Sake saitin peer a ASA yana goge IPsec SA, ba yanayin IKE ko zama ba
Clear ɗaya da aka iyakance ga peer yana rushe hanyar bayanan IPsec kawai. Duba abin da ke wanzuwa, me ya sa tunnel ke sake ginawa cikin daƙiƙa, da wace Layer ya kamata a wanke maimakon haka.
Tunnel ɗin yana faɗuwa don aikace-aikace ɗaya, wani yana gudanar da IPsec clear da aka iyakance ga peer, sannan a rufe tikit ɗin saboda an karɓi umarnin. Babu wani abu a cikin wannan jerin da ke nuna an gyara matsalar. A ASA kalmar reset tana rufe fannoni uku daban-daban, kuma clear ɗin da aka iyakance ga peer yana taɓa ɗaya kawai daga cikinsu, shi ya sa sau da yawa wannan tunnel ɗin yakan dawo sama kafin ma'aikaci ya gama karanta fitarwar.
Fannoni uku suna ɓoye bayan kalma ɗaya
Biyu na IPsec SA shine hanyar bayanan kanta, ƙungiya ɗaya ga kowane shugabanci, tare da lambobin jeri da ƙididdiga. IKE SA shine tashar tattaunawa da ta ƙirƙiri waɗannan ƙungiyoyin kuma har yanzu tana riƙe dangantakar da peer. Zaman VPN shine rikodin a cikin rumbun adana zama don mai amfani, peer na shafi-zuwa-shafi ko haɗin da ba shi da abokin ciniki.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Fannonin suna da 'yancin kai sosai har wanke ɗaya yana barin sauran suna aiki, kuma wannan 'yancin kai ne ke haifar da yawancin ruɗani. Wanke IPsec SA yayin da IKE SA ke cikin lafiya, kuma zirga-zirga zai haifar da sabbin ƙungiyoyi cikin daƙiƙa, don haka tunnel ɗin kamar ya warkar da kansa. Amma rashin daidaiton shawara, gibin hanya ko gazawar tabbatarwa suna nan har yanzu.
Idan matsalar tana cikin tattaunawa, IPsec clear ba ya canza wani abu da za a iya gani.
Karanta yanayin yayin da yake nan
Rubuta adireshin peer, sigar IKE da ake amfani da ita, cibiyoyin sadarwar da aka kare da ƙididdigar shugabanci kafin ka taɓa wani abu. Abubuwan da ake tallafawa sun bambanta bisa sigar, amma sifofin suna tsayawa: show crypto ipsec sa peer, show crypto ikev2 sa detailed ko makamancin IKEv1, da show vpn-sessiondb don Layer na zama.
Rubuta tambarin lokaci da ainihin matsalar da mai amfani ke gani kusa da wannan fitarwa. Peer ɗaya yawanci yana ɗaukar cibiyoyin sadarwa da yawa da aka kare, don haka tasirin clear ɗin da aka iyakance ga peer shine kowane mai zaɓi a wannan peer, ba aikace-aikace ɗaya a tikit ɗin ba. Ba za a iya gano reset ba tare da hoto na farko ba daga baya, domin clear ɗin yana goge ainihin ƙididdigar da za ka kwatanta da su.
Da farko tattara shaidu. Clear ɗin yana cire su, kuma hoton allo da aka ɗauka daga baya yana gaya maka abin da aka sake ginawa, ba abin da ya karye ba.
Abin da clear ɗin da aka iyakance ga peer yake yi a zahiri
Maftaƙar umarnin clear na Cisco tana bayyana sifar IPsec da aka iyakance ga peer. Idan an saka adireshin takardu, yana kama da haka:
clear crypto ipsec sa peer 198.51.100.42Wannan umarnin yana rushe ƙungiyoyin IPsec da suka dace da peer. Ba ya cire IKE SA, ba ya goge tsari, kuma ba ya sake saita rumbun adana zama. Gudanar da shi daga hanyar gudanarwa da ba ta dogara da tunnel ɗin da kake canzawa ba, domin zaman SSH da aka ɗauka cikin wannan tunnel zai mutu tare da shi kuma mai yiwuwa ba zai dawo da kansa ba. Duk sauran abubuwan da ke cikin na'urar suna ci gaba da aiki, kuma shi ya sa umarnin yake ji kamar marar lahani.
Lokacin da neman manufa ba shi da tabbas, kada ka koma zuwa clear marar sharadi. Sifar da ta fi girma tana isa ga kowane peer a na'urar, kuma katsewar da za ka haifar zai fi wanda aka kira ka saboda shi.
Tabbatar da Layer da kake so ka gyara
Bayan clear ɗin, tabbatar ƙungiyoyin sun dawo da sabbin ƙididdiga maimakon ɗauka cewa reset ɗin ya yi aiki saboda jerin peer ya sake cika. Sannan gwada aikace-aikacen da tikit ɗin ya ambata, domin ping mai nasara ba ya faɗin komai game da izinin sabis ko zaman da ya ƙare.
Idan ƙungiyoyin sun sake ginawa kuma aikace-aikacen har yanzu yana gazawa, sauran 'yan takarar sune Layer na IKE da Layer na zama. Zaɓi wanda har yanzu za ka iya duba yanayinsa. Yi amfani da aikin da aka yi niyya don sigar da ke gudana a zahiri, ko clear na IKEv2 ne, clear na IKEv1 ko clear na rumbun adana zama wanda aka iyakance ga nau'in zama da ya dace. Goge da sake ƙirƙirar tsarin crypto-map mai dorewa don tilasta sake ginawa hasashe ne tare da juyawa mafi tsawo.
Ka ɗaukaka da hotuna biyu, na farko da na baya, maimakon sake wankewa.
Lokacin da reset ɗin ke ƙara tsawaita katsewar
Maimaita clear suna ɓoye matsalolin da reset ba zai iya gyara ba: hanyar da ta ɓace, mai zaɓi wanda bai dace da sabuwar ƙananan cibiyar ba, maɓallin da aka raba tukuna da aka canza a gefe ɗaya, ko sabunta maɓalli da ke gazawa akai-akai akan shawara da peer ba zai karɓa ba. Kowane clear yana katse zirga-zirgar lafiya a kowane mai zaɓi na wannan peer yayin da ainihin sanadin ya kasance ba a taɓa shi ba. Haka bincike na minti biyar ke juya zuwa taga canji.
Reset ɗin da aka iyakance yana da amfani har yanzu. Sigar mai amfani ita ce wadda aka yi niyya, aka rubuta, kuma aka bi ta da duba Layer da ya kamata ya gyara.
Tsarin aiki: rubuta peer, siga, masu zaɓi da ƙididdiga; tabbatar da wane fanni matsalar take; gudanar da mafi ƙarancin clear da ya dace; tabbatar da ƙungiyoyi da aikace-aikacen; ɗaukaka da shaidu idan Layer ya warke amma alamar ba ta tafi ba.