Peer-reset á ASA eyðir IPsec-SA en ekki IKE-stöðu eða setum
Eitt clear sem takmarkast við peer rífur aðeins IPsec-gagnaleiðina. Sjáðu hvað lifir af, hvers vegna tunnillinn byggist upp á sekúndum og hvaða lag á að hreinsa í staðinn.
Tunnillinn fellur fyrir eitt forrit, einhver keyrir IPsec-clear sem takmarkast við peer og miðanum er lokað því skipunin var samþykkt. Ekkert í þeirri röð sýnir að bilunin hafi verið lagfærð. Á ASA nær orðið reset yfir þrjú aðskilin svið, og clear sem takmarkast við peer snertir nákvæmlega eitt þeirra, þess vegna er sami tunnillinn oft kominn upp aftur áður en stjórnandinn hefur klárað að lesa úttakið.
Þrjú svið fela sig bak við eitt orð
IPsec-SA par er gagnaleiðin sjálf, ein samtenging á hverja stefnu, með raðnúmerum og teljurum. IKE-SA er samningaleiðin sem bjó til þessar samtengingar og heldur enn sambandinu við peerinn saman. VPN-seta er færslan í setugagnagrunninum fyrir notanda, peer frá stað til staðar eða tengingu án biðlara.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Sviðin eru nógu óháð til að hreinsun eins leyfir hinum að halda áfram, og það óhæði skapar megnið af ruglingnum. Hreinsaðu IPsec-SA á meðan IKE-SA er heilbrigt, og umferð veldur nýjum samtengingum á sekúndum, svo tunnillinn virðist hafa læknað sig sjálfur. En undirliggjandi misræmi í tillögu, eyðan í leiðinni eða auðkenningarbilunin er enn þar.
Ef bilunin er í samningunum breytir IPsec-clear engu sem hægt er að sjá.
Lestu stöðuna á meðan hún er enn til
Skráðu peer-fangið, IKE-útgáfuna sem er í notkun, vernduðu netin og stefnuteljarana áður en þú snertir nokkuð. Studdu yfirlitin eru mismunandi eftir útgáfum, en formin eru stöðug: show crypto ipsec sa peer, show crypto ikev2 sa detailed eða IKEv1-ígildið, og show vpn-sessiondb fyrir setulagið.
Skrifaðu tímaaukann og nákvæmu bilunina sem notandinn sér við hlið þessa úttaks. Einn peer ber oft nokkur vernduð net, svo áhrifasvið clear sem takmarkast við peer er hver valari á þeim peer, ekki eina forritið í miðanum. Ekki er hægt að greina reset án fyrri myndar eftir á, því clear eyðir einmitt teljunum sem þú hefðir borið saman við.
Tryggðu sönnunargögnin fyrst. Clear fjarlægir þau, og skjámynd sem tekin er eftir á segir þér hvað var endurbyggt, ekki hvað var bilað.
Hvað clear sem takmarkast við peer gerir í raun
Tilvísun Cisco í clear-skipunum skjalfestir IPsec-formið sem takmarkast við peer. Með skjalfestu fangi í staðinn lítur það svona út:
clear crypto ipsec sa peer 198.51.100.42Sú skipun rífur IPsec-samtengingarnar sem passa við peerinn. Hún fjarlægir ekki IKE-SA, eyðir ekki stillingum og endurstillir ekki setugagnagrunninn. Keyrðu hana frá stjórnleið sem er ekki háð tunnillnum sem þú ert að breyta, því SSH-seta sem flutt er inni í þeim tunnli deyr með honum og kemur kannski ekki aftur af sjálfu sér. Allt annað á tækinu heldur áfram að keyra, og einmitt þess vegna virðist skipunin meinlaus.
Þegar leit að markinu er óviss skaltu ekki grípa til clear án skilyrða. Víðtækara formið nær til hvers peers á tækinu, og bilunin sem þú veldur verður stærri en sú sem kallað var á þig út af.
Staðfestu lagið sem þú ætlaðir að laga
Eftir clearið skaltu staðfesta að samtengingarnar hafi komið aftur með nýjum teljurum í stað þess að gera ráð fyrir að reset hafi virkað af því peer-listinn fylltist aftur. Prófaðu svo forritið sem miðinn nefndi, því árangursríkt ping segir ekkert um þjónustuheimild eða útrunna setu.
Ef samtengingarnar byggjast upp aftur og forritið mistekst enn, eru eftirstandandi kandídatar IKE-lagið og setulagið. Veldu það sem þú getur enn skoðað stöðuna á. Notaðu markvissu aðgerðina fyrir útgáfuna sem er í raun í gangi, hvort sem það er clear fyrir IKEv2, clear fyrir IKEv1 eða clear á setugagnagrunni takmarkað við rétta setugerð. Að eyða og endurskapa varanlegri crypto-map-stillingu til að þvinga endurbyggingu er gisk með lengri afturköllun.
Eskaleraðu með báðum myndum, fyrir og eftir, í stað þess að hreinsa aftur.
Þegar reset lengir bilunina
Endurtekin clear fela bilanimar sem reset getur ekki lagað: leið sem vantar, valari sem passar ekki lengur við nýja undirnetið, fyrirfram deildur lykill sem var breyttur á öðrum enda, eða lyklanýjun sem mistekst aftur og aftur á tillögu sem peerinn mun ekki samþykkja. Hvert clear rýfur heilbrigða umferð á hverjum valara þess peers á meðan raunverulega orsökin helst ósnert. Þannig verður fimm mínútna rannsókn að breytingaglugga.
Takmarkað reset er enn gagnlegt. Gagnlega útgáfan er markviss, skráð og fylgt eftir með skoðun á því lagi sem það átti að laga.
Vinnuröð: skráðu peer, útgáfu, valara og teljara; staðfestu hvaða sviði bilunin tilheyrir; keyrðu þrengsta samsvarandi clear; staðfestu samtengingar og forritið; eskaleruðu með sönnunargögnum ef lagið nær sér en einkennið er ekki.