ASA:n peer-reset poistaa IPsec-SA:t, ei IKE-tilaa tai istuntoja
Yhteen peeriin rajattu clear repii vain IPsecin datapolun. Katso, mikä säilyy, miksi tunneli rakentuu uudelleen sekunneissa ja mitä kerrosta sen sijaan kannattaa tyhjentää.
Tunneli kaatuu yhden sovelluksen osalta, joku ajaa peeriin rajatun IPsec-clearin ja tiketti suljetaan, koska komento hyväksyttiin. Mikään tuossa sarjassa ei osoita, että vika korjattiin. ASA:ssa sana reset kattaa kolme erillistä kohdealuetta, ja peeriin rajattu clear koskettaa täsmälleen yhtä niistä, siksi sama tunneli on usein taas pystyssä ennen kuin operaattori on lopettanut tulosteen lukemisen.
Kolme kohdealuetta yhden sanan takana
IPsec-SA-pari on itse datapolku, yksi assosiaatio suuntaa kohden, järjestysnumeroiden ja laskureiden kanssa. IKE-SA on neuvottelukanava, joka tuotti nuo assosiaatiot ja pitää peer-suhteen yhä koossa. VPN-istunto on istuntotietokannan tietue käyttäjälle, sivusto-sivusto-peerille tai asiakkaattomalle yhteydelle.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Kohdealueet ovat tarpeeksi riippumattomia, että yhden tyhjentäminen jättää muut toimimaan, ja tämä riippumattomuus synnyttää suurimman osan sekaannuksesta. Tyhjennä IPsec-SA:t, kun IKE-SA on terve, ja liikenne aiheuttaa uudet assosiaatiot sekunneissa, joten tunneli näyttää parantaneen itsensä. Ehdotuksen ristiriita, reittiaukko tai todennusvirhe on silti yhä siinä.
Jos vika on neuvottelussa, IPsec-clear ei muuta mitään havaittavaa.
Lue tila, kun se vielä on olemassa
Kirjaa peer-osoite, käytössä oleva IKE-versio, suojatut verkot ja suuntakohtaiset laskurit ennen kuin kosket mihinkään. Tuetut näkymät vaihtelevat julkaisun mukaan, mutta muodot ovat vakaita: show crypto ipsec sa peer, show crypto ikev2 sa detailed tai IKEv1-vastine, ja show vpn-sessiondb istuntokerrosta varten.
Kirjoita aikaleima ja täsmällinen käyttäjälle näkyvä vika tuon tulosteen viereen. Yksi peer kuljettaa yleensä useita suojattuja verkkoja, joten peeriin rajatun clearin vaikutussäde on jokainen tuon peerin valitsin, ei tiketin yksittäinen sovellus. Resettiä ilman ennen-kuvaa ei voi diagnosoida jälkeenpäin, koska clear poistaa juuri ne laskurit, joihin olisit verrannut.
Tallenna todisteet ensin. Clear poistaa ne, ja jälkeenpäin otettu kuvakaappaus kertoo, mitä rakentui uudelleen, ei sitä mikä oli rikki.
Mitä peeriin rajattu clear todella tekee
Ciscon clear-komentojen viite dokumentoi peeriin rajatun IPsec-muodon. Dokumentaatio-osoitteella korvattuna se näyttää tältä:
clear crypto ipsec sa peer 198.51.100.42Komento repii peeriin sopivat IPsec-assosiaatiot. Se ei poista IKE-SA:ta, ei poista konfiguraatiota eikä nollaa istuntotietokantaa. Aja se hallintapolulta, joka ei riipu muuttamastasi tunnelista, koska kyseisen tunnelin sisällä kuljetettu SSH-istunto kuolee sen mukana eikä välttämättä palaa itsestään. Kaikki muu laitteessa jatkaa toimintaansa, ja juuri siksi komento tuntuu vaarattomalta.
Kun kohteen haku on epävarma, älä turvaudu rajaamattomaan cleariin. Laajempi muoto tavoittaa jokaisen laitteen peerin, ja aiheuttamasi katko on suurempi kuin se, jonka vuoksi sinut kutsuttiin.
Varmista se kerros, jonka halusit korjata
Varmista clearin jälkeen, että assosiaatiot palasivat tuoreilla laskureilla sen sijaan, että olettaisit resetin toimineen koska peer-lista täyttyi uudelleen. Testaa sitten tiketissä nimetty sovellus, koska onnistunut ping ei kerro mitään palveluoikeudesta tai vanhentuneesta istunnosta.
Jos assosiaatiot rakentuvat uudelleen ja sovellus epäonnistuu silti, jäljellä olevat ehdokkaat ovat IKE-kerros ja istuntokerros. Valitse se, jonka tilan voit vielä tarkistaa. Käytä kohdennettua toimintoa sille versiolle, joka todella on käynnissä, onpa se IKEv2-clear, IKEv1-clear tai oikeaan istuntotyyppiin rajattu istuntotietokannan clear. Pysyvän crypto-map-konfiguraation poistaminen ja uudelleen luominen uudelleenrakennuksen pakottamiseksi on arvailua pidemmällä peruutuksella.
Eskaloi molemmilla kuvilla, ennen ja jälkeen, sen sijaan että tyhjentäisit uudelleen.
Kun reset pitkittää katkoa
Toistuvat clearit piilottavat viat, joita reset ei voi korjata: puuttuva reitti, valitsin joka ei enää vastaa uutta aliverkkoa, toisella puolella muutettu esijaettu avain tai avaimen uusinta, joka epäonnistuu toistuvasti ehdotuksella, jota peer ei hyväksy. Jokainen clear keskeyttää terveen liikenteen tuon peerin jokaisella valitsimella, kun taas todellinen syy jää koskemattomaksi. Näin viiden minuutin tutkinnasta tulee muutosikkuna.
Rajattu reset on yhä hyödyllinen. Hyödyllinen versio on kohdennettu, kirjattu ja sitä seuraa sen kerroksen tarkastus, joka sen piti korjata.
Työjärjestys: kirjaa peer, versio, valitsimet ja laskurit; varmista, mihin kohtealueeseen vika kuuluu; aja kapein sopiva clear; varmista assosiaatiot ja sovellus; eskaloi todisteilla, jos kerros toipuu mutta oire ei.