peer fakte faras
La referenco de clear-komandoj de Cisco dokumentas la IPsec-formon limigitan al la peer. Kun anstataŭigita dokumenta adreso, ĝi aspektas tiel:
clear crypto ipsec sa peer 198.51.100.42Tiu komando faligas la IPsec-asociojn kongruajn al la peer. Ĝi ne forigas la IKE-SA, ne forigas agordon kaj ne resetas la sesian datumbazon. Rulu ĝin el administra vojo, kiu ne dependas de la tunelo, kiun vi ŝanĝas, ĉar SSH-sesio portata ene de tiu tunelo mortos kun ĝi kaj eble ne revenos per si mem. Ĉio alia sur la aparato daŭre funkcias, kaj ĝuste tial la komando ŝajnas sendanĝera.
Kiam la celoserĉado estas necerta, ne reiru al clear senkvalifika. La pli larĝa formo atingas ĉiun peer sur la aparato, kaj la fuŝo, kiun vi kreos, estos pli granda ol tiu, pro kiu oni vokis vin.
Kontrolu la tavolon, kiun vi intencis ripari
Post la clear, konfirmu, ke la asocioj revenis kun novaj nombriloj, anstataŭ supozi, ke la reseto funkciis ĉar la peer-listo denove pleniĝis. Poste testu la aplikaĵon nomitan en la bileto, ĉar sukcesa ping diras nenion pri serva permeso aŭ eksvalidiĝinta sesio.
Se la asocioj rekonstruiĝas kaj la aplikaĵo ankoraŭ fiaskas, la restantaj kandidatoj estas la IKE-tavolo kaj la sesia tavolo. Elektu tiun, kies staton vi ankoraŭ povas inspekti. Uzu la celitan operacion por la versio efektive kuranta, ĉu ĝi estas IKEv2-clear, IKEv1-clear aŭ sesiadatumbaza clear limigita al la ĝusta sesiotipo. Forigi kaj rekrei daŭran crypto-map-agordon por devigi rekonstruon estas konjektado kun pli longa retroiro.
Eskalaciu kun ambaŭ bildoj, antaŭe kaj poste, anstataŭ purigi denove.
Kiam la reseto plilongigas la fuŝon
Ripetitaj clear-oj kaŝas la difektojn, kiujn reseto ne povas ripari: mankanta vojo, selektilo, kiu jam ne kongruas al la nova subreto, antaŭe dividita ŝlosilo ŝanĝita unuflanke, aŭ ŝlosilrenovigo, kiu ripete fiaskas ĉe propono, kiun la peer ne akceptos. Ĉiu clear interrompas sanan trafikon ĉe ĉiu selektilo de tiu peer, dum la vera kaŭzo restas netuŝita. Tiel kviminuta esploro fariĝas ŝanĝfenestro.
Limigita reseto ankoraŭ utilas. La utila versio estas celita, rikordita kaj sekvata de inspektado de la tavolo, kiun ĝi devis ripari.
Laborekordo: notu peer, version, selektilojn kaj nombrilojn; konfirmu, al kiu kampo la difekto apartenas; rulu la plej mallarĝan kongruan clear; kontrolu asociojn kaj la aplikaĵon; eskalaciu kun pruvoj se la tavolo resaniĝas sed la simptomo ne malaperas.