ASA peer-reset kustutab IPsec SA-d, mitte IKE oleku ega sessioonid
Üks peerile piiratud clear lammutab ainult IPsec-i andmetee. Vaadake, mis jääb püsima, miks tunnel sekunditega taastub ja millist kihti selle asemel puhastada.
Tunnel kukub ühe rakenduse jaoks, keegi käivitab peerile piiratud IPsec-cleari ja pilet suletakse, sest käsk võeti vastu. Miski selles järjestuses ei näita, et rike parandati. ASA-l katab sõna reset kolme eraldi ulatust ja peerile piiratud clear puudutab neist täpselt ühte, seepärast on sama tunnel sageli juba tagasi enne, kui operaator on väljundi lugemise lõpetanud.
Ühe sõna taga peitub kolm ulatust
IPsec SA paar on andmetee ise, üks assotsiatsioon suuna kohta, järjekorranumbrite ja loenduritega. IKE SA on läbirääkimiskanal, mis need assotsiatsioonid lõi ja hoiab peer-suhet endiselt koos. VPN-sessioon on kirje sessioonide andmebaasis kasutaja, saidi-saiti peeri või kliendita ühenduse jaoks.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Ulatuste iseseisvus on piisav, et ühe puhastamine jätab teised tööle, ja see iseseisvus tekitab suurema osa segadusest. Puhastage IPsec SA-d, kui IKE SA on terve, ja liiklus tekitab sekunditega uued assotsiatsioonid, nii et tunnel näib olevat end ise parandanud. Aga pakkumise lahknevus, marsruudi tühik või autentimise rike on endiselt alles.
Kui rike on läbirääkimises, ei muuda IPsec clear midagi vaadeldavat.
Lugege olekut, kuni see veel olemas on
Kirjutage üles peeri aadress, kasutatav IKE versioon, kaitstud võrgud ja suunapõhised loendurid, enne kui midagi puudutate. Toetatud vaated erinevad versiooniti, kuid vormid on stabiilsed: show crypto ipsec sa peer, show crypto ikev2 sa detailed või IKEv1 vaste, ja show vpn-sessiondb sessioonikihi jaoks.
Kirjutage selle väljundi kõrvale ajatempel ja täpne kasutajale nähtav rike. Üks peer kannab tavaliselt mitut kaitstud võrku, seega peerile piiratud cleari mõjuraadius on iga selektor sellel peeril, mitte piletis olev üksik rakendus. Resetti ilma eelneva pildita ei saa hiljem diagnoosida, sest clear kustutab just need loendurid, millega oleksite võrrelnud.
Koguge esmalt tõendid. Clear need eemaldab ja hiljem tehtud ekraanipilt ütleb, mis taastus, mitte mis oli katki.
Mida peerile piiratud clear tegelikult teeb
Cisco clear-käskude viide dokumenteerib peerile piiratud IPsec-vormi. Dokumentatsiooni aadressiga asendatult näeb see välja nii:
clear crypto ipsec sa peer 198.51.100.42See käsk lammutab peerile vastavad IPsec-assotsiatsioonid. See ei eemalda IKE SA-d, ei kustuta konfiguratsiooni ega lähtesta sessioonide andmebaasi. Käivitage see haldustee kaudu, mis ei sõltu tunnelist, mida muudate, sest selles tunnelis kantav SSH-sessioon sureb koos sellega ega pruugi ise tagasi tulla. Kõik muu seadmes töötab edasi, ja just seepärast tundub käsk kahjutu.
Kui sihtmärgi otsimine on ebakindel, ärge laskuge kvalifitseerimata clearini. Laiem vorm jõuab igasse seadme peeri ja tekitatud katkestus on suurem kui see, mille pärast teid kutsuti.
Kontrollige kihti, mida kavatsesite parandada
Pärast cleari kinnitage, et assotsiatsioonid tulid tagasi värskete loenduritega, selle asemel et eeldada, et reset töötas, sest peeride nimekiri täitus uuesti. Seejärel testige piletis nimetatud rakendust, sest edukas ping ei ütle midagi teenuseõiguse ega aegunud sessiooni kohta.
Kui assotsiatsioonid taastuvad ja rakendus ikka ebaõnnestub, on järelejäänud kandidaadid IKE kiht ja sessioonikiht. Valige see, mille olekut saate veel kontrollida. Kasutage sihitud toimingut tegelikult töötava versiooni jaoks, olgu selleks IKEv2 clear, IKEv1 clear või õigele sessioonitüübile piiratud sessiooniandmebaasi clear. Püsiva crypto-map konfiguratsiooni kustutamine ja uuesti loomine taastamise sundimiseks on oletus pikema tagasipöördumisega.
Eskaleerige mõlema pildiga, enne ja pärast, selle asemel et uuesti puhastada.
Kui reset muudab katkestuse pikemaks
Korduvad clearid varjavad rikkeid, mida reset parandada ei suuda: puuduv marsruut, selektor, mis ei vasta enam uuele alamvõrgule, ühel poolel muudetud eeljagatud võti või võtmeuuendus, mis ebaõnnestub korduvalt pakkumisel, mida peer ei aktsepteeri. Iga clear katkestab terve liikluse selle peeri igal selektoril, samal ajal kui tegelik põhjus jääb puutumata. Nii muutub viie minuti uurimine muudatuse aknaks.
Piiratud reset on endiselt kasulik. Kasulik versioon on sihitud, kirja pandud ja sellele järgneb selle kihi kontroll, mida see pidi parandama.
Töö järjekord: kirjutage üles peer, versioon, selektorid ja loendurid; kinnitage, millisesse ulatusse rike kuulub; käivitage kitsaim sobiv clear; kontrollige assotsiatsioone ja rakendust; eskaleerige tõenditega, kui kiht taastub, aga sümptom jääb.