ریست peer در ASA SAهای IPsec را پاک می‌کند، نه وضعیت IKE یا نشست‌ها را
یک clear محدود به peer فقط مسیر داده IPsec را تخریب می‌کند. ببینید چه چیزی باقی می‌ماند، چرا تونل در چند ثانیه بازسازی می‌شود و به جای آن کدام لایه را پاک کنید.
تونل برای یک برنامه خاص قطع می‌شود، کسی یک clear محدود به peer روی IPsec اجرا می‌کند، و تیکت بسته می‌شود چون دستور پذیرفته شد. هیچ چیز در این توالی نشان نمی‌دهد که عیب برطرف شده است. در ASA واژه reset سه محدوده جداگانه را پوشش می‌دهد و clear محدود به peer دقیقاً یکی از آن‌ها را لمس می‌کند، به همین دلیل همان تونل اغلب پیش از آنکه اپراتور خواندن خروجی را تمام کند دوباره بالا است.
سه محدوده پشت یک واژه پنهان‌اند
یک جفت SA از IPsec خودِ مسیر داده است، یک انجمن برای هر جهت، با شماره‌های ترتیب و شمارنده‌ها. یک SA از IKE کانال مذاکره‌ای است که آن انجمن‌ها را ساخت و هنوز رابطه با peer را کنار هم نگه می‌دارد. نشست VPN رکورد پایگاه داده نشست‌ها برای یک کاربر، یک peer سایت‌به‌سایت یا یک اتصال بدون کلاینت است.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
محدوده‌ها به اندازه کافی مستقل‌اند که پاک کردن یکی بقیه را در حال کار بگذارد، و همین استقلال بیشتر سردرگمی را می‌سازد. SAهای IPsec را در حالی پاک کنید که SA آی‌کی‌ای سالم است، و ترافیک در چند ثانیه انجمن‌های تازه ایجاد می‌کند، پس تونل به نظر می‌رسد خودش را درمان کرده است. اما ناسازگاری پیشنهاد، شکاف مسیر یا خطای احراز هویت هنوز آنجاست.
اگر عیب در مذاکره باشد، clear آی‌پی‌سک چیزی را که بتوانید ببینید تغییر نمی‌دهد.
وضعیت را تا وقتی هنوز وجود دارد بخوانید
پیش از دست زدن به هر چیزی، آدرس peer، نسخه IKE در حال استفاده، شبکه‌های محافظت‌شده و شمارنده‌های جهت‌دار را ثبت کنید. نماهای پشتیبانی‌شده بر اساس نسخه متفاوت‌اند، اما شکل‌ها پایدارند: show crypto ipsec sa peer، show crypto ikev2 sa detailed یا معادل IKEv1، و show vpn-sessiondb برای لایه نشست.
مهر زمانی و عیب دقیق قابل مشاهده برای کاربر را کنار آن خروجی بنویسید. یک peer معمولاً چند شبکه محافظت‌شده حمل می‌کند، بنابراین شعاع اثر یک clear محدود به peer هر انتخابگر روی آن peer است، نه تک برنامه داخل تیکت. ریست بدون تصویر قبلی را نمی‌توان بعداً تشخیص داد، چون clear دقیقاً همان شمارنده‌هایی را حذف می‌کند که می‌خواستید مقایسه کنید.
اول شواهد را ثبت کنید. clear آن‌ها را برمی‌دارد و اسکرین‌شاتی که بعداً گرفته شود می‌گوید چه چیزی بازسازی شد، نه چه چیزی خراب بود.
clear محدود به peer در واقع چه می‌کند
مرجع دستورهای clear سیسکو شکل محدود به peer را مستند می‌کند. با جای‌گذاری یک آدرس مستندسازی، چنین است:
clear crypto ipsec sa peer 198.51.100.42آن دستور انجمن‌های IPsec منطبق با peer را تخریب می‌کند. SA آی‌کی‌ای را برنمی‌دارد، پیکربندی را حذف نمی‌کند و پایگاه داده نشست‌ها را ریست نمی‌کند. آن را از مسیر مدیریتی اجرا کنید که به تونلی که تغییر می‌دهید وابسته نباشد، چون نشست SSH که داخل آن تونل حمل می‌شود با آن می‌میرد و ممکن است خودبه‌خود برنگردد. هر چیز دیگری روی دستگاه به کار ادامه می‌دهد، و دقیقاً به همین دلیل دستور بی‌ضرر حس می‌شود.
وقتی جست‌وجوی هدف نامطمئن است، به clear بدون قید و شرط عقب‌نشینی نکنید. شکل گسترده‌تر به هر peer روی دستگاه می‌رسد و قطعی‌ای که ایجاد می‌کنید بزرگ‌تر از موردی خواهد بود که برایش صدا زده شدید.
لایه‌ای را که می‌خواستید درست کنید تأیید کنید
پس از clear تأیید کنید که انجمن‌ها با شمارنده‌های تازه برگشته‌اند، نه اینکه فرض کنید ریست کار کرده چون فهرست peer دوباره پر شده است. سپس برنامه‌ای را که تیکت نام برده آزمایش کنید، چون یک ping موفق درباره اجازه سرویس یا نشست منقضی چیزی نمی‌گوید.
اگر انجمن‌ها بازسازی شوند و برنامه همچنان شکست بخورد، نامزدهای باقی‌مانده لایه IKE و لایه نشست‌اند. آن یکی را انتخاب کنید که هنوز می‌توانید وضعیتش را ببینید. برای نسخه‌ای که واقعاً اجرا می‌شود عملیات هدفمند را به کار ببرید، چه clear برای IKEv2 باشد، چه clear برای IKEv1 یا clear پایگاه داده نشست محدود به نوع نشست درست. حذف و بازسازی پیکربندی ماندگار crypto-map برای تحمیل بازسازی، حدس زدن با بازگشت طولانی‌تر است.
با هر دو تصویر، قبل و بعد، ارجاع دهید نه اینکه دوباره پاک کنید.
وقتی ریست قطعی را طولانی‌تر می‌کند
clearهای مکرر عیب‌هایی را پنهان می‌کنند که ریست نمی‌تواند درست کند: مسیر گم‌شده، انتخابگری که دیگر با زیرشبکه جدید منطبق نیست، کلید از پیش اشتراکی که در یک سمت عوض شده، یا تجدید کلیدی که پیوسته روی پیشنهادی شکست می‌خورد که peer آن را نمی‌پذیرد. هر clear ترافیک سالم را روی هر انتخابگر آن peer قطع می‌کند، در حالی که علت واقعی دست‌نخورده می‌ماند. این‌گونه یک بررسی پنج‌دقیقه‌ای به پنجره تغییر تبدیل می‌شود.
ریست محدود همچنان مفید است. نسخه مفید آن هدفمند، ثبت‌شده و همراه با بازرسی لایه‌ای است که قرار بود تعمیر شود.
ترتیب کار: peer، نسخه، انتخابگرها و شمارنده‌ها را ثبت کنید؛ تأیید کنید عیب به کدام محدوده تعلق دارد؛ باریک‌ترین clear منطبق را اجرا کنید؛ انجمن‌ها و برنامه را بررسی کنید؛ اگر لایه بازیابی شد اما نشانه نرفت، با شواهد ارجاع دهید.