ASA-дағы peer reset IPsec SA-ларды жояды, IKE күйін немесе сессияларды емес
Тек peer-ге шектелген clear IPsec деректер жолын ғана бұзады. Не қалатынын, туннель неге секундтарда қайта құрылатынын және оның орнына қай қабатты тазалау керегін қараңыз.
Туннель бір қосымша үшін құлайды, біреу peer-ге шектелген IPsec clear іске қосады, ал билет команда қабылданды деген себеппен жабылады. Бұл тізбекте ақаудың жойылғанын көрсететін ештеңе жоқ. ASA-да reset сөзі үш бөлек ауқымды қамтиды, ал peer-ге шектелген clear солардың дәл біреуіне тиеді, сондықтан сол туннель оператор шығысты оқып бітірмей тұрып жиі қайта көтеріледі.
Бір сөздің артында үш ауқым
IPsec SA жұбы — деректер жолының өзі, әр бағытқа бір ассоциация, реттік нөмірлер мен есептегіштермен. IKE SA — сол ассоциацияларды жасаған және peer-мен қатынасты әлі ұстап тұрған келіссөз арнасы. VPN сессиясы — сессиялар дерекқорындағы пайдаланушы, сайттан-сайтқа peer немесе клиентсіз қосылым үшін жазба.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Ауқымдар бірін тазалағанда қалғандары жұмыс істеп тұратындай жеткілікті тәуелсіз, және осы тәуелсіздік шатасудың көбін тудырады. IKE SA сау кезде IPsec SA-ларды тазалаңыз, трафик секундтарда жаңа ассоциацияларды тудырады, сондықтан туннель өзі емделгендей көрінеді. Бірақ негізгі ұсыныс сәйкессіздігі, маршрут олқылығы немесе аутентификация сәтсіздігі әлі де сонда.
Егер ақау келіссөзде болса, IPsec clear байқалатын ештеңені өзгертпейді.
Күйді ол әлі бар кезде оқыңыз
Бірдеңеге тимес бұрын peer мекенжайын, қолданылатын IKE нұсқасын, қорғалған желілерді және бағыттық есептегіштерді жазып алыңыз. Қолдау көрсетілетін көріністер шығарылымға қарай өзгереді, бірақ пішіндер тұрақты: show crypto ipsec sa peer, show crypto ikev2 sa detailed немесе IKEv1 баламасы, және сессия қабаты үшін show vpn-sessiondb.
Сол шығыстың қасына уақыт белгісін және пайдаланушыға көрінетін нақты ақауды жазыңыз. Бір peer әдетте бірнеше қорғалған желіні алып жүреді, сондықтан peer-ге шектелген clear-дың әсер ету радиусы — сол peer-дегі әр селектор, билеттегі жалғыз қосымша емес. Алдын ала суретсіз reset-ті кейін диагностикалау мүмкін емес, өйткені clear салыстыратын есептегіштердің дәл өзін жояды.
Алдымен дәлелдерді жазып алыңыз. Clear оларды жояды, ал кейін түсірілген скриншот не қайта құрылғанын айтады, не бұзылғанын емес.
peer-ге шектелген clear шын мәнінде не істейді
Cisco-ның clear командалар анықтамасы peer-ге шектелген IPsec пішінін құжаттайды. Құжаттамалық мекенжай қойылғанда ол былай көрінеді:
clear crypto ipsec sa peer 198.51.100.42Бұл команда peer-ге сәйкес IPsec ассоциацияларын бұзады. Ол IKE SA-ны жоймайды, конфигурацияны өшірмейді және сессиялар дерекқорын қайта демейді. Оны өзгертіп жатқан туннельге тәуелді емес басқару жолынан іске қосыңыз, өйткені сол туннель ішінде тасымалданатын SSH сессиясы онымен бірге өледі және өздігінен қайтпауы мүмкін. Құрылғыдағы қалғанның бәрі жұмысын жалғастырады, сондықтан команда зиянсыз көрінеді.
Мақсатты іздеу белгісіз болса, шартсыз clear-ға оралмаңыз. Кеңірек пішін құрылғыдағы әр peer-ге жетеді, ал сіз жасаған үзіліс сізді шақырған үзілістен үлкен болады.
Түзетпек болған қабатты тексеріңіз
Clear-дан кейін ассоциациялардың жаңа есептегіштермен қайтқанын растаңыз, peer тізімі қайта толды деп reset жұмыс істеді деп ойламаңыз. Содан кейін билетте аталған қосымшаны сынаңыз, өйткені сәтті ping қызмет рұқсаты немесе мерзімі біткен сессия туралы ештеңе айтпайды.
Егер ассоциациялар қайта құрылып, қосымша әлі істемесе, қалған үміткерлер — IKE қабаты мен сессия қабаты. Күйін әлі көре алатыныңызды таңдаңыз. Нақты жұмыс істеп тұрған нұсқаға арналған мақсатты әрекетті қолданыңыз: IKEv2 clear, IKEv1 clear немесе дұрыс сессия түріне шектелген сессиялар дерекқорының clear-ы. Тұрақты crypto-map конфигурациясын жойып, қайта жасау арқылы қайта құруға мәжбүрлеу — қайтаруы ұзағырақ болжам.
Тағы тазалаудың орнына екі суретпен, дейін және кейін, эскалация жасаңыз.
Reset үзілісті ұзартқанда
Қайталанған clear-дар reset түзете алмайтын ақауларды жасырады: жетпейтін маршрут, жаңа ішкі желіге енді сәйкес келмейтін селектор, бір жақта өзгертілген алдын ала бөлінген кілт немесе peer қабылдамайтын ұсыныста қайта-қайта сәтсіз болатын кілт жаңарту. Әр clear сол peer-дің әр селекторында сау трафикті үзеді, ал нақты себеп тиіспеген күйінде қалады. Осылай бес минуттық тексеру өзгеріс терезесіне айналады.
Шектелген reset әлі де пайдалы. Пайдалы нұсқа — мақсатты, жазылған және түзетуі тиіс қабатты тексерумен жалғасатын нұсқа.
Жұмыс тәртібі: peer, нұсқа, селекторлар мен есептегіштерді жазыңыз; ақау қай ауқымға жататынын растаңыз; сәйкес келетін ең тар clear-ды іске қосыңыз; ассоциациялар мен қосымшаны тексеріңіз; қабат қалпына келсе де симптом кетпесе, дәлелдермен эскалация жасаңыз.