ASA peer reset ištrina IPsec SA, bet ne IKE būseną ar sesijas
Vienas prie peer pririštas clear numeta tik IPsec duomenų kelią. Pažiūrėkite, kas išlieka, kodėl tunelis atsistato per sekundes ir kurį sluoksnį verčiau išvalyti.
Tunelis krenta vienai programai, kažkas paleidžia prie peer pririštą IPsec clear, o bilietas uždaromas, nes komanda buvo priimta. Niekas šioje sekoje neparodo, kad gedimas buvo pašalintas. ASA įrenginyje žodis reset apima tris atskiras sritis, o prie peer pririštas clear paliečia lygiai vieną iš jų, todėl tas pats tunelis dažnai vėl būna pakeltas anksčiau, nei operatorius baigia perskaityti išvestį.
Trys sritys slepiasi už vieno žodžio
IPsec SA pora yra pats duomenų kelias, viena asociacija kiekvienai krypčiai, su eilės numeriais ir skaitikliais. IKE SA yra derybų kanalas, kuris sukūrė tas asociacijas ir vis dar laiko peer ryšį kartu. VPN sesija yra įrašas sesijų duomenų bazėje vartotojui, svetainės-svetainės peer arba ryšiui be kliento.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Sritys pakankamai nepriklausomos, kad vienos valymas palieka kitas veikiančias, ir šis nepriklausomumas sukuria didžiąją dalį sumaišties. Išvalykite IPsec SA, kol IKE SA sveika, ir srautas per sekundes sukels naujas asociacijas, todėl atrodo, kad tunelis pats išsigydė. Tačiau pasiūlymo neatitikimas, maršruto spraga ar autentifikavimo klaida vis dar ten.
Jei gedimas yra derybose, IPsec clear nekeičia nieko stebimo.
Skaitykite būseną, kol ji dar egzistuoja
Užsirašykite peer adresą, naudojamą IKE versiją, apsaugotus tinklus ir kryptinius skaitiklius prieš ką nors liesdami. Palaikomos peržiūros skiriasi priklausomai nuo versijos, bet formos stabilios: show crypto ipsec sa peer, show crypto ikev2 sa detailed arba IKEv1 atitikmuo, ir show vpn-sessiondb sesijų sluoksniui.
Šalia šios išvesties užrašykite laiko žymą ir tikslų vartotojo matomą gedimą. Vienas peer paprastai neša kelis apsaugotus tinklus, todėl prie peer pririšto clear poveikio spindulys yra kiekvienas to peer selektorius, o ne viena bilieto programa. Reset be išankstinio vaizdo negalima diagnozuoti vėliau, nes clear ištrina būtent tuos skaitiklius, su kuriais būtumėte lyginę.
Pirmiausia užfiksuokite įrodymus. Clear juos pašalina, o vėliau padaryta ekrano kopija pasako, kas buvo atkurta, o ne kas buvo sugedę.
Ką prie peer pririštas clear iš tikrųjų daro
Cisco clear komandų žinynas dokumentuoja prie peer pririštą IPsec formą. Pakeitus dokumentacijos adresą, ji atrodo taip:
clear crypto ipsec sa peer 198.51.100.42Ši komanda numeta peer atitinkančias IPsec asociacijas. Ji nepašalina IKE SA, netrina konfigūracijos ir neperkrauna sesijų duomenų bazės. Vykdykite ją valdymo keliu, kuris nepriklauso nuo tunelio, kurį keičiate, nes tame tunelyje perduodama SSH sesija mirs kartu su juo ir gali pati negrįžti. Visa kita įrenginyje veikia toliau, ir būtent todėl komanda atrodo nekenksminga.
Kai tikslo paieška neaiški, neatsitraukite į nekvalifikuotą clear. Platesnė forma pasiekia kiekvieną įrenginio peer, o sutrikimas, kurį sukursite, bus didesnis už tą, dėl kurio buvote iškviesti.
Patikrinkite sluoksnį, kurį norėjote sutaisyti
Po clear patvirtinkite, kad asociacijos grįžo su naujais skaitikliais, o ne manykite, kad reset suveikė todėl, kad peer sąrašas vėl prisipildė. Tada išbandykite biliete nurodytą programą, nes sėkmingas ping nieko nesako apie paslaugos leidimą ar pasibaigusią sesiją.
Jei asociacijos atsikuria, o programa vis tiek nepavyksta, likę kandidatai yra IKE sluoksnis ir sesijų sluoksnis. Pasirinkite tą, kurio būseną dar galite patikrinti. Naudokite tikslinę operaciją tai versijai, kuri iš tikrųjų veikia, nesvarbu, ar tai IKEv2 clear, IKEv1 clear, ar teisingam sesijos tipui priskirtas sesijų duomenų bazės clear. Trinti ir iš naujo kurti nuolatinę crypto-map konfigūraciją, kad būtų priverstas atkūrimas, yra spėlionė su ilgesniu atsukimu.
Eskaluokite su abiem vaizdais, prieš ir po, o ne valykite dar kartą.
Kai reset prailgina sutrikimą
Pasikartojantys clear slepia gedimus, kurių reset negali ištaisyti: trūkstamas maršrutas, selektorius, kuris nebeatitinka naujo potinklio, vienoje pusėje pakeistas iš anksto bendrinamas raktas arba rakto atnaujinimas, kuris nuolat nepavyksta su pasiūlymu, kurio peer nepriims. Kiekvienas clear nutraukia sveiką srautą kiekviename to peer selektoriuje, o tikroji priežastis lieka nepaliesta. Taip penkių minučių tyrimas virsta pakeitimų langu.
Apribotas reset vis dar naudingas. Naudingoji versija yra tikslinė, užfiksuota ir po jos patikrinamas sluoksnis, kurį ji turėjo sutaisyti.
Darbo tvarka: užrašykite peer, versiją, selektorius ir skaitiklius; patvirtinkite, kuriai sričiai priklauso gedimas; paleiskite siauriausią tinkamą clear; patikrinkite asociacijas ir programą; eskaluokite su įrodymais, jei sluoksnis atsistatė, bet simptomas neišnyko.