ASA वर peer reset IPsec SA हटवतो, IKE स्थिती किंवा सत्रे नाही
peer पर्यंत मर्यादित एक clear फक्त IPsec डेटा मार्ग तोडतो. काय राहते, टनेल का सेकंदांत पुन्हा तयार होते आणि त्याऐवजी कोणता स्तर साफ करावा ते पहा.
एका अनुप्रयोगासाठी टनेल पडते, कोणीतरी peer पर्यंत मर्यादित IPsec clear चालवतो, आणि आदेश स्वीकारला गेल्यामुळे तिकीट बंद केले जाते. त्या क्रमात दोष दुरुस्त झाल्याचे काहीही दिसत नाही. ASA वर reset हा शब्द तीन स्वतंत्र व्याप्ती व्यापतो, आणि peer पर्यंत मर्यादित clear त्यातील नेमका एकालाच स्पर्श करतो, म्हणूनच तीच टनेल ऑपरेटरने आउटपुट वाचून पूर्ण करण्यापूर्वीच पुन्हा वर असते.
एका शब्दामागे तीन व्याप्ती
IPsec SA जोडी म्हणजे डेटा मार्ग स्वतः, प्रत्येक दिशेसाठी एक संगत, क्रमांक आणि काउंटरसह. IKE SA म्हणजे ती संगती निर्माण करणारे आणि peer शी नाते अजूनही एकत्र ठेवणारे वाटाघाटीचे वाहिनी. VPN सत्र म्हणजे वापरकर्ता, साइट-ते-साइट peer किंवा क्लायंटशिवाय जोडणीसाठी सत्र डेटाबेसमधील नोंद.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
व्याप्ती एक साफ केल्यावर बाकीच्या काम करत राहतील इतक्या स्वतंत्र आहेत, आणि हीच स्वतंत्रता बहुतेक गोंधळ निर्माण करते. IKE SA निरोगी असताना IPsec SA साफ करा, ट्रॅफिक सेकंदांत नवीन संगती निर्माण करते, त्यामुळे टनेल स्वतः बरी झाल्यासारखी दिसते. पण मूळ प्रस्तावातील तफावत, मार्गातील पोकळी किंवा प्रमाणीकरणाचा अपयश तिथेच आहे.
दोष वाटाघाटीत असल्यास, IPsec clear दिसणारे काहीही बदलत नाही.
स्थिती अजून अस्तित्वात असतानाच वाचा
काहीही स्पर्श करण्यापूर्वी peer पत्ता, वापरली जाणारी IKE आवृत्ती, संरक्षित नेटवर्क आणि दिशानिहाय काउंटर नोंदवा. समर्थित दृश्ये आवृत्तीनुसार बदलतात, पण आकार स्थिर आहेत: show crypto ipsec sa peer, show crypto ikev2 sa detailed किंवा IKEv1 समतुल्य, आणि सत्र स्तरासाठी show vpn-sessiondb.
त्या आउटपुटच्या बाजूला वेळशिक्का आणि वापरकर्त्याला दिसणारा नेमका दोष लिहा. एक peer सामान्यतः अनेक संरक्षित नेटवर्क वाहतो, म्हणून peer पर्यंत मर्यादित clear चा परिणाम त्या peer वरील प्रत्येक निवडकापर्यंत असतो, तिकिटातील एका अनुप्रयोगापर्यंत नाही. आधीच्या चित्राशिवाय reset चे नंतर निदान होऊ शकत नाही, कारण clear तुम्ही तुलना करता तेच काउंटर पुसते.
आधी पुरावे नोंदवा. clear ते काढून टाकते, आणि नंतर घेतलेला स्क्रीनशॉट काय पुन्हा तयार झाले ते सांगतो, काय तुटले होते ते नाही.
peer पर्यंत मर्यादित clear प्रत्यक्षात काय करते
Cisco चे clear आदेश संदर्भ peer पर्यंत मर्यादित IPsec स्वरूपाचे दस्तऐवजीकरण करते. दस्तऐवजी पत्ता लावल्यावर ते असे दिसते:
clear crypto ipsec sa peer 198.51.100.42तो आदेश peer शी जुळणाऱ्या IPsec संगती तोडतो. तो IKE SA काढत नाही, संरचना पुसत नाही आणि सत्र डेटाबेस रीसेट करत नाही. तुम्ही बदलत असलेल्या टनेलवर अवलंबून नसलेल्या व्यवस्थापन मार्गाने तो चालवा, कारण त्या टनेलमधून नेलेले SSH सत्र त्यासोबत मरेल आणि स्वतःहून परत येणार नाही. उपकरणावरील बाकी सर्व चालू राहते, आणि म्हणूनच आदेश निरुपद्रवी वाटतो.
लक्ष्याचा शोध अनिश्चित असताना, अट नसलेल्या clear कडे परत जाऊ नका. मोठे स्वरूप उपकरणावरील प्रत्येक peer पर्यंत पोहोचते, आणि तुम्ही निर्माण कराल तो खंड तुम्हाला बोलावलेल्या कारणापेक्षा मोठा असेल.
तुम्ही दुरुस्त करू इच्छित असलेला स्तर पडताळा
clear नंतर संगती नव्या काउंटरसह परत आल्याची खात्री करा, peer यादी पुन्हा भरली म्हणून reset चालले असे गृहीत धरू नका. नंतर तिकिटात नमूद केलेला अनुप्रयोग तपासा, कारण यशस्वी ping सेवा परवानगी किंवा संपलेल्या सत्राबद्दल काहीही सांगत नाही.
संगती पुन्हा तयार होतात आणि अनुप्रयोग अजूनही अपयशी ठरतो, तर उरलेले उमेदवार IKE स्तर आणि सत्र स्तर आहेत. ज्याची स्थिती तुम्ही अजून पाहू शकता तो निवडा. प्रत्यक्ष चालू असलेल्या आवृत्तीसाठी लक्ष्यित क्रिया वापरा, मग ती IKEv2 clear असो, IKEv1 clear असो किंवा योग्य सत्र प्रकारापर्यंत मर्यादित सत्र डेटाबेस clear असो. पुनर्निर्माण भाग पाडण्यासाठी चिरस्थायी crypto-map संरचना पुसून पुन्हा तयार करणे म्हणजे मोठ्या परतीचा अंदाज.
पुन्हा साफ करण्याऐवजी आधी आणि नंतरच्या दोन्ही चित्रांसह एस्कलेट करा.
reset खंड लांबवतो तेव्हा
वारंवारचे clear reset दुरुस्त करू शकत नाही असे दोष लपवतात: गहाळ मार्ग, नव्या सबनेटशी आता न जुळणारा निवडक, एका बाजूला बदललेली पूर्व-सामायिक की, किंवा peer स्वीकारणार नाही अशा प्रस्तावावर वारंवार अपयशी ठरणारे की नूतनीकरण. प्रत्येक clear त्या peer वरील प्रत्येक निवडकावर निरोगी ट्रॅफिक खंडित करते, खरे कारण मात्र अस्पर्श राहते. अशा प्रकारे पाच मिनिटांची चौकशी बदल विंडोत बदलते.
मर्यादित reset अजूनही उपयुक्त आहे. उपयुक्त आवृत्ती लक्ष्यित, नोंदवलेली आणि ज्या स्तराचे दुरुस्तीचे काम होते त्याच्या तपासणीसह येते.
कामाचा क्रम: peer, आवृत्ती, निवडक आणि काउंटर नोंदवा; दोष कोणत्या व्याप्तीचा आहे ते निश्चित करा; सर्वात अरुंद जुळणारा clear चालवा; संगती आणि अनुप्रयोग तपासा; स्तर सुधारला पण लक्षण गेले नाही तर पुराव्यासह एस्कलेट करा.