Reset peer di ASA menghapus SA IPsec, bukan status IKE atau sesi
Satu clear yang dibatasi peer hanya meruntuhkan jalur data IPsec. Lihat apa yang bertahan, mengapa tunnel dibangun ulang dalam hitungan detik, dan lapisan mana yang sebaiknya dibersihkan.
Tunnel jatuh untuk satu aplikasi, seseorang menjalankan clear IPsec yang dibatasi peer, dan tiket ditutup karena perintahnya diterima. Tidak ada apa pun dalam urutan itu yang menunjukkan gangguan sudah diperbaiki. Di ASA kata reset mencakup tiga cakupan terpisah, dan clear yang dibatasi peer menyentuh tepat satu di antaranya, karena itu tunnel yang sama sering sudah naik lagi sebelum operator selesai membaca output.
Tiga cakupan tersembunyi di balik satu kata
Pasangan SA IPsec adalah jalur data itu sendiri, satu asosiasi per arah, dengan nomor urut dan penghitung. SA IKE adalah kanal negosiasi yang menghasilkan asosiasi tersebut dan masih menahan hubungan dengan peer. Sesi VPN adalah catatan di basis data sesi untuk pengguna, peer situs-ke-situs, atau koneksi tanpa klien.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Cakupan-cakupan itu cukup independen sehingga membersihkan satu membiarkan yang lain berjalan, dan kemandirian itulah yang menimbulkan sebagian besar kebingungan. Bersihkan SA IPsec saat SA IKE sehat, dan lalu lintas memicu asosiasi baru dalam hitungan detik, sehingga tunnel tampak pulih sendiri. Namun ketidakcocokan proposal, celah rute, atau kegagalan autentikasi masih ada di sana.
Jika gangguan ada pada negosiasi, clear IPsec tidak mengubah apa pun yang bisa diamati.
Baca statusnya selagi masih ada
Catat alamat peer, versi IKE yang dipakai, jaringan yang dilindungi, dan penghitung per arah sebelum menyentuh apa pun. Tampilan yang didukung berbeda menurut rilis, tetapi bentuknya stabil: show crypto ipsec sa peer, show crypto ikev2 sa detailed atau padanan IKEv1, dan show vpn-sessiondb untuk lapisan sesi.
Tulis stempel waktu dan gangguan persis yang dilihat pengguna di samping output itu. Satu peer biasanya membawa beberapa jaringan terlindungi, jadi radius dampak clear yang dibatasi peer adalah setiap selektor pada peer itu, bukan satu aplikasi di tiket. Reset tanpa gambaran awal tidak bisa didiagnosis setelahnya, karena clear menghapus justru penghitung yang akan Anda bandingkan.
Kumpulkan bukti lebih dulu. Clear menghapusnya, dan tangkapan layar yang diambil sesudahnya memberi tahu apa yang dibangun ulang, bukan apa yang rusak.
Apa yang sebenarnya dilakukan clear yang dibatasi peer
Referensi perintah clear Cisco mendokumentasikan bentuk IPsec yang dibatasi peer. Dengan alamat dokumentasi disubstitusikan, tampilannya seperti ini:
clear crypto ipsec sa peer 198.51.100.42Perintah itu meruntuhkan asosiasi IPsec yang cocok dengan peer. Perintah ini tidak menghapus SA IKE, tidak menghapus konfigurasi, dan tidak mereset basis data sesi. Jalankan dari jalur manajemen yang tidak bergantung pada tunnel yang sedang Anda ubah, karena sesi SSH yang dibawa di dalam tunnel itu akan mati bersamanya dan mungkin tidak kembali sendiri. Semua hal lain di perangkat tetap berjalan, dan justru karena itulah perintah ini terasa tidak berbahaya.
Bila pencarian target tidak pasti, jangan beralih ke clear tanpa kualifikasi. Bentuk yang lebih luas menjangkau setiap peer di perangkat, dan gangguan yang Anda buat akan lebih besar daripada yang membuat Anda dipanggil.
Verifikasi lapisan yang ingin Anda perbaiki
Setelah clear, pastikan asosiasi kembali dengan penghitung baru alih-alih menganggap reset berhasil karena daftar peer terisi lagi. Lalu uji aplikasi yang disebut tiket, karena ping yang berhasil tidak mengatakan apa pun tentang izin layanan atau sesi yang kedaluwarsa.
Jika asosiasi dibangun ulang dan aplikasi tetap gagal, kandidat yang tersisa adalah lapisan IKE dan lapisan sesi. Pilih yang statusnya masih bisa Anda periksa. Gunakan operasi bertarget untuk versi yang benar-benar berjalan, apakah itu clear IKEv2, clear IKEv1, atau clear basis data sesi yang dibatasi jenis sesi yang tepat. Menghapus dan membuat ulang konfigurasi crypto-map permanen untuk memaksa pembangunan ulang adalah dugaan dengan pengembalian yang lebih panjang.
Eskalasi dengan kedua gambar, sebelum dan sesudah, alih-alih membersihkan lagi.
Ketika reset justru memperpanjang gangguan
Clear yang berulang menyembunyikan gangguan yang tidak bisa diperbaiki reset: rute yang hilang, selektor yang tidak lagi cocok dengan subnet baru, kunci yang dibagi sebelumnya yang diubah di satu sisi, atau pembaruan kunci yang terus gagal pada proposal yang tidak akan diterima peer. Setiap clear memutus lalu lintas sehat di setiap selektor peer tersebut sementara penyebab sebenarnya tetap tak tersentuh. Begitulah investigasi lima menit berubah menjadi jendela perubahan.
Reset yang terbatas tetap berguna. Versi yang berguna adalah yang bertarget, tercatat, dan diikuti pemeriksaan lapisan yang seharusnya diperbaiki.
Urutan kerja: catat peer, versi, selektor, dan penghitung; pastikan cakupan mana gangguan itu berada; jalankan clear tersempit yang cocok; verifikasi asosiasi dan aplikasi; eskalasi dengan bukti bila lapisan pulih tetapi gejalanya tidak.