ASA-യിൽ peer reset IPsec SA മായ്ക്കുന്നു, IKE അവസ്ഥയോ സെഷനുകളോ അല്ല
peer-ൽ പരിമിതപ്പെടുത്തിയ ഒരു clear IPsec ഡാറ്റാ പാത മാത്രം തകർക്കുന്നു. എന്ത് അവശേഷിക്കുന്നു, ടണൽ എന്തുകൊണ്ട് സെക്കൻഡുകളിൽ വീണ്ടും നിർമ്മിക്കുന്നു, പകരം ഏത് പാളി വൃത്തിയാക്കണം എന്ന് കാണുക.
ഒരു ആപ്ലിക്കേഷനുവേണ്ടി ടണൽ വീഴുന്നു, ആരോ peer-ൽ പരിമിതപ്പെടുത്തിയ IPsec clear പ്രവർത്തിപ്പിക്കുന്നു, കമാൻഡ് സ്വീകരിച്ചു എന്ന കാരണത്താൽ ടിക്കറ്റ് അടയ്ക്കുന്നു. ആ ക്രമത്തിൽ തകരാറ് പരിഹരിച്ചു എന്ന് കാണിക്കുന്ന ഒന്നുമില്ല. ASA-യിൽ reset എന്ന വാക്ക് മൂന്ന് വെവ്വേറെ പരിധികളെ ഉൾക്കൊള്ളുന്നു, peer-ൽ പരിമിതപ്പെടുത്തിയ clear അവയിൽ കൃത്യമായി ഒന്നിനെ മാത്രം സ്പർശിക്കുന്നു, അതുകൊണ്ട് അതേ ടണൽ ഓപ്പറേറ്റർ ഔട്ട്പുട്ട് വായിച്ചു തീരുന്നതിന് മുൻപ് തന്നെ വീണ്ടും മുകളിൽ ആകാറുണ്ട്.
ഒരു വാക്കിന് പിന്നിൽ മൂന്ന് പരിധികൾ
IPsec SA ജോഡി തന്നെ ഡാറ്റാ പാതയാണ്, ഓരോ ദിശയ്ക്കും ഒരു അസോസിയേഷൻ, ക്രമ നമ്പറുകളും കൗണ്ടറുകളും സഹിതം. IKE SA എന്നത് ആ അസോസിയേഷനുകൾ സൃഷ്ടിച്ച, peer ബന്ധം ഇപ്പോഴും ഒരുമിച്ച് നിർത്തുന്ന ചർച്ചാ ചാനലാണ്. VPN സെഷൻ എന്നത് ഒരു ഉപയോക്താവിനോ സൈറ്റ്-ടു-സൈറ്റ് peer-നോ ക്ലൈന്റ് ഇല്ലാത്ത കണക്ഷനോ വേണ്ടിയുള്ള സെഷൻ ഡാറ്റാബേസിലെ രേഖയാണ്.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
പരിധികൾ ഒന്ന് വൃത്തിയാക്കുമ്പോൾ മറ്റുള്ളവ പ്രവർത്തിക്കാൻ തക്കവണ്ണം സ്വതന്ത്രമാണ്, ആ സ്വാതന്ത്ര്യമാണ് മിക്ക ആശയക്കുഴപ്പവും സൃഷ്ടിക്കുന്നത്. IKE SA ആരോഗ്യകരമായിരിക്കെ IPsec SA വൃത്തിയാക്കുക, ട്രാഫിക് സെക്കൻഡുകളിൽ പുതിയ അസോസിയേഷനുകൾ സൃഷ്ടിക്കും, അതിനാൽ ടണൽ സ്വയം സുഖപ്പെട്ടതുപോലെ തോന്നും. എന്നാൽ അടിസ്ഥാന നിർദ്ദേശ പൊരുത്തക്കേടോ റൂട്ട് വിടവോ പ്രാമാണീകരണ പരാജയമോ ഇപ്പോഴും അവിടെയുണ്ട്.
തകരാർ ചർച്ചയിലാണെങ്കിൽ, IPsec clear നിരീക്ഷിക്കാവുന്ന ഒന്നും മാറ്റുന്നില്ല.
അവസ്ഥ ഇനിയും നിലനിൽക്കുമ്പോൾ വായിക്കുക
എന്തെങ്കിലും സ്പർശിക്കുന്നതിന് മുൻപ് peer വിലാസം, ഉപയോഗിക്കുന്ന IKE പതിപ്പ്, സംരക്ഷിത നെറ്റ്വർക്കുകൾ, ദിശാനുസൃത കൗണ്ടറുകൾ എന്നിവ രേഖപ്പെടുത്തുക. പിന്തുണയ്ക്കുന്ന കാഴ്ചകൾ പതിപ്പനുസരിച്ച് മാറും, എന്നാൽ രൂപങ്ങൾ സ്ഥിരമാണ്: show crypto ipsec sa peer, show crypto ikev2 sa detailed അല്ലെങ്കിൽ IKEv1 തുല്യം, സെഷൻ പാളിക്ക് show vpn-sessiondb.
ആ ഔട്ട്പുട്ടിന് അരികിൽ സമയ മുദ്രയും ഉപയോക്താവിന് കാണുന്ന കൃത്യമായ തകരാറും എഴുതുക. ഒരു peer സാധാരണയായി പല സംരക്ഷിത നെറ്റ്വർക്കുകൾ വഹിക്കുന്നു, അതിനാൽ peer-ൽ പരിമിതപ്പെടുത്തിയ clear-ന്റെ സ്വാധീന പരിധി ആ peer-ലെ ഓരോ സെലക്ടറുമാണ്, ടിക്കറ്റിലെ ഒരു ആപ്ലിക്കേഷനല്ല. മുൻ ചിത്രമില്ലാത്ത reset പിന്നീട് രോഗനിർണ്ണയം ചെയ്യാനാകില്ല, കാരണം clear നിങ്ങൾ താരതമ്യം ചെയ്യേണ്ട കൗണ്ടറുകൾ തന്നെ മായ്ക്കുന്നു.
ആദ്യം തെളിവുകൾ ശേഖരിക്കുക. clear അവ നീക്കം ചെയ്യുന്നു, പിന്നീട് എടുത്ത സ്ക്രീൻഷോട്ട് എന്ത് പുനർനിർമ്മിച്ചു എന്ന് പറയുന്നു, എന്ത് തകർന്നിരുന്നു എന്നല്ല.
peer-ൽ പരിമിതപ്പെടുത്തിയ clear യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു
Cisco-യുടെ clear കമാൻഡ് റഫറൻസ് peer-ൽ പരിമിതപ്പെടുത്തിയ IPsec രൂപം രേഖപ്പെടുത്തുന്നു. ഡോക്യുമെന്റേഷൻ വിലാസം ചേർത്താൽ അത് ഇങ്ങനെ കാണും:
clear crypto ipsec sa peer 198.51.100.42ആ കമാൻഡ് peer-നോട് ചേരുന്ന IPsec അസോസിയേഷനുകൾ തകർക്കുന്നു. അത് IKE SA നീക്കം ചെയ്യുന്നില്ല, കോൺഫിഗറേഷൻ മായ്ക്കുന്നില്ല, സെഷൻ ഡാറ്റാബേസ് പുനഃസജ്ജമാക്കുന്നില്ല. നിങ്ങൾ മാറ്റുന്ന ടണലിനെ ആശ്രയിക്കാത്ത ഒരു മാനേജ്മെന്റ് പാതയിൽ നിന്ന് അത് പ്രവർത്തിപ്പിക്കുക, കാരണം ആ ടണലിനുള്ളിൽ കൊണ്ടുപോകുന്ന SSH സെഷൻ അതിനൊപ്പം മരിക്കും, സ്വയം തിരികെ വന്നില്ലെന്നും വരാം. ഉപകരണത്തിലെ മറ്റെല്ലാം പ്രവർത്തിക്കുന്നത് തുടരുന്നു, അതുകൊണ്ടാണ് കമാൻഡ് ഹാനികരമല്ലാത്തതായി തോന്നുന്നത്.
ലക്ഷ്യ തിരച്ചിൽ അനിശ്ചിതമാകുമ്പോൾ നിബന്ധനയില്ലാത്ത clear-ലേക്ക് പിൻവാങ്ങരുത്. വിശാലമായ രൂപം ഉപകരണത്തിലെ ഓരോ peer-ലും എത്തുന്നു, നിങ്ങൾ സൃഷ്ടിക്കുന്ന തടസ്സം നിങ്ങളെ വിളിച്ച കാരണത്തേക്കാൾ വലുതായിരിക്കും.
നിങ്ങൾ പരിഹരിക്കാൻ ഉദ്ദേശിച്ച പാളി പരിശോധിക്കുക
clear-ന് ശേഷം അസോസിയേഷനുകൾ പുതിയ കൗണ്ടറുകളോടെ തിരികെ വന്നു എന്ന് ഉറപ്പാക്കുക, peer ലിസ്റ്റ് വീണ്ടും നിറഞ്ഞതുകൊണ്ട് reset വിജയിച്ചു എന്ന് കരുതരുത്. പിന്നീട് ടിക്കറ്റിൽ പേരിട്ട ആപ്ലിക്കേഷൻ പരീക്ഷിക്കുക, കാരണം വിജയകരമായ ping സേവനാനുമതിയെക്കുറിച്ചോ കാലഹരണപ്പെട്ട സെഷനെക്കുറിച്ചോ ഒന്നും പറയുന്നില്ല.
അസോസിയേഷനുകൾ പുനർനിർമ്മിക്കപ്പെട്ടിട്ടും ആപ്ലിക്കേഷൻ പരാജയപ്പെടുന്നെങ്കിൽ, ബാക്കിയുള്ള സ്ഥാനാർത്ഥികൾ IKE പാളിയും സെഷൻ പാളിയുമാണ്. അവസ്ഥ ഇനിയും പരിശോധിക്കാവുന്ന ഒന്ന് തിരഞ്ഞെടുക്കുക. യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കുന്ന പതിപ്പിന് ലക്ഷ്യമിട്ട പ്രവർത്തനം ഉപയോഗിക്കുക, അത് IKEv2 clear ആകട്ടെ, IKEv1 clear ആകട്ടെ, ശരിയായ സെഷൻ തരത്തിൽ പരിമിതപ്പെടുത്തിയ സെഷൻ ഡാറ്റാബേസ് clear ആകട്ടെ. പുനർനിർമ്മാണം നിർബന്ധിക്കാൻ സ്ഥിരമായ crypto-map കോൺഫിഗറേഷൻ മായ്ച്ച് വീണ്ടും സൃഷ്ടിക്കുന്നത് കൂടിയ തിരിച്ചുപോക്കുള്ള ഊഹമാണ്.
വീണ്ടും വൃത്തിയാക്കുന്നതിന് പകരം മുൻപും പിൻപും ഉള്ള രണ്ട് ചിത്രങ്ങളും ചേർത്ത് എസ്കലേറ്റ് ചെയ്യുക.
reset തടസ്സം നീട്ടുമ്പോൾ
ആവർത്തിച്ചുള്ള clear reset-ന് പരിഹരിക്കാനാകാത്ത തകരാറുകൾ മറയ്ക്കുന്നു: നഷ്ടമായ റൂട്ട്, പുതിയ സബ്നെറ്റുമായി ഇനി ചേരാത്ത സെലക്ടർ, ഒരു വശത്ത് മാറ്റിയ മുൻകൂട്ടി പങ്കിട്ട കീ, അല്ലെങ്കിൽ peer സ്വീകരിക്കാത്ത നിർദ്ദേശത്തിൽ ആവർത്തിച്ച് പരാജയപ്പെടുന്ന കീ പുതുക്കൽ. ഓരോ clear-ഉം ആ peer-ലെ ഓരോ സെലക്ടറിലും ആരോഗ്യകരമായ ട്രാഫിക് തടസ്സപ്പെടുത്തുന്നു, യഥാർത്ഥ കാരണം തൊടാതെ നിൽക്കുന്നു. അങ്ങനെ അഞ്ച് മിനിറ്റ് നീളുന്ന അന്വേഷണം ഒരു മാറ്റ വിൻഡോ ആകുന്നു.
പരിമിതമായ reset ഇപ്പോഴും ഉപയോഗപ്രദമാണ്. ഉപയോഗപ്രദമായ രൂപം ലക്ഷ്യമിട്ടതും രേഖപ്പെടുത്തിയതും പരിഹരിക്കേണ്ടിയിരുന്ന പാളിയുടെ പരിശോധനയോടെയുള്ളതുമാണ്.
ജോലി ക്രമം: peer, പതിപ്പ്, സെലക്ടറുകൾ, കൗണ്ടറുകൾ രേഖപ്പെടുത്തുക; തകരാർ ഏത് പരിധിയുടേതാണെന്ന് ഉറപ്പാക്കുക; ഏറ്റവും ഇടുങ്ങിയ യോജിക്കുന്ന clear പ്രവർത്തിപ്പിക്കുക; അസോസിയേഷനുകളും ആപ്ലിക്കേഷനും പരിശോധിക്കുക; പാളി സുഖപ്പെട്ടിട്ടും ലക്ഷണം പോകുന്നില്ലെങ്കിൽ തെളിവുകളോടെ എസ്കലേറ്റ് ചെയ്യുക.