ASA-ում peer reset-ը ջնջում է IPsec SA-երը, ոչ IKE վիճակը կամ սեսիաները
Մեկ peer-ով սահմանափակված clear-ը քանդում է միայն IPsec տվյալների ուղին։ Տեսեք՝ ինչ է մնում, ինչու թունելը վերակառուցվում է վայրկյանների ընթացքում և որ շերտն ավելի լավ մաքրել։
Թունելը ընկնում է մեկ հավելվածի համար, ինչ-որ մեկը գործարկում է peer-ով սահմանափակված IPsec clear, և տոմսը փակվում է, քանի որ հրամանն ընդունվեց։ Այդ հաջորդականության մեջ ոչինչ չի ցույց տալիս, որ խափանումը վերացվել է։ ASA-ում reset բառը ծածկում է երեք առանձին շրջանակ, և peer-ով սահմանափակված clear-ը դիպչում է դրանցից ուղիղ մեկին, այդ պատճառով նույն թունելը հաճախ նորից վեր է, նախքան օպերատորը կավարտի ելքի ընթերցումը։
Երեք շրջանակ թաքնված են մեկ բառի հետևում
IPsec SA զույգը հենց տվյալների ուղին է՝ մեկ ասոցիացիա յուրաքանչյուր ուղղության համար, հաջորդականության համարներով և հաշվիչներով։ IKE SA-ն բանակցային ալիքն է, որը ստեղծել է այդ ասոցիացիաները և դեռ պահում է peer-ի հետ կապը։ VPN սեսիան սեսիաների տվյալների բազայում գրառումն է օգտատիրոջ, կայք-կայք peer-ի կամ առանց հաճախորդի միացման համար։
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Շրջանակները բավական անկախ են, որ մեկի մաքրումը մյուսներին թողնում է աշխատող, և այդ անկախությունն է ստեղծում շփոթության մեծ մասը։ Մաքրեք IPsec SA-երը, քանի դեռ IKE SA-ն առողջ է, և երթևեկությունը վայրկյանների ընթացքում առաջացնում է նոր ասոցիացիաներ, այնպես որ թունելը կարծես ինքն իրեն բուժվել է։ Բայց առաջարկի անհամապատասխանությունը, երթուղու բացը կամ նույնականացման ձախողումը դեռ այնտեղ են։
Եթե խափանումը բանակցության մեջ է, IPsec clear-ը ոչինչ չի փոխում դիտելի։
Կարդացեք վիճակը, քանի դեռ այն գոյություն ունի
Գրանցեք peer-ի հասցեն, օգտագործվող IKE տարբերակը, պաշտպանված ցանցերը և ուղղվածության հաշվիչները, նախքան որևէ բանի դիպչելը։ Աջակցվող տեսքերը տարբերվում են ըստ թողարկման, բայց ձևերը կայուն են՝ show crypto ipsec sa peer, show crypto ikev2 sa detailed կամ IKEv1-ի համարժեքը, և show vpn-sessiondb սեսիաների շերտի համար։
Այդ ելքի կողքին գրեք ժամանակի դրոշմը և օգտատիրոջը տեսանելի ճշգրիտ խափանումը։ Մեկ peer-ը սովորաբար կրում է մի քանի պաշտպանված ցանց, ուստի peer-ով սահմանափակված clear-ի ազդեցության շառավիղը այդ peer-ի յուրաքանչյուր ընտրիչն է, ոչ թե տոմսի մեկ հավելվածը։ Առանց նախնական պատկերի reset-ը հնարավոր չէ ախտորոշել հետո, քանի որ clear-ը ջնջում է հենց այն հաշվիչները, որոնց հետ կհամեմատեիք։
Նախ գրանցեք ապացույցները։ Clear-ը հեռացնում է դրանք, և հետո արված էկրանի պատկերը ձեզ ասում է, թե ինչ վերակառուցվեց, ոչ թե ինչ էր կոտրված։
Ինչ է իրականում անում peer-ով սահմանափակված clear-ը
Cisco-ի clear հրամանների ուղեցույցը նկարագրում է peer-ով սահմանափակված IPsec ձևը։ Փաստագրական հասցեով փոխարինելու դեպքում այն այսպիսի տեսք ունի՝
clear crypto ipsec sa peer 198.51.100.42Այդ հրամանը քանդում է peer-ին համապատասխանող IPsec ասոցիացիաները։ Այն չի հեռացնում IKE SA-ն, չի ջնջում կարգավորումները և չի վերակայում սեսիաների տվյալների բազան։ Գործարկեք այն կառավարման ուղուց, որը կախված չէ ձեր փոխած թունելից, որովհետև այդ թունելի միջով տարվող SSH սեսիան կմահանա նրա հետ և գուցե ինքնուրույն չվերադառնա։ Մնացած ամեն ինչ սարքում շարունակում է աշխատել, և հենց դրա համար հրամանը անվնաս է թվում։
Երբ թիրախի որոնումը անորոշ է, մի ընկեք չորակավորված clear-ի։ Ավելի լայն ձևը հասնում է սարքի բոլոր peer-երին, և ձեր ստեղծած ընդհատումը ավելի մեծ կլինի, քան այն, ինչի համար ձեզ կանչել են։
Ստուգեք այն շերտը, որը մտադիր էիք ուղղել
Clear-ից հետո հաստատեք, որ ասոցիացիաները վերադարձել են թարմ հաշվիչներով, փոխանակ ենթադրելու, որ reset-ը աշխատել է, որովհետև peer-ների ցանկը նորից լցվեց։ Այնուհետև փորձարկեք տոմսում նշված հավելվածը, որովհետև հաջող ping-ը ոչինչ չի ասում ծառայության թույլտվության կամ ժամկետանց սեսիայի մասին։
Եթե ասոցիացիաները վերակառուցվում են, իսկ հավելվածը դեռ ձախողվում է, մնացած թեկնածուներն են IKE շերտը և սեսիաների շերտը։ Ընտրեք այն, որի վիճակը դեռ կարող եք զննել։ Օգտագործեք նպատակային գործողությունը փաստացի աշխատող տարբերակի համար՝ լինի դա IKEv2 clear, IKEv1 clear, թե ճիշտ սեսիայի տեսակով սահմանափակված սեսիաների տվյալների բազայի clear։ Մշտական crypto-map կարգավորումները ջնջելն ու վերստեղծելը վերակառուցում պարտադրելու համար ավելի երկար հետշրջումով գուշակություն է։
Էսկալացրեք երկու պատկերով՝ առաջ և հետո, փոխանակ նորից մաքրելու։
Երբ reset-ը երկարացնում է ընդհատումը
Կրկնվող clear-երը թաքցնում են այն խափանումները, որոնք reset-ը չի կարող ուղղել՝ բացակայող երթուղի, ընտրիչ, որն այլևս չի համապատասխանում նոր ենթացանցին, մի կողմում փոփոխված նախապես համօգտագործված բանալի, կամ բանալու նորացում, որը շարունակ ձախողվում է մի առաջարկի վրա, որը peer-ը չի ընդունի։ Յուրաքանչյուր clear ընդհատում է առողջ երթևեկությունը այդ peer-ի յուրաքանչյուր ընտրիչի վրա, մինչ իրական պատճառը մնում է անձեռնմխելի։ Այսպես հինգ րոպեանոց հետաքննությունը վերածվում է փոփոխության պատուհանի։
Սահմանափակ reset-ը դեռ օգտակար է։ Օգտակար տարբերակը նպատակային է, գրանցված և ուղեկցվում է այն շերտի զննությամբ, որը ենթադրվում էր ուղղել։
Աշխատանքի հերթականությունը՝ գրանցեք peer, տարբերակ, ընտրիչներ և հաշվիչներ, հաստատեք, թե որ շրջանակին է պատկանում խափանումը, գործարկեք ամենանեղ համապատասխան clear-ը, ստուգեք ասոցիացիաները և հավելվածը, էսկալացրեք ապացույցներով, եթե շերտը վերականգնվեց, բայց ախտանիշը չանհետացավ։