ASA peer reset dzēš IPsec SA, nevis IKE stāvokli vai sesijas
Viens uz peer attiecināts clear nogāž tikai IPsec datu ceļu. Skatiet, kas paliek, kāpēc tunelis atjaunojas sekundēs un kuru slāni tā vietā tīrīt.
Tunelis nokrīt vienai lietotnei, kāds palaiž uz peer attiecinātu IPsec clear, un biļete tiek slēgta, jo komanda tika pieņemta. Nekas šajā secībā neliecina, ka kļūme ir novērsta. ASA vārds reset aptver trīs atsevišķus diapazonus, un uz peer attiecinātais clear skar tieši vienu no tiem, tāpēc tas pats tunelis bieži ir atpakaļ augšā, pirms operators ir beidzis lasīt izvadi.
Aiz viena vārda slēpjas trīs diapazoni
IPsec SA pāris ir pats datu ceļš, viena asociācija katram virzienam, ar kārtas numuriem un skaitītājiem. IKE SA ir sarunu kanāls, kas radīja šīs asociācijas un joprojām satur peer attiecības kopā. VPN sesija ir ieraksts sesiju datubāzē lietotājam, vietnes-uz-vietni peer vai savienojumam bez klienta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Diapazoni ir pietiekami neatkarīgi, lai viena tīrīšana atstātu pārējos darbībā, un šī neatkarība rada lielāko daļu apjukuma. Iztīriet IPsec SA, kamēr IKE SA ir vesela, un trafiks sekundēs izraisa jaunas asociācijas, tāpēc šķiet, ka tunelis pats izdziedējies. Taču priekšlikuma neatbilstība, maršruta robi vai autentifikācijas kļūme joprojām ir tur.
Ja kļūme ir sarunās, IPsec clear nemaina neko novērojamu.
Lasiet stāvokli, kamēr tas vēl pastāv
Pierakstiet peer adresi, izmantoto IKE versiju, aizsargātos tīklus un virzienu skaitītājus, pirms kaut ko aiztiekat. Atbalstītie skati atšķiras atkarībā no versijas, bet formas ir stabilas: show crypto ipsec sa peer, show crypto ikev2 sa detailed vai IKEv1 ekvivalents, un show vpn-sessiondb sesiju slānim.
Blakus šai izvadei pierakstiet laika zīmi un precīzo lietotājam redzamo kļūmi. Viens peer parasti pārvadā vairākus aizsargātus tīklus, tāpēc uz peer attiecinātā clear ietekmes rādiuss ir katrs selektors uz šī peer, nevis viena biļetes lietotne. Reset bez iepriekšēja attēla nevar diagnosticēt vēlāk, jo clear dzēš tieši tos skaitītājus, ar kuriem jūs būtu salīdzinājis.
Vispirms fiksējiet pierādījumus. Clear tos noņem, un vēlāk uzņemts ekrānuzņēmums stāsta, kas tika atjaunots, nevis kas bija salūzis.
Ko uz peer attiecinātais clear patiešām dara
Cisco clear komandu uzziņa dokumentē uz peer attiecināto IPsec formu. Aizstājot dokumentācijas adresi, tā izskatās šādi:
clear crypto ipsec sa peer 198.51.100.42Šī komanda nogāž peer atbilstošās IPsec asociācijas. Tā nenoņem IKE SA, nedzēš konfigurāciju un neatiestata sesiju datubāzi. Palaidiet to no pārvaldības ceļa, kas nav atkarīgs no tuneļa, kuru maināt, jo šajā tunelī pārvadātā SSH sesija mirs kopā ar to un var nepārnākt pati. Viss pārējais ierīcē turpina darboties, un tieši tāpēc komanda šķiet nekaitīga.
Kad mērķa meklēšana ir nedroša, neatkāpieties uz nekvalificētu clear. Plašākā forma sasniedz katru ierīces peer, un pārtraukums, ko radīsiet, būs lielāks par to, kura dēļ jūs izsauca.
Pārbaudiet slāni, kuru gribējāt salabot
Pēc clear apstipriniet, ka asociācijas atgriezās ar svaigiem skaitītājiem, nevis pieņemiet, ka reset nostrādāja tāpēc, ka peer saraksts atkal piepildījās. Pēc tam pārbaudiet biļetē nosaukto lietotni, jo veiksmīgs ping neko neizsaka par pakalpojuma atļauju vai beigušos sesiju.
Ja asociācijas atjaunojas un lietotne joprojām neizdodas, atlikušie kandidāti ir IKE slānis un sesiju slānis. Izvēlieties to, kura stāvokli vēl varat apskatīt. Izmantojiet mērķēto darbību tai versijai, kas faktiski darbojas, vai tas būtu IKEv2 clear, IKEv1 clear vai pareizajam sesijas tipam piesaistīts sesiju datubāzes clear. Dzēst un no jauna veidot pastāvīgu crypto-map konfigurāciju, lai piespiestu atjaunošanu, ir minējums ar garāku atritināšanu.
Eskalējiet ar abiem attēliem, pirms un pēc, nevis tīriet vēlreiz.
Kad reset paildzina pārtraukumu
Atkārtoti clear slēpj kļūmes, ko reset nevar izlabot: trūkstošs maršruts, selektors, kas vairs neatbilst jaunajam apakštīklam, vienā pusē mainīta iepriekš koplietota atslēga vai atslēgas atjaunināšana, kas atkal un atkal neizdodas ar priekšlikumu, kuru peer nepieņems. Katrs clear pārtrauc veselu trafiku uz katra šī peer selektora, kamēr patiesais cēlonis paliek neskarts. Tā piecu minūšu izmeklēšana pārvēršas izmaiņu logā.
Ierobežots reset joprojām ir noderīgs. Noderīgā versija ir mērķēta, fiksēta un tai seko tā slāņa pārbaude, kuru tam bija jāsalabo.
Darbu secība: pierakstiet peer, versiju, selektorus un skaitītājus; apstipriniet, kuram diapazonam pieder kļūme; palaidiet šaurāko atbilstošo clear; pārbaudiet asociācijas un lietotni; eskalējiet ar pierādījumiem, ja slānis atjaunojas, bet simptoms nepazūd.