Az ASA peer reset csak az IPsec SA-kat törli, az IKE állapotát és a munkameneteket nem
Egy peerre korlátozott clear csak az IPsec adatútvonalat bontja le. Nézze meg, mi marad meg, miért épül újra az alagút másodpercek alatt, és melyik réteget érdemes inkább tisztítani.
Az alagút egyetlen alkalmazás miatt esik ki, valaki lefuttat egy peerre korlátozott IPsec cleart, és a jegyet lezárják, mert a parancsot elfogadták. Ebben a sorrendben semmi sem mutatja, hogy a hibát kijavították. Az ASA-n a reset szó három külön hatókört fed le, és a peerre korlátozott clear pontosan egyet érint közülük, ezért ugyanaz az alagút gyakran már újra fent van, mielőtt az üzemeltető végigolvassa a kimenetet.
Három hatókör rejtőzik egy szó mögött
Egy IPsec SA pár maga az adatútvonal, irányonként egy társítás, sorszámokkal és számlálókkal. Az IKE SA az a tárgyalási csatorna, amely ezeket a társításokat létrehozta, és még összetartja a peer kapcsolatot. A VPN munkamenet a munkamenet-adatbázis bejegyzése egy felhasználóhoz, egy telephely-telephely peerhez vagy egy kliens nélküli kapcsolathoz.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
A hatókörök eléggé függetlenek ahhoz, hogy az egyik tisztítása a többieket működésben hagyja, és ez a függetlenség okozza a zavar nagy részét. Tisztítsa az IPsec SA-kat, miközben az IKE SA egészséges, és a forgalom másodperceken belül új társításokat vált ki, így az alagút úgy tűnik, mintha magától meggyógyult volna. A mögöttes javaslat-eltérés, az útvonalhiány vagy a hitelesítési hiba azonban továbbra is ott van.
Ha a hiba a tárgyalásban van, az IPsec clear semmi megfigyelhetőt nem változtat.
Olvassa ki az állapotot, amíg még létezik
Jegyezze fel a peer címét, a használt IKE verziót, a védett hálózatokat és az irányonkénti számlálókat, mielőtt bármihez hozzányúlna. A támogatott nézetek kiadásonként eltérnek, de a formák stabilak: show crypto ipsec sa peer, show crypto ikev2 sa detailed vagy az IKEv1 megfelelője, és show vpn-sessiondb a munkamenet-réteghez.
Írja fel az időbélyeget és a pontos, felhasználó számára látható hibát a kimenet mellé. Egy peer általában több védett hálózatot hordoz, ezért a peerre korlátozott clear hatósugara az adott peer minden szelektorára kiterjed, nem a jegyben szereplő egyetlen alkalmazásra. Előzetes kép nélküli resetet utólag nem lehet diagnosztizálni, mert a clear éppen azokat a számlálókat törli, amelyekhez hasonlított volna.
Először rögzítse a bizonyítékokat. A clear eltávolítja őket, és az utólag készített képernyőkép azt mondja meg, mi épült újjá, nem azt, mi volt hibás.
Mit tesz valójában a peerre korlátozott clear
A Cisco clear parancsreferenciája dokumentálja a peerre korlátozott IPsec formát. Dokumentációs címmel helyettesítve így néz ki:
clear crypto ipsec sa peer 198.51.100.42Ez a parancs lebontja a peerhez illeszkedő IPsec társításokat. Nem távolítja el az IKE SA-t, nem törli a konfigurációt, és nem állítja vissza a munkamenet-adatbázist. Olyan felügyeleti útvonalról futtassa, amely nem függ a módosított alagúttól, mert az abban szállított SSH munkamenet vele együtt meghal, és lehet, hogy magától nem tér vissza. Minden más az eszközön tovább működik, és éppen ezért tűnik ártalmatlannak a parancs.
Ha a cél keresése bizonytalan, ne essen vissza minősítés nélküli clearre. A szélesebb forma az eszköz minden peerjét eléri, és az okozott kiesés nagyobb lesz annál, amiért hívták.
Ellenőrizze azt a réteget, amelyet javítani akart
A clear után erősítse meg, hogy a társítások friss számlálókkal tértek vissza, ahelyett hogy azt feltételezné, a reset működött, mert a peer lista újra megtelt. Utána tesztelje a jegyben megnevezett alkalmazást, mert a sikeres ping semmit sem mond egy szolgáltatási engedélyről vagy egy lejárt munkamenetről.
Ha a társítások újraépülnek, és az alkalmazás továbbra is hibázik, a fennmaradó jelöltek az IKE réteg és a munkamenet-réteg. Válassza azt, amelynek állapotát még meg tudja vizsgálni. Használja a célzott műveletet a ténylegesen futó verzióhoz, legyen az IKEv2 clear, IKEv1 clear vagy a megfelelő munkamenettípusra korlátozott munkamenet-adatbázis clear. A tartós crypto-map konfiguráció törlése és újralétrehozása az újraépítés kikényszerítéséhez hosszabb visszaállítással járó találgatás.
Eszkaláljon mindkét képpel, előtte és utána, ahelyett hogy újra tisztítana.
Amikor a reset meghosszabbítja a kiesést
Az ismételt clearek elrejtik azokat a hibákat, amelyeket a reset nem tud kijavítani: hiányzó útvonal, az új alhálózathoz már nem illeszkedő szelektor, az egyik oldalon megváltoztatott előre megosztott kulcs, vagy olyan kulcsújítás, amely újra és újra meghiúsul egy olyan javaslaton, amelyet a peer nem fogad el. Minden clear megszakítja az egészséges forgalmat az adott peer minden szelektorán, miközben a valódi ok érintetlen marad. Így lesz egy ötperces vizsgálatból változási ablak.
A korlátozott reset továbbra is hasznos. A hasznos változat célzott, rögzített, és követi annak a rétegnek az ellenőrzése, amelyet javítania kellett volna.
A munka sorrendje: rögzítse a peert, a verziót, a szelektorokat és a számlálókat; erősítse meg, melyik hatókörhöz tartozik a hiba; futtassa a legszűkebb illeszkedő cleart; ellenőrizze a társításokat és az alkalmazást; eszkaláljon bizonyítékokkal, ha a réteg helyreáll, de a tünet nem szűnik meg.