ASA дээр peer reset нь IPsec SA-г устгадаг, IKE төлөв эсвэл сессүүдийг биш
peer-д хязгаарлагдсан нэг clear нь зөвхөн IPsec өгөгдлийн замыг эвддэг. Юу үлдэх, туннель яагаад секундын дотор дахин бүрэлдэх, оронд нь ямар давхаргыг цэвэрлэх талаар үзнэ үү.
Туннель нэг аппликейшний хувьд унаж, хэн нэгэн peer-д хязгаарлагдсан IPsec clear ажиллуулж, тушаал хүлээн авсан гэсэн шалтгаанаар тасалбарыг хаадаг. Энэ дараалалд гэмтэл зассан гэдгийг харуулах зүйл байхгүй. ASA дээр reset гэдэг үг гурван тусдаа хүрээг хамардаг бөгөөд peer-д хязгаарлагдсан clear тэдгээрийн яг нэгийг л хүрдэг, тиймээс мөнөөх туннель оператор гаралтыг уншиж дуусахаас өмнө дахин босдог.
Нэг үгийн ард гурван хүрээ
IPsec SA хос нь өгөгдлийн зам өөрөө, чиглэл бүрт нэг холбоо, дарааллын дугаар ба тоолууртай. IKE SA нь тэдгээр холбоог үүсгэсэн, peer-тэй харилцааг одоо ч хамт бариад байгаа хэлэлцээрийн суваг юм. VPN сесс нь хэрэглэгч, сайтаас сайт руу peer эсвэл клиентгүй холболтын хувьд сессийн өгөгдлийн санд байх бичлэг юм.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Хүрээнүүд нэгийг цэвэрлэхэд бусад нь ажиллаж байхаар хангалттай бие даасан бөгөөд энэ бие даасан байдал нь төөрөгдлийн ихэнхийг үүсгэдэг. IKE SA эрүүл байхад IPsec SA-г цэвэрлэхэд урсгал секундын дотор шинэ холбоо үүсгэдэг тул туннель өөрөө эдгэрсэн мэт харагдана. Гэхдээ саналын зөрүү, маршрутын цоорхой эсвэл баталгаажуулалтын алдаа тэнд хэвээр байна.
Хэрэв гэмтэл хэлэлцээрт байгаа бол IPsec clear ажиглагдах зүйлийг өөрчлөхгүй.
Төлөв байгаа үед нь уншина уу
Ямар ч зүйлд хүрэхээс өмнө peer хаяг, хэрэглэж буй IKE хувилбар, хамгаалагдсан сүлжээ, чиглэлийн тоолуурыг бичнэ үү. Дэмжигдэх харагдац хувилбараас хамаарч өөр боловч хэлбэр нь тогтвортой: show crypto ipsec sa peer, show crypto ikev2 sa detailed эсвэл IKEv1-ийн дүйцэл, сессийн давхаргад show vpn-sessiondb.
Тухайн гаралтын хажууд цагийн тэмдэг болон хэрэглэгчид харагдах яг гэмтлийг бичнэ үү. Нэг peer ихэвчлэн хэд хэдэн хамгаалагдсан сүлжээ авч явдаг тул peer-д хязгаарлагдсан clear-ийн нөлөөллийн радиус нь тухайн peer дээрх сонгогч бүр бөгөөд тасалбар дахь ганц аппликейшн биш. Урьдчилсан зураггүй reset-ийг дараа нь оношлох боломжгүй, учир нь clear нь таны харьцуулах байсан тоолуурыг яг устгадаг.
Эхлээд нотолгоог бичиж авна уу. Clear тэдгээрийг арилгадаг бөгөөд дараа авсан дэлгэцийн зураг юу дахин бүтсэнийг хэлдэг, юу эвдэрснийг биш.
peer-д хязгаарлагдсан clear үнэхээр юу хийдэг вэ
Cisco-гийн clear тушаалын лавлагаа peer-д хязгаарлагдсан IPsec хэлбэрийг баримтжуулдаг. Баримтжуулалтын хаяг тавихад энэ нь ингэж харагдана:
clear crypto ipsec sa peer 198.51.100.42Энэ тушаал peer-тэй тохирох IPsec холбоог эвддэг. Энэ нь IKE SA-г арилгахгүй, тохиргоог устгахгүй, сессийн өгөгдлийн санг дахин тохируулахгүй. Өөрчилж буй туннелээс хамааралгүй удирдлагын замаас ажиллуулна уу, учир нь тухайн туннел дотор зөөгдөх SSH сесс түүнтэй хамт үхэж, өөрөө буцаж ирэхгүй байж болно. Төхөөрөмж дээрх бусад бүхэн ажилласаар байх тул тушаал хор хөнөөлгүй мэт санагддаг.
Зорилтыг хайх нь тодорхойгүй үед нөхцөлгүй clear руу бүү ухар. Өргөн хэлбэр нь төхөөрөмж дээрх peer бүрт хүрдэг бөгөөд таны үүсгэх тасалдал таныг дуудсан шалтгаанаас илүү том байх болно.
Засах гэж байсан давхаргаа шалгана уу
Clear-ийн дараа холбоонууд шинэ тоолууртай буцаж ирснийг баталгаажуулна уу, peer жагсаалт дахин дүүрсэн тул reset ажилласан гэж бүү бод. Дараа нь тасалбарт нэрлэсэн аппликейшнийг туршина уу, учир нь амжилттай ping нь үйлчилгээний зөвшөөрөл эсвэл хугацаа дууссан сессийн талаар юу ч хэлэхгүй.
Холбоонууд дахин бүрэлдэж, аппликейшн бүтэлгүй хэвээр байвал үлдсэн нэр дэвшигчид нь IKE давхарга ба сессийн давхарга юм. Төлөвийг нь одоо ч харж чадахыг сонгоно уу. Бодитоор ажиллаж буй хувилбарт зориулсан зорилтот үйлдлийг ашиглана уу: IKEv2 clear, IKEv1 clear эсвэл зөв сессийн төрөлд хязгаарлагдсан сессийн өгөгдлийн сангийн clear. Дахин бүрэлдүүлэхийг албадахын тулд байнгын crypto-map тохиргоог устгаж дахин үүсгэх нь буцаах хугацаа урт таамаг юм.
Дахин цэвэрлэхийн оронд өмнөх ба дараах хоёр зургийг хавсарган эскалаци хийнэ үү.
Reset тасалдлыг уртасгах үед
Давтан clear нь reset засаж чадахгүй гэмтлийг нуудаг: дутуу маршрут, шинэ дэд сүлжээнд тохирохоо больсон сонгогч, нэг талд өөрчлөгдсөн урьдчилан хуваалцсан түлхүүр, эсвэл peer хүлээж авахгүй санал дээр дахин дахин бүтэлгүйтэх түлхүүр шинэчлэл. Clear бүр тухайн peer-ийн сонгогч бүр дээр эрүүл урсгалыг тасладаг бол жинхэнэ шалтгаан хөндөгдөөгүй үлддэг. Ингэж таван минутын мөрдөн шалгалт өөрчлөлтийн цонх болж хувирдаг.
Хязгаарлагдсан reset одоо ч хэрэгтэй. Хэрэгтэй хувилбар нь зорилтот, бүртгэлтэй бөгөөд засах ёстой байсан давхаргын шалгалтаар үргэлжилдэг.
Ажлын дараалал: peer, хувилбар, сонгогч, тоолуурыг бичих; гэмтэл аль хүрээнд хамаарахыг батлах; хамгийн нарийн тохирох clear ажиллуулах; холбоо ба аппликейшнийг шалгах; давхарга сэргэсэн ч шинж тэмдэг арилаагүй бол нотолгоотойгоор эскалаци хийх.