ASA પર peer reset IPsec SA દૂર કરે છે, IKE સ્થિતિ કે સેશન નહીં
peer સુધી મર્યાદિત એક clear ફક્ત IPsec ડેટા પાથ તોડે છે. શું બચે છે, ટનલ કેમ સેકન્ડોમાં ફરી બને છે અને તેના બદલે કયો સ્તર સાફ કરવો તે જુઓ.
ટનલ એક જ એપ્લિકેશન માટે પડે છે, કોઈ peer સુધી મર્યાદિત IPsec clear ચલાવે છે, અને કમાન્ડ સ્વીકારાઈ હોવાથી ટિકિટ બંધ થાય છે. એ ક્રમમાં ક્યાંય દેખાતું નથી કે ખામી સુધારાઈ છે. ASA પર reset શબ્દ ત્રણ અલગ વ્યાપ્તિઓનું આવરણ કરે છે, અને peer સુધી મર્યાદિત clear તેમાંથી બરાબર એકને અડે છે, તેથી ઓપરેટર આઉટપુટ વાંચવાનું પૂરું કરે તે પહેલાં જ એ જ ટનલ ઘણી વાર ફરી ઉપર હોય છે.
એક શબ્દ પાછળ ત્રણ વ્યાપ્તિઓ છુપાયેલી છે
IPsec SA જોડી એ પોતે ડેટા પાથ છે, દરેક દિશા માટે એક સંગઠન, ક્રમ નંબર અને કાઉન્ટર સાથે. IKE SA એ વાટાઘાટ ચેનલ છે જેણે એ સંગઠનો બનાવ્યાં અને હજી પણ peer સંબંધને સાથે રાખે છે. VPN સેશન એ વપરાશકર્તા, સાઇટ-થી-સાઇટ peer કે ક્લાયન્ટ વગરના જોડાણ માટે સેશન ડેટાબેઝમાંની નોંધ છે.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
વ્યાપ્તિઓ એટલી સ્વતંત્ર છે કે એક સાફ કરવાથી બાકીની કામ કરતી રહે, અને એ સ્વતંત્રતા જ મોટા ભાગની ગૂંચવણ પેદા કરે છે. IKE SA સ્વસ્થ હોય ત્યારે IPsec SA સાફ કરો, અને ટ્રાફિક સેકન્ડોમાં નવાં સંગઠનો પેદા કરે છે, તેથી ટનલ પોતે જ સાજી થઈ ગઈ હોય એવું લાગે છે. પણ મૂળભૂત પ્રસ્તાવ-અસંગતિ, રૂટની ખાલી જગ્યા કે પ્રમાણીકરણની નિષ્ફળતા હજી ત્યાં જ છે.
જો ખામી વાટાઘાટમાં હોય, તો IPsec clear એ કોઈ દેખીતી વસ્તુ બદલતું નથી.
સ્થિતિ હજી અસ્તિત્વમાં હોય ત્યારે વાંચો
કંઈપણ અડકતા પહેલાં peer સરનામું, વપરાતી IKE આવૃત્તિ, સુરક્ષિત નેટવર્ક અને દિશાવાર કાઉન્ટર નોંધો. સમર્થિત દૃશ્યો આવૃત્તિ પ્રમાણે બદલાય છે, પણ આકાર સ્થિર છે: show crypto ipsec sa peer, show crypto ikev2 sa detailed અથવા IKEv1 માટે સમકક્ષ, અને સેશન સ્તર માટે show vpn-sessiondb.
તે આઉટપુટની બાજુમાં સમય-છાપ અને વપરાશકર્તાને દેખાતી ચોક્કસ ખામી લખો. એક peer સામાન્ય રીતે અનેક સુરક્ષિત નેટવર્ક ધરાવે છે, તેથી peer સુધી મર્યાદિત clearની અસર એ peer પરના દરેક સિલેક્ટર સુધી છે, ટિકિટની એક જ એપ્લિકેશન સુધી નહીં. પહેલાંની તસવીર વગરના resetનું પછી નિદાન થઈ શકે નહીં, કારણ કે clear એ જ એ કાઉન્ટર દૂર કરે છે જેની સાથે તમે સરખામણી કરત.
પહેલાં પુરાવા કબજે કરો. clear તેને દૂર કરે છે, અને પછી લીધેલો સ્ક્રીનશોટ તમને કહે છે કે શું ફરી બન્યું, શું તૂટ્યું હતું તે નહીં.
peer સુધી મર્યાદિત clear ખરેખર શું કરે છે
Ciscoનું clear કમાન્ડ સંદર્ભ peer સુધી મર્યાદિત IPsec સ્વરૂપનું દસ્તાવેજીકરણ કરે છે. દસ્તાવેજી સરનામું મૂકતાં તે આવું દેખાય છે:
clear crypto ipsec sa peer 198.51.100.42એ કમાન્ડ peer સાથે મેળ ખાતાં IPsec સંગઠનો તોડી નાખે છે. તે IKE SA દૂર કરતું નથી, રૂપરેખા ભૂંસતું નથી અને સેશન ડેટાબેઝ ફરી સેટ કરતું નથી. તેને એવા મેનેજમેન્ટ માર્ગથી ચલાવો જે તમે બદલી રહ્યા છો તે ટનલ પર આધારિત ન હોય, કારણ કે એ ટનલમાં લઈ જવાયેલું SSH સેશન તેની સાથે જ મરી જશે અને પોતાની જાતે પાછું ન પણ આવે. ઉપકરણ પર બાકીનું બધું ચાલુ રહે છે, અને એટલે જ કમાન્ડ નિરુપદ્રવી લાગે છે.
જ્યારે લક્ષ્યની શોધ અનિશ્ચિત હોય, ત્યારે બિનશરતી clear પર પાછા ન જાવ. વિશાળ સ્વરૂપ ઉપકરણના દરેક peer સુધી પહોંચે છે, અને તમે જે વિક્ષેપ ઊભો કરશો તે તમને બોલાવવામાં આવ્યા તેના કરતાં મોટો હશે.
તમે જે સ્તર સુધારવા માંગતા હતા તે ચકાસો
clear પછી ખાતરી કરો કે સંગઠનો નવા કાઉન્ટર સાથે પાછાં આવ્યાં, એમ માની લેવાને બદલે કે reset કામ કરી ગયું કારણ કે peer યાદી ફરી ભરાઈ. પછી ટિકિટમાં દર્શાવેલી એપ્લિકેશન ચકાસો, કારણ કે સફળ ping સેવા પરવાનગી કે સમાપ્ત સેશન વિશે કંઈ કહેતું નથી.
જો સંગઠનો ફરી બને અને એપ્લિકેશન હજી નિષ્ફળ જાય, તો બાકીના ઉમેદવારો IKE સ્તર અને સેશન સ્તર છે. જેની સ્થિતિ તમે હજી જોઈ શકો તે પસંદ કરો. ખરેખર ચાલતી આવૃત્તિ માટે લક્ષિત ક્રિયા વાપરો, પછી તે IKEv2 clear હોય, IKEv1 clear હોય કે યોગ્ય સેશન પ્રકાર સુધી મર્યાદિત સેશન ડેટાબેઝ clear હોય. પુનર્નિર્માણ ફરજિયાત કરવા માટે ચીરસ્થાયી crypto-map રૂપરેખા ભૂંસી ફરી બનાવવી એ લાંબા રોલબેક સાથેની અટકળ છે.
ફરી સાફ કરવાને બદલે પહેલાં અને પછીની બંને તસવીરો સાથે એસ્કલેટ કરો.
જ્યારે reset વિક્ષેપ લંબાવે છે
વારંવારના clear એ એ ખામીઓ છુપાવે છે જે reset સુધારી શકતું નથી: ગુમ થયેલો રૂટ, નવા સબનેટ સાથે હવે ન મળતો સિલેક્ટર, એક બાજુ બદલાયેલી પૂર્વ-વહેંચાયેલી કી, કે એવા પ્રસ્તાવ પર વારંવાર નિષ્ફળ થતું કી નવીકરણ જે peer સ્વીકારશે નહીં. દરેક clear એ peerના દરેક સિલેક્ટર પર સ્વસ્થ ટ્રાફિક અટકાવે છે જ્યારે સાચું કારણ અડક્યા વગર રહે છે. એમ જ પાંચ મિનિટની તપાસ પરિવર્તન વિન્ડોમાં ફેરવાય છે.
મર્યાદિત reset હજી ઉપયોગી છે. ઉપયોગી સ્વરૂપ લક્ષિત, નોંધાયેલું અને જે સ્તર સુધારવાનું હતું તેની તપાસ સાથેનું હોય છે.
કામનો ક્રમ: peer, આવૃત્તિ, સિલેક્ટર અને કાઉન્ટર નોંધો; ખામી કઈ વ્યાપ્તિની છે તે નિશ્ચિત કરો; સૌથી સાંકડું મળતું clear ચલાવો; સંગઠનો અને એપ્લિકેશન ચકાસો; સ્તર સુધરે પણ લક્ષણ ન જાય તો પુરાવા સાથે એસ્કલેટ કરો.