Peer-reset op 'e ASA wisket IPsec-SA's, net IKE-tastân of sesjes
Ien clear beheind ta de peer sloopt allinnich it IPsec-datapaad. Sjoch wat oerbliuwt, wêrom't de tunnel yn sekonden wer opboud wurdt en hokker laach oft jo better leegje.
De tunnel falt foar ien applikaasje, immen rint in peer-beheinde IPsec-clear en it ticket wurdt sletten om't it kommando akseptearre is. Neat yn dy opienfolging lit sjen dat de stoaring ferholpen is. Op in ASA dekt it wurd reset trije aparte berikken, en de peer-beheinde clear rekket krekt ien dêrfan, dêrom is deselde tunnel faak al wer omheech foardat de operator de útfier útlêzen hat.
Trije berikken ferskûlje har efter ien wurd
In IPsec-SA-pear is it datapaad sels, ien assosjaasje per rjochting, mei folchnûmers en tellers. In IKE-SA is it ûnderhannelingskanaal dat dy assosjaasjes makke hat en de peer-relaasje noch byinoar hâldt. In VPN-sesje is de opname yn 'e sesjedatabank foar in brûker, in side-oant-side-peer of in ferbining sûnder klant.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
De berikken binne frij genôch ûnôfhinklik dat it leegjen fan ien de oaren oan it wurk lit, en dy ûnôfhinklikens makket it measte part fan 'e betizing. Leegje de IPsec-SA's wylst de IKE-SA sûn is, en ferkear makket yn sekonden nije assosjaasjes, sadat de tunnel liket himsels genêzen te hawwen. De ûnderlizzende oerienkomst-misferhâlding, it paadgat of de autentikaasjeflater is der noch altyd.
As de stoaring by de ûnderhanneling sit, feroaret in IPsec-clear neat dat jo waarnimme kinne.
Lês de tastân wylst er noch bestiet
Skriuw it peer-adres, de brûkte IKE-ferzje, de beskerme netwurken en de rjochtingstellers op foardat jo eat oanreitsje. De stipe werjeften ferskille per ferzje, mar de foarmen binne stabyl: show crypto ipsec sa peer, show crypto ikev2 sa detailed of it IKEv1-ekwivalint, en show vpn-sessiondb foar de sesjelaach.
Skriuw de tiidstimpel en de krekte brûkerssichtbere stoaring njonken dy útfier. Ien peer draacht faak ferskate beskerme netwurken, dus de ynfloedsried fan in peer-beheinde clear is elke selektor op dy peer, net de iene applikaasje yn it ticket. In reset sûnder foarbyld kin efterôf net diagnostisearre wurde, om't de clear krekt de tellers wisket dêr't jo mei ferlike hiene.
Fêstigje earst it bewiis. De clear hellet it fuort, en in skermprint dy't dêrnei makke wurdt fertelt wat wer opboud is, net wat stik wie.
Wat de peer-beheinde clear echt docht
Cisco syn referinsje fan clear-kommando's dokumintearret de peer-beheinde IPsec-foarm. Mei in dokumintaasje-adres ferfongen sjocht it der sa út:
clear crypto ipsec sa peer 198.51.100.42Dat kommando sloopt de IPsec-assosjaasjes dy't by de peer passe. It ferwideret de IKE-SA net, wisket gjin konfiguraasje en set de sesjedatabank net werom. Rin it fan in behearspaad dat net ôfhinget fan 'e tunnel dy't jo feroarje, om't in SSH-sesje dy't yn dy tunnel meidroegen wurdt mei him stjerre sil en miskien net fansels weromkomt. Al it oare op it apparaat bliuwt rinnen, en dêrom liket it kommando harmleas.
As it finen fan it doel ûnwis is, fal dan net werom op in net-kwalifisearre clear. De bredere foarm berikt elke peer op it apparaat, en de útfallen dy't jo meitsje sil grutter wêze as dy dêr't jo foar belle binne.
Ferifiearje de laach dy't jo bedoelden te reparearjen
Befêstigje nei de clear dat de assosjaasjes weromkamen mei nije tellers yn stee fan oan te nimmen dat de reset wurke om't de peer-list wer folle. Testje dan de applikaasje dy't it ticket neamde, om't in slagge ping neat seit oer in tsjinstfergunning of in ferrûne sesje.
As de assosjaasjes wer opboud wurde en de applikaasje dochs mislearret, binne de oerbleaune kandidaten de IKE-laach en de sesjelaach. Kies dy dêr't jo de tastân noch fan besjen kinne. Brûk de rjochte operaasje foar de ferzje dy't echt rint, oft dat in IKEv2-clear, in IKEv1-clear of in sesjedatabank-clear beheind ta it juste sesjetype is. It wiskjen en wer meitsjen fan persistinte crypto-map-konfiguraasje om in weropbou te twingen is rieden mei in langere weromdraai.
Eskalearje mei beide bylden, foar en nei, yn stee fan wer te leegjen.
As de reset de útfallen langer makket
Werhelle clears ferskûlje de flaters dy't in reset net reparearje kin: in ûntbrekkende rûte, in selektor dy't net mear by it nije subnet past, in foarôf dielde kaai dy't oan ien kant feroare is, of in kaaifernijing dy't hieltyd mislearret op in foarstel dat de peer net akseptearret. Elke clear ûnderbrekt sûn ferkear op elke selektor fan dy peer wylst de echte oarsaak ûnoanroerd bliuwt. Sa wurdt in ûndersyk fan fiif minuten in feroaringsfinster.
In beheinde reset is noch hieltyd nuttich. De nuttige ferzje is rjochte, fêstlein en folge troch in ynspeksje fan 'e laach dy't er reparearje moast.
Wurkfolchoarder: skriuw peer, ferzje, selektors en tellers op; befêstigje by hokker berik de stoaring heart; rint de smelste passende clear; ferifiearje assosjaasjes en de applikaasje; eskalearje mei bewiis as de laach herstelt mar it symptoom net.