ASAдагы peer reset IPsec SAларды өчүрөт, IKE абалын же сессияларды эмес
peerге чектелген бир clear IPsec маалымат жолун гана бузат. Эмне калаарын, тоннель эмне үчүн секунддарда кайра куруларын жана анын ордуна кайсы катмарды тазалоо керектигин көрүңүз.
Тоннель бир колдонмо үчүн кулайт, бирөө peerге чектелген IPsec clear иштетет, ал эми билет буйрук кабыл алынды деген себептен жабылат. Бул ыраатта мүчүлүштүн оңдолгонун көрсөткөн эч нерсе жок. ASAда reset сөзү үч өзүнчө алкакты камтыйт, peerге чектелген clear ошолордун так бирине тийет, ошондуктан ошол эле тоннель оператор чыгарылышты окуп бүтө электе эле кайра көтөрүлөт.
Бир сөздүн артында үч алкак
IPsec SA түгээги — маалымат жолунун өзү, ар бир багытка бир ассоциация, иреттик номерлер жана эсептегичтер менен. IKE SA — ошол ассоциацияларды жараткан жана peer менен мамилени азырынча кармап турган сүйлөшүү каналы. VPN сессиясы — сессиялар базасындагы колдонуучу, сайттан-сайтка peer же кардарсыз туташуу үчүн жазуу.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Алкактар бирин тазалаганда калгандары иштеп турарлык өлчөмдө көз карандысыз, жана ушул көз карандысыздык башаламандыктын көбүн жаратат. IKE SA соо кезде IPsec SAларды тазалаңыз, трафик секунддарда жаңы ассоциацияларды жаратат, ошондуктан тоннель өзү айыккандай көрүнөт. Бирок негизги сунуштын дал келбестиги, маршруттун боштугу же аутентификациянын ишке ашпай калышы дагы эле бар.
Эгер мүчүлүш сүйлөшүүдө болсо, IPsec clear байкалуучу эч нерсени өзгөртпөйт.
Абалды ал дагы бар кезде окуңуз
Бир нерсеге тийиштен мурун peer дарегин, колдонулуп жаткан IKE версиясын, корголгон тармактарды жана багыттык эсептегичтерди жазып алыңыз. Колдоого алынган көрүнүштөр чыгарылышка жараша өзгөрөт, бирок формалар туруктуу: show crypto ipsec sa peer, show crypto ikev2 sa detailed же IKEv1 эквиваленти, жана сессия катмары үчүн show vpn-sessiondb.
Ошол чыгарылыштын жанына убакыт белгисин жана колдонуучуга көрүнүүчү так мүчүлүштү жазыңыз. Бир peer адатта бир нече корголгон тармакты алып жүрөт, ошондуктан peerге чектелген clearдын таасир радиусу ошол peerдеги ар бир тандоочу, билеттеги жалгыз колдонмо эмес. Алдын ала сүрөтсүз resetти кийин диагностикалоо мүмкүн эмес, анткени clear салыштыра турган эсептегичтерди так өзүн өчүрөт.
Алгач далилдерди жазып алыңыз. Clear аларды жок кылат, ал эми кийин тартылган скриншот эмне кайра курулганын айтат, эмне бузулганын эмес.
peerге чектелген clear чындыгында эмне кылат
Ciscoнун clear буйруктарынын маалымдамасы peerге чектелген IPsec формасын документтештирет. Документтик дарек коюлганда ал мындай көрүнөт:
clear crypto ipsec sa peer 198.51.100.42Бул буйрук peerге дал келген IPsec ассоциацияларын бузат. Ал IKE SAны алып салбайт, конфигурацияны өчүрбөйт жана сессиялар базасын кайра демейт. Аны өзгөртүп жаткан тоннелге көз каранды эмес башкаруу жолунан иштетиңиз, анткени ошол тоннелдин ичинде ташылуучу SSH сессиясы аны менен өлөт жана өзү кайтпашы мүмкүн. Түзмөктөгү калганынын баары ишин улантат, ошондуктан буйрук зыянсыз сезилет.
Максатты издөө белгисиз болсо, шартсыз clearга кайтпаңыз. Кененирээк форма түзмөктөгү ар бир peerге жетет, жана сиз жараткан үзгүлтүк сизди чакырган үзгүлтүктөн чоңураак болот.
Оңдогонго ниеттенген катмарды текшериңиз
Clearдан кийин ассоциациялар жаңы эсептегичтер менен кайтканын ырастаңыз, peer тизмеси кайра толду деп reset иштеди деп ойлобоңуз. Андан кийин билетте аталган колдонмону сынаңыз, анткени ийгиликтүү ping кызмат уруксаты же мөөнөтү бүткөн сессия жөнүндө эч нерсе айтпайт.
Эгер ассоциациялар кайра курулуп, колдонмо дагы эле иштебесе, калган талапкерлер — IKE катмары жана сессия катмары. Абалын дагы көрө алганыңызды тандаңыз. Чындыгында иштеп жаткан версия үчүн максаттуу аракетти колдонуңуз: IKEv2 clear, IKEv1 clear же туура сессия түрүнө чектелген сессиялар базасынын clearы. Туруктуу crypto-map конфигурациясын өчүрүп кайра түзүү менен кайра курууга мажбурлоо — кайтарылышы узагыраак божомол.
Дагы тазалоонун ордуна эки сүрөт менен, мурун жана кийин, эскалация жасаңыз.
Reset үзгүлтүктү узартканда
Кайталанган clearдар reset оңдой албаган мүчүлүштөрдү жашырат: жетпеген маршрут, жаңы ички тармакка мындан ары дал келбеген тандоочу, бир тарапта өзгөртүлгөн алдын ала бөлүшүлгөн ачкыч же peer кабыл албаган сунушта кайра-кайра ишке ашпаган ачкыч жаңыртуу. Ар бир clear ошол peerдин ар бир тандоочусунда соо трафикти үзөт, ал эми чыныгы себеп тийилбеген бойдон калат. Ошентип беш мүнөттүк иликтөө өзгөрүү терезесине айланат.
Чектелген reset дагы пайдалуу. Пайдалуу вариант — максаттуу, жазылган жана оңдошу керек болгон катмарды текшерүү менен коштолгон вариант.
Иш тартиби: peer, версия, тандоочулар жана эсептегичтерди жазыңыз; мүчүлүш кайсы алкакка таандык экенин ырастаңыз; дал келген эң тар clearды иштетиңиз; ассоциацияларды жана колдонмону текшериңиз; катмар калыбына келсе да симптом кетпесе, далилдер менен эскалация жасаңыз.