Peer-Reset op der ASA läscht IPsec-SAen, net den IKE-Zoustand oder Sessiounen
Ee peer-begrenzten Clear räisst nëmmen den IPsec-Datenwee of. Kuckt wat iwwerlieft, firwat den Tunnel a Sekonnen nees opgebaut gëtt a wéi eng Schicht Dir amplaz läscht.
Den Tunnel fält fir eng eenzeg Applikatioun, een dreet ee peer-begrenzten IPsec-Clear aus, an den Ticket gëtt zougemaach well de Befehl akzeptéiert gouf. Näischt an dëser Rei weist datt de Feeler behuewe gouf. Op enger ASA deckt d'Wuert reset dräi getrennte Beräicher of, an dee peer-begrenzten Clear beréiert genee een dovun, dofir ass dee selwechten Tunnel dacks nees uewen ier den Operateur d'Ausgab fäerdeg gelies huet.
Dräi Beräicher verstoppen sech hannert engem Wuert
En IPsec-SA-Puer ass den Datenwee selwer, eng Associatioun pro Richtung, mat Sequenznummeren a Comptoiren. Eng IKE-SA ass den Aushandlungskanal, deen déi Associatioune produzéiert huet an de Kontakt mam Peer nach zesummenhält. Eng VPN-Sessioun ass den Aschreiwung an der Sessiounsdatebank fir e Benotzer, e Site-zu-Site-Peer oder eng Verbindung ouni Client.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
D'Beräicher sinn onofhängeg genuch, datt d'Läschen vum engen déi aner weider schaffe léisst, an dës Onofhängegkeet erzeiht de gréissten Deel vun der Duercherneen. Läscht d'IPsec-SAen, während d'IKE-SA gesond ass, an den Trafik verursaacht a Sekonnen nei Associatiounen, also gesäit den Tunnel aus wéi wann hie sech selwer geheelt hätt. Den ënnerläjnende Proposal-Mëssverhältnis, de Wee-Lach oder de Authentifikatiounsfeeler sinn awer nach do.
Wann de Feeler an der Aushandlung läit, ännert en IPsec-Clear näischt observéierbares.
Liest den Zoustand well en nach existéiert
Notéiert d'Peer-Adress, déi benotzt IKE-Versioun, déi geschützt Netzwierker an d'Richtungscomptoiren ier Dir eppes beréiert. Déi ënnerstëtzte Vueen ënnerscheede sech jee no Release, awer d'Forme si stabil: show crypto ipsec sa peer, show crypto ikev2 sa detailed oder den IKEv1-Äquivalent, an show vpn-sessiondb fir d'Sessiounsschicht.
Schreift den Zäitstempel an dee geneeë benotzersichtbare Feeler nieft déi Ausgab. E Peer dréit dacks méi geschützt Netzwierker, dofir ass den Aflossradius vun engem peer-begrenzten Clear all Selektuer op deem Peer, net déi eenzeg Applikatioun am Ticket. En Reset ouni Bild virdrun kann een duerno net diagnostizéieren, well de Clear genee déi Comptoiren läscht, mat deenen Dir verglach hätt.
Séchert fir d'éischt d'Beweiser. De Clear hëlt se ewech, an e Screenshot deen duerno gemaach gëtt, seet Iech wat nei opgebaut gouf, net wat futti war.
Wat dee peer-begrenzten Clear tatsächlech mécht
Dem Cisco seng Referenz vun de clear-Befehler dokumentéiert déi peer-begrenzt IPsec-Form. Mat enger Dokumentatiounsadress agesat gesäit se sou aus:
clear crypto ipsec sa peer 198.51.100.42Dee Befehl räisst d'IPsec-Associatiounen of, déi zum Peer passen. Hie entfernt d'IKE-SA net, läscht keng Konfiguratioun an hält d'Sessiounsdatebank net aus. Drot en iwwer en Administratiounswee deen net vun deem Tunnel ofhängeg ass, deen Dir ännert, well eng SSH-Sessioun déi an deem Tunnel transportéiert gëtt, stierft mat him an da kënnt se vläicht net vun selwer zréck. Alles aneres um Apparat leeft weider, an dowéinst fillt de Befehl sech harmlos un.
Wann d'Zilsich onsécher ass, fällt net op ee Clear ouni Qualifikatioun zréck. Déi méi breet Form erreeicht all Peer um Apparat, an de Stéierung deen Dir schaaft wäert méi grouss sinn wéi deen, fir deen Dir geruff gouf.
Verifizéiert d'Schicht déi Dir wëllt reparéieren
No dem Clear bestätegt datt d'Associatiounen mat frëschen Comptoiren zréckkomm sinn, amplaz unzehuelen de Reset hätt funktionéiert well d'Peer-Lëscht nees gefëllt gouf. Test dann d'Applikatioun déi den Ticket genannt huet, well e gelungenen Ping seet näischt iwwer eng Déngschtleeschtungsberechtegung oder eng ofgelaf Sessioun.
Wann d'Associatiounen nei opgebaut ginn an d'Applikatioun awer nach ëmmer feelt, sinn déi reschtlech Kandidaten d'IKE-Schicht an d'Sessiounsschicht. Wielt déi, vun deem Dir den Zoustand nach kënnt ënnersichen. Benotzt déi gezielt Operatioun fir déi Versioun déi tatsächlech leeft, egal ob et en IKEv2-Clear, en IKEv1-Clear oder en op de richtege Sessiounstyp begrenzte Sessiounsdatebank-Clear ass. D'Läschen an Neiopbauen vun enger permanente crypto-map-Konfiguratioun fir en Neiopbau ze forcéieren ass eng Schätzung mat engem méi laange Réckwee.
Eskaléiert mat den zwou Biller, virun an duerno, amplaz nach eng Kéier ze läschen.
Wann de Reset d'Stéierung verlängert
Widderhollte Clears verstoppen d'Feeler déi en Reset net ka beheben: e Wee dee fehlt, e Selektuer dee sech net méi mat dem neien Subnetz deckt, en an enger Richtung geännerten virgeschloossene Schlëssel oder eng Schlësselerneierung déi ëmmer erëm bei engem Propositioun feelt deen de Peer net akzeptéiert. All Clear ënnerbriecht gesonden Trafik op all Selektuer vun deem Peer, während déi richteg Ursaach onberéiert bleift. Sou gëtt aus enger fënnefminutteger Enquête eng Ännerungsfenster.
En begrenzten Reset ass nach ëmmer nëtzlech. Déi nëtzlech Versioun ass gezilt, festgehalen a gefollegt vun enger Iwwerpréiwung vun der Schicht déi se sollt reparéieren.
Aarbechtsuerdnung: notéiert Peer, Versioun, Selektueren a Comptoiren; bestätegt a wéien Beräich de Feeler gehéiert; dreift dee schmuelsten passenden Clear aus; verifizéiert Associatiounen an d'Applikatioun; eskaléiert mat Beweiser wann d'Schicht sech erhëlt awer d'Symptom net.