ASA-ზე peer reset შლის IPsec SA-ებს და არა IKE მდგომარეობას ან სესიებს
peer-ზე შეზღუდული ერთი clear მხოლოდ IPsec მონაცემთა გზას ამსხვრევს. ნახეთ რა რჩება, რატომ აღდგება გვირაბი წამებში და რომელი შრე ჯობია გაასუფთაოთ.
გვირაბი ერთი აპლიკაციისთვის ვარდება, ვიღაც უშვებს peer-ზე შეზღუდულ IPsec clear-ს და ბილეთი იხურება იმიტომ, რომ ბრძანება მიღებულია. ამ მიმდევრობაში არაფერი აჩვენებს, რომ გაუმართაობა გამოსწორდა. ASA-ზე სიტყვა reset სამ განსხვავებულ არეს ფარავს და peer-ზე შეზღუდული clear ზუსტად ერთს ეხება მათგან, ამიტომ იგივე გვირაბი ხშირად უკვე ამოწეულია მანამ, სანამ ოპერატორი გამოტანილ მონაცემებს წაიკითხავს.
სამი არე ერთი სიტყვის მიღმა
IPsec SA წყვილი თავად მონაცემთა გზაა, თითო ასოციაცია თითო მიმართულებაზე, მიმდევრობის ნომრებით და მრიცხველებით. IKE SA არის მოლაპარაკების არხი, რომელმაც ეს ასოციაციები შექმნა და ჯერ კიდევ ინახავს peer-თან ურთიერთობას. VPN სესია არის ჩანაწერი სესიების მონაცემთა ბაზაში მომხმარებლისთვის, საიტიდან-საიტზე peer-ისთვის ან კლიენტის გარეშე კავშირისთვის.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
არეები საკმარისად დამოუკიდებელია, რომ ერთის გასუფთავება დანარჩენებს მუშაობაში ტოვებს, და სწორედ ეს დამოუკიდებლობა ქმნის დაბნეულობის დიდ ნაწილს. გაასუფთავეთ IPsec SA-ები, სანამ IKE SA ჯანსაღია, და ტრაფიკი წამებში ახალ ასოციაციებს წარმოქმნის, ასე რომ გვირაბი თითქოს თავად განიკურნა. მაგრამ შეთავაზების შეუსაბამობა, მარშრუტის ხარვეზი ან ავთენტიფიკაციის წარუმატებლობა კვლავ იქ არის.
თუ გაუმართაობა მოლაპარაკებაშია, IPsec clear ვერაფერს შეცვლის დაკვირვებადს.
წაიკითხეთ მდგომარეობა, სანამ ის ჯერ კიდევ არსებობს
ჩაიწერეთ peer-ის მისამართი, გამოყენებული IKE ვერსია, დაცული ქსელები და მიმართულების მრიცხველები, სანამ რამეს შეეხებით. მხარდაჭერილი ხედები გამოშვების მიხედვით განსხვავდება, მაგრამ ფორმები სტაბილურია: show crypto ipsec sa peer, show crypto ikev2 sa detailed ან IKEv1-ის ეკვივალენტი, და show vpn-sessiondb სესიების შრისთვის.
ამ გამოტანილი მონაცემების გვერდით ჩაწერეთ დროის ნიშანი და ზუსტი, მომხმარებლისთვის ხილვადი გაუმართაობა. ერთ peer-ს ჩვეულებრივ რამდენიმე დაცული ქსელი აქვს, ამიტომ peer-ზე შეზღუდული clear-ის გავლენის რადიუსი ამ peer-ის ყველა სელექტორია და არა ბილეთში მოხსენიებული ერთი აპლიკაცია. წინასწარი სურათის გარეშე reset-ის დიაგნოსტიკა შემდეგ შეუძლებელია, რადგან clear შლის ზუსტად იმ მრიცხველებს, რომლებსაც შეადარებდით.
ჯერ ჩაიწერეთ მტკიცებულებები. Clear მათ შლის, და შემდეგ გადაღებული ეკრანის სურათი გეუბნებათ რა აღდგა და არა რა იყო გატეხილი.
რას აკეთებს სინამდვილეში peer-ზე შეზღუდული clear
Cisco-ს clear ბრძანებების სახელმძღვანელო აღწერს peer-ზე შეზღუდულ IPsec ფორმას. დოკუმენტაციის მისამართის ჩანაცვლებით ის ასე გამოიყურება:
clear crypto ipsec sa peer 198.51.100.42ეს ბრძანება ანგრევს peer-ის შესაბამის IPsec ასოციაციებს. ის არ შლის IKE SA-ს, არ შლის კონფიგურაციას და არ არეზეტებს სესიების მონაცემთა ბაზას. გაუშვით ის მართვის იმ გზიდან, რომელიც არ არის დამოკიდებული თქვენს მიერ შეცვლილ გვირაბზე, რადგან ამ გვირაბში გატარებული SSH სესია მასთან ერთად მოკვდება და შესაძლოა თავისით არ დაბრუნდეს. დანარჩენი ყველაფერი მოწყობილობაზე აგრძელებს მუშაობას და სწორედ ამიტომ ბრძანება უვნებლად ჩანს.
როცა სამიზნის ძებნა გაურკვეველია, ნუ დაეცემით უპირობო clear-ზე. უფრო ფართო ფორმა აღწევს მოწყობილობის ყველა peer-ს და თქვენ მიერ შექმნილი შეწყვეტა უფრო დიდი იქნება, ვიდრე ის, რის გამოც დაგირეკეს.
შეამოწმეთ ის შრე, რომლის გამოსწორებაც გინდოდათ
Clear-ის შემდეგ დაადასტურეთ, რომ ასოციაციები ახალი მრიცხველებით დაბრუნდნენ, ნაცვლად იმისა, რომ ჩათვალოთ reset-ის წარმატებად peer-ების სიის ხელახლა ავსება. შემდეგ გამოსცადეთ ბილეთში დასახელებული აპლიკაცია, რადგან წარმატებული ping არაფერს ამბობს სერვისის ნებართვაზე ან ვადაგასულ სესიაზე.
თუ ასოციაციები ხელახლა აღდგება და აპლიკაცია მაინც ვერ მუშაობს, დარჩენილი კანდიდატები IKE შრე და სესიების შრეა. აირჩიეთ ის, რომლის მდგომარეობის ნახვაც ჯერ კიდევ შეგიძლიათ. გამოიყენეთ მიზანმიმართული ოპერაცია რეალურად მომუშავე ვერსიისთვის, იქნება ეს IKEv2 clear, IKEv1 clear თუ სწორი სესიის ტიპით შეზღუდული სესიების ბაზის clear. მუდმივი crypto-map კონფიგურაციის წაშლა და ხელახლა შექმნა აღდგენის იძულებისთვის უფრო გრძელი უკუბრუნებითი ვარაუდია.
ესკალაცია მოახდინეთ ორივე სურათით, ადრე და შემდეგ, ნაცვლად კიდევ ერთხელ გასუფთავებისა.
როცა reset ახანგრძლივებს შეწყვეტას
განმეორებითი clear-ები მალავს იმ გაუმართაობებს, რომლებსაც reset ვერ გამოასწორებს: დაკარგული მარშრუტი, სელექტორი, რომელიც აღარ შეესაბამება ახალ ქვექსელს, ერთ მხარეს შეცვლილი წინასწარ გაზიარებული გასაღები, ან გასაღების განახლება, რომელიც გამუდმებით ვარდება იმ შეთავაზებაზე, რომელსაც peer არ მიიღებს. ყოველი clear წყვეტს ჯანსაღ ტრაფიკს ამ peer-ის ყველა სელექტორზე, სანამ ნამდვილი მიზეზი ხელუხლებელი რჩება. ასე გადაიქცევა ხუთწუთიანი გამოძიება ცვლილების ფანჯრად.
შეზღუდული reset მაინც სასარგებლოა. სასარგებლო ვარიანტია მიზანმიმართული, ჩაწერილი და თან ახლავს იმ შრის შემოწმება, რომლის გამოსწორებაც უნდა მომხდარიყო.
მუშაობის რიგი: ჩაწერეთ peer, ვერსია, სელექტორები და მრიცხველები; დაადასტურეთ რომელ არეს ეკუთვნის გაუმართაობა; გაუშვით ყველაზე ვიწრო შესაბამისი clear; შეამოწმეთ ასოციაციები და აპლიკაცია; ესკალაცია მოახდინეთ მტკიცებულებებით, თუ შრე აღდგა, მაგრამ სიმპტომი არ გაქრა.