Peer reset на ASA ги брише IPsec SA, но не состојбата на IKE или сесиите
Еден clear ограничен на peer го руши само IPsec податочниот пат. Погледнете што опстанува, зошто тунелот се обновува за секунди и кој слој наместо тоа да се исчисти.
Тунелот паѓа за една апликација, некој извршува IPsec clear ограничен на peer и тикетот се затвора затоа што командата е прифатена. Ништо во таа низа не покажува дека дефектот е отстранет. На ASA зборот reset покрива три одделни опсези, а clear ограничен на peer допира точно еден од нив, затоа истиот тунел често е повторно горе пред операторот да го прочита излезот до крај.
Три опсези се кријат зад еден збор
Парот IPsec SA е самиот податочен пат, една асоцијација по насока, со редни броеви и бројачи. IKE SA е каналот за преговори што ги создаде тие асоцијации и сè уште ја држи врската со peer заедно. VPN сесијата е записот во базата на сесии за корисник, peer од локација до локација или врска без клиент.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Опсезите се доволно независни што чистењето на еден ги остава другите да работат, и таа независност го создава најголемиот дел од конфузијата. Исчистете ги IPsec SA додека IKE SA е здрава, и сообраќајот за секунди предизвикува нови асоцијации, па тунелот изгледа како сам да се излекувал. Но несовпаѓањето на предлогот, празнината во рутата или неуспехот на автентикацијата сè уште се таму.
Ако дефектот е во преговорите, IPsec clear не менува ништо видливо.
Прочитајте ја состојбата додека сè уште постои
Запишете ја адресата на peer, верзијата на IKE што се користи, заштитените мрежи и насочните бројачи пред да допрете нешто. Поддржаните прикази се разликуваат по издание, но формите се стабилни: show crypto ipsec sa peer, show crypto ikev2 sa detailed или еквивалентот за IKEv1, и show vpn-sessiondb за слојот на сесии.
До тој излез запишете ја временската ознака и точниот дефект што го гледа корисникот. Еден peer обично носи неколку заштитени мрежи, така што радиусот на clear ограничен на peer е секој селектор на тој peer, а не единствената апликација во тикетот. Reset без претходна слика не може да се дијагностицира подоцна, бидејќи clear ги брише токму бројачите со кои би споредиле.
Најпрво соберете ги доказите. Clear ги отстранува, а подоцна направена слика на екранот ви кажува што е обновено, а не што било расипано.
Што всушност прави clear ограничен на peer
Cisco референцата на clear командите ја документира IPsec формата ограничена на peer. Со заменета документациска адреса, изгледа вака:
clear crypto ipsec sa peer 198.51.100.42Таа команда ги руши IPsec асоцијациите што одговараат на peer. Не ја отстранува IKE SA, не ја брише конфигурацијата и не ја ресетира базата на сесии. Извршете ја од управувачки пат што не зависи од тунелот што го менувате, бидејќи SSH сесија пренесена во тој тунел ќе загине со него и можеби нема сама да се врати. Сè друго на уредот продолжува да работи, и токму затоа командата изгледа безопасна.
Кога пронаоѓањето на целта е неизвесно, не паѓајте на clear без квалификација. Пошироката форма допира до секој peer на уредот, а прекинот што ќе го создадете ќе биде поголем од тој за кој ве повикаа.
Проверете го слојот што сакавте да го поправите
По clear потврдете дека асоцијациите се вратиле со свежи бројачи наместо да претпоставите дека reset успеал затоа што списокот на peer се наполнил повторно. Потоа тестирајте ја апликацијата наведена во тикетот, бидејќи успешен ping не кажува ништо за дозвола за услуга или истечена сесија.
Ако асоцијациите се обноват, а апликацијата сè уште не успева, преостанатите кандидати се слојот IKE и слојот на сесии. Изберете го оној чија состојба сè уште можете да ја прегледате. Користете ја насочената операција за верзијата што навистина работи, било да е тоа clear за IKEv2, clear за IKEv1 или clear на базата на сесии ограничен на правилниот тип на сесија. Бришење и повторно создавање на постојана crypto-map конфигурација за да се присили обнова е погодување со подолго враќање.
Ескалирајте со двете слики, пред и по, наместо повторно да чистите.
Кога reset го продолжува прекинот
Повторените clear ги кријат дефектите што reset не може да ги поправи: рута што недостасува, селектор што повеќе не одговара на новата подмрежа, претходно споделен клуч променет на едната страна или обнова на клуч што постојано не успева на предлог што peer нема да го прифати. Секој clear прекинува здрав сообраќај на секој селектор на тој peer, додека вистинската причина останува недопрена. Така петминутна истрага се претвора во прозорец за промени.
Ограничениот reset сè уште е корисен. Корисната верзија е насочена, запишана и проследена со преглед на слојот што требало да го поправи.
Редослед на работа: запишете peer, верзија, селектори и бројачи; потврдете на кој опсег му припаѓа дефектот; извршете го најтесниот соодветен clear; проверете асоцијации и апликација; ескалирајте со докази ако слојот се возобнови, но симптомот не исчезне.