ASAko peer reset-ak IPsec SA-ak ezabatzen ditu, ez IKE egoera edo saioak
Peer-era mugatutako clear batek IPsec datu-bidea soilik eraisten du. Ikusi zer irauten duen, zergatik tunela segundoetan berreraikitzen den eta zein geruza garbitu behar zenukeen horren ordez.
Tunela aplikazio bakar batentzat erortzen da, norbaitek peer-era mugatutako IPsec clear bat exekutatzen du, eta txartela ixten da komandoa onartu delako. Segida horretan ez dago ezer akatsa konpondu dela erakusten duenik. ASA batean reset hitzak hiru esparru bereizi hartzen ditu, eta peer-era mugatutako clear-ak horietako bat soilik ukitzen du, horregatik tunel bera sarritan berriro martxan dago operadoreak irteera irakurtzen amaitu aurretik.
Hiru esparru hitz baten atzean
IPsec SA pare bat datu-bidea bera da, noranzko bakoitzeko asoziazio bat, sekuentzia-zenbakiekin eta kontagailuekin. IKE SA-a asoziazio horiek sortu zituen eta peer-rekiko harremana oraindik eusten duen negoziazio-kanala da. VPN saioa erabiltzaile, gunez guneko peer edo bezero gabeko konexio baten saio-datu-baseko erregistroa da.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Esparruak nahiko independenteak dira bata garbitzeak besteak funtzionatzen uzten dituelako, eta independentzia horrek sortzen du nahastearen zatirik handiena. Garbitu IPsec SA-ak IKE SA-a osasuntsu dagoen bitartean, eta trafikoak segundoetan asoziazio berriak eragingo ditu, beraz tunela bere kabuz sendatu dela dirudi. Baina proposamen-desdoitzea, ibilbide-hutsunea edo autentifikazio-akatsa oraindik hor daude.
Akatsa negoziazioan badago, IPsec clear-ak ez du ezer behatzen denik aldatzen.
Irakurri egoera oraindik existitzen den bitartean
Idatzi peer helbidea, erabiltzen ari den IKE bertsioa, babestutako sareak eta noranzko-kontagailuak ezer ukitu aurretik. Onartutako ikuspegiak bertsioaren arabera aldatzen dira, baina formak egonkorrak dira: show crypto ipsec sa peer, show crypto ikev2 sa detailed edo IKEv1-en baliokidea, eta show vpn-sessiondb saio-geruzarako.
Idatzi denbora-marka eta erabiltzaileak ikusten duen akats zehatza irteera horren ondoan. Peer batek sarritan hainbat sare babestu daramatza, beraz peer-era mugatutako clear baten eragin-erradioa peer horretako hautatzaile guztiak dira, ez txarteleko aplikazio bakarra. Aurretiko irudirik gabeko reset bat ezin da geroago diagnostikatu, clear-ak hain zuzen konparatuko zenituen kontagailuak ezabatzen baititu.
Bildu frogak lehenengo. Clear-ak kentzen ditu, eta geroago ateratako pantaila-argazkiak zer eraiki zen berriro esaten dizu, ez zer zegoen hondatuta.
Zer egiten duen peer-era mugatutako clear-ak benetan
Ciscoren clear komandoen erreferentzia-k peer-era mugatutako IPsec forma dokumentatzen du. Dokumentazio-helbidea ordezkatuta, honela ikusten da:
clear crypto ipsec sa peer 198.51.100.42Komando horrek peer-ari dagozkion IPsec asoziazioak eraisten ditu. Ez du IKE SA-a kentzen, ez du konfigurazioa ezabatzen eta ez du saio-datu-basea berrezartzen. Aldatu nahi duzun tunelaren menpe ez dagoen kudeaketa-bidetik exekutatu, tunel horren barruan daramatzan SSH saio bat berarekin hilko baita eta agian ez da bere kabuz itzuliko. Gailuko gainerako guztiak funtzionatzen jarraitzen du, eta horrexegatik dirudi komandoak kaltegabea.
Helburuaren bila ziurtasunik ez baduzu, ez joan kalifikaziorik gabeko clear batera. Forma zabalagoak gailuko peer guztietara iristen da, eta sortzen duzun etena handiagoa izango da deitu zintuztenekoa baino.
Egiaztatu konpondu nahi zenuen geruza
Clear-aren ondoren, egiaztatu asoziazioak kontagailu berriekin itzuli direla, ez pentsatu reset-ak funtzionatu duela peer zerrenda berriro bete delako. Gero probatu txartelak aipatutako aplikazioa, ping arrakastatsu batek ez baitu ezer esaten zerbitzu-baimenari edo iraungitako saioari buruz.
Asoziazioak berreraikitzen badira eta aplikazioak huts egiten badu oraindik, gainerako hautagaiak IKE geruza eta saio-geruza dira. Aukeratu oraindik ikus dezakezun egoera duena. Erabili benetan exekutatzen ari den bertsiorako eragiketa zuzendua, IKEv2 clear bat, IKEv1 clear bat edo saio mota egokira mugatutako saio-datu-baseko clear bat izanik. Crypto-map konfigurazio iraunkorra ezabatu eta berriz sortzea berreraikuntza behartzearren hizkerak dira itzultze luzeagoarekin.
Eskalatu bi irudiekin, aurretik eta ondoren, berriro garbitu beharrean.
Reset-ak etena luzatzen duenean
Clear errepikatuek reset-ak konpondu ezin dituen akatsak ezkutatzen dituzte: falta den ibilbide bat, sare azpi berriarekin bat egiten ez duen hautatzaile bat, alde batean aldatu den aurrez partekatutako gako bat edo peer-ak onartuko ez duen proposamen batean behin eta berriz huts egiten duen gako-berritze bat. Clear bakoitzak peer horretako hautatzaile bakoitzean trafiko osasuntsua eteten du, benetako arrazoia ukitu gabe geratzen den bitartean. Horrela bost minutuko ikerketa aldaketa-leiho bihurtzen da.
Reset mugatu bat oraindik erabilgarria da. Bertsio erabilgarria zuzendua, erregistratua eta konpondu behar zuen geruzaren ikuskapenarekin jarraitua da.
Lan-ordena: idatzi peer-a, bertsioa, hautatzaileak eta kontagailuak; egiaztatu akatsa zein esparruri dagokion; exekutatu bat datorren clear estuena; egiaztatu asoziazioak eta aplikazioa; eskalu frogak, geruza sendatzen bada baina sintomak jarraitzen badu.