Reset peera na ASA briše IPsec SA, ne stanje IKE-a ni sesije
Jedan clear ograničen na peera ruši samo IPsec podatkovni put. Pogledajte što preživi, zašto se tunel obnovi u sekundama i koji sloj očistiti umjesto toga.
Tunel padne za jednu aplikaciju, netko pokrene IPsec clear ograničen na peera i tiket se zatvori jer je naredba prihvaćena. Ništa u tom slijedu ne pokazuje da je kvar otklonjen. Na ASA riječ reset pokriva tri odvojena opsega, a clear ograničen na peera dotiče točno jedan od njih, zato je isti tunel često ponovno gore prije nego operater dočita izlaz.
Tri se opsega skrivaju iza jedne riječi
Par IPsec SA je sam podatkovni put, jedna asocijacija po smjeru, s rednim brojevima i brojačima. IKE SA je kanal pregovaranja koji je stvorio te asocijacije i još drži odnos s peerom na okupu. VPN sesija je zapis u bazi sesija za korisnika, peera od lokacije do lokacije ili vezu bez klijenta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Opsezi su dovoljno neovisni da čišćenje jednoga ostavlja ostale u pogonu, i ta neovisnost stvara većinu zbrke. Očistite IPsec SA dok je IKE SA zdrav i promet u sekundama izazove nove asocijacije, pa se čini da se tunel sam izliječio. No nesklad prijedloga, praznina u ruti ili neuspjeh autentikacije i dalje su tu.
Ako je kvar u pregovaranju, IPsec clear ne mijenja ništa što možete primijetiti.
Pročitajte stanje dok još postoji
Zapišite adresu peera, verziju IKE-a u upotrebi, zaštićene mreže i smjerne brojače prije nego što bilo što dotaknete. Podržani se prikazi razlikuju po izdanju, ali oblici su stabilni: show crypto ipsec sa peer, show crypto ikev2 sa detailed ili ekvivalent za IKEv1, i show vpn-sessiondb za sloj sesija.
Uz taj izlaz zapišite vremensku oznaku i točan kvar koji korisnik vidi. Jedan peer obično nosi nekoliko zaštićenih mreža, pa je domet cleara ograničenog na peera svaki selektor na tom peeru, a ne jedna aplikacija iz tiketa. Reset bez slike prije ne može se poslije dijagnosticirati, jer clear briše upravo brojače s kojima biste usporedili.
Najprije zabilježite dokaze. Clear ih uklanja, a snimka zaslona načinjena poslije govori što se obnovilo, a ne što je bilo pokvareno.
Što clear ograničen na peera zapravo radi
Ciscov pregled naredbi clear dokumentira IPsec oblik ograničen na peera. Sa zamijenjenom dokumentacijskom adresom to izgleda ovako:
clear crypto ipsec sa peer 198.51.100.42Ta naredba ruši IPsec asocijacije koje odgovaraju peeru. Ne uklanja IKE SA, ne briše konfiguraciju i ne resetira bazu sesija. Pokrenite je s upravljačkog puta koji ne ovisi o tunelu koji mijenjate, jer će SSH sesija prenesena tim tunelom umrijeti s njim i možda se neće sama vratiti. Sve ostalo na uređaju nastavlja raditi, i upravo zato naredba djeluje bezopasno.
Kad je pronalaženje cilja nesigurno, ne vraćajte se na clear bez kvalifikacije. Širi oblik doseže svaki peer na uređaju, a prekid koji napravite bit će veći od onoga zbog kojeg su vas pozvali.
Provjerite sloj koji ste namjeravali popraviti
Nakon cleara potvrdite da su se asocijacije vratile sa svježim brojačima, umjesto da pretpostavite da je reset uspio jer se popis peera ponovno napunio. Zatim testirajte aplikaciju koju tiket navodi, jer uspješan ping ne govori ništa o dopuštenju za uslugu ili istekloj sesiji.
Ako se asocijacije obnove, a aplikacija i dalje pada, preostali su kandidati IKE sloj i sloj sesija. Odaberite onaj čije stanje još možete pregledati. Koristite ciljanu operaciju za verziju koja stvarno radi, bilo da je to clear za IKEv2, clear za IKEv1 ili clear baze sesija ograničen na pravi tip sesije. Brisanje i ponovno stvaranje trajne crypto-map konfiguracije da bi se prisilila obnova je nagađanje s duljim vraćanjem.
Eskalirajte s obje slike, prije i poslije, umjesto da ponovno čistite.
Kad reset produži prekid
Ponovljeni clearovi skrivaju kvarove koje reset ne može popraviti: ruta koja nedostaje, selektor koji više ne odgovara novoj podmreži, unaprijed dijeljeni ključ promijenjen na jednoj strani ili obnova ključa koja stalno pada na prijedlogu koji peer neće prihvatiti. Svaki clear prekida zdrav promet na svakom selektoru tog peera dok stvarni uzrok ostaje netaknut. Tako se petominutna istraga pretvori u prozor za promjene.
Ograničeni reset je i dalje koristan. Korisna je verzija ciljana, zabilježena i popraćena pregledom sloja koji je trebalo popraviti.
Redoslijed rada: zabilježite peer, verziju, selektore i brojače; potvrdite kojem opsegu kvar pripada; pokrenite najuži odgovarajući clear; provjerite asocijacije i aplikaciju; eskalirajte s dokazima ako se sloj oporavi, ali simptom ne nestane.