Reset peer pada ASA memadam SA IPsec, bukan keadaan IKE atau sesi
Satu clear terhad kepada peer hanya meruntuhkan laluan data IPsec. Lihat apa yang kekal, mengapa terowong dibina semula dalam beberapa saat dan lapisan mana yang patut dibersihkan.
Terowong gagal untuk satu aplikasi, seseorang menjalankan clear IPsec terhad kepada peer, dan tiket ditutup kerana arahan itu diterima. Tiada apa dalam urutan itu menunjukkan kerosakan telah diperbaiki. Pada ASA perkataan reset merangkumi tiga skop berasingan, dan clear terhad kepada peer menyentuh tepat satu daripadanya, sebab itu terowong yang sama sering sudah naik semula sebelum pengendali selesai membaca output.
Tiga skop tersembunyi di sebalik satu perkataan
Pasangan SA IPsec ialah laluan data itu sendiri, satu persatuan bagi setiap arah, dengan nombor jujukan dan pembilang. SA IKE ialah saluran rundingan yang menghasilkan persatuan itu dan masih memegang hubungan dengan peer. Sesi VPN ialah rekod dalam pangkalan data sesi untuk pengguna, peer tapak-ke-tapak atau sambungan tanpa klien.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Skop itu cukup bebas sehingga membersihkan satu membiarkan yang lain berjalan, dan kebebasan itulah yang menimbulkan sebahagian besar kekeliruan. Bersihkan SA IPsec semasa SA IKE sihat, dan trafik mencetuskan persatuan baharu dalam beberapa saat, jadi terowong kelihatan pulih sendiri. Tetapi ketidakpadanan cadangan, jurang laluan atau kegagalan pengesahan masih ada.
Jika kerosakan terletak pada rundingan, clear IPsec tidak mengubah apa pun yang boleh diperhatikan.
Baca keadaan selagi ia masih wujud
Catat alamat peer, versi IKE yang digunakan, rangkaian terlindung dan pembilang arah sebelum menyentuh apa-apa. Paparan yang disokong berbeza mengikut keluaran, tetapi bentuknya stabil: show crypto ipsec sa peer, show crypto ikev2 sa detailed atau setara IKEv1, dan show vpn-sessiondb untuk lapisan sesi.
Tulis cap masa dan kerosakan tepat yang dilihat pengguna di sebelah output itu. Satu peer biasanya membawa beberapa rangkaian terlindung, jadi jejari kesan clear terhad kepada peer ialah setiap pemilih pada peer itu, bukan satu aplikasi dalam tiket. Reset tanpa gambaran awal tidak boleh didiagnosis kemudian, kerana clear memadam pembilang yang anda akan bandingkan.
Kumpulkan bukti dahulu. Clear menghapusnya, dan tangkapan skrin yang diambil selepas itu memberitahu apa yang dibina semula, bukan apa yang rosak.
Apa sebenarnya yang dilakukan clear terhad kepada peer
Rujukan arahan clear Cisco mendokumenkan bentuk IPsec terhad kepada peer. Dengan alamat dokumentasi digantikan, ia kelihatan seperti ini:
clear crypto ipsec sa peer 198.51.100.42Arahan itu meruntuhkan persatuan IPsec yang sepadan dengan peer. Ia tidak membuang SA IKE, tidak memadam konfigurasi dan tidak menetapkan semula pangkalan data sesi. Jalankan dari laluan pengurusan yang tidak bergantung pada terowong yang anda ubah, kerana sesi SSH yang dibawa di dalam terowong itu akan mati bersamanya dan mungkin tidak kembali sendiri. Segala-galanya pada peranti terus berjalan, dan sebab itulah arahan itu terasa tidak berbahaya.
Apabila pencarian sasaran tidak pasti, jangan berpatah balik kepada clear tanpa syarat. Bentuk yang lebih luas mencapai setiap peer pada peranti, dan gangguan yang anda cipta akan lebih besar daripada yang menyebabkan anda dipanggil.
Sahkan lapisan yang anda mahu baiki
Selepas clear, sahkan persatuan kembali dengan pembilang baharu dan bukannya menganggap reset berjaya kerana senarai peer terisi semula. Kemudian uji aplikasi yang dinamakan dalam tiket, kerana ping yang berjaya tidak memberitahu apa-apa tentang kebenaran perkhidmatan atau sesi yang tamat tempoh.
Jika persatuan dibina semula dan aplikasi masih gagal, calon yang tinggal ialah lapisan IKE dan lapisan sesi. Pilih yang keadaannya masih boleh anda periksa. Gunakan operasi bersasar untuk versi yang benar-benar berjalan, sama ada clear IKEv2, clear IKEv1 atau clear pangkalan data sesi terhad kepada jenis sesi yang betul. Memadam dan mencipta semula konfigurasi crypto-map berterusan untuk memaksa pembinaan semula ialah tekaan dengan pengunduran yang lebih panjang.
Eskalasi dengan kedua-dua gambar, sebelum dan selepas, daripada membersihkan lagi.
Apabila reset memanjangkan gangguan
Clear berulang menyembunyikan kerosakan yang reset tidak dapat baiki: laluan yang hilang, pemilih yang tidak lagi sepadan dengan subnet baharu, kunci yang dikongsi terlebih dahulu yang diubah pada satu pihak, atau pembaharuan kunci yang terus gagal pada cadangan yang peer tidak akan terima. Setiap clear mengganggu trafik sihat pada setiap pemilih peer itu sementara punca sebenar kekal tidak disentuh. Begitulah siasatan lima minit bertukar menjadi tetingkap perubahan.
Reset terbatas masih berguna. Versi berguna ialah yang bersasar, direkodkan dan diikuti pemeriksaan lapisan yang sepatutnya dibaiki.
Urutan kerja: catat peer, versi, pemilih dan pembilang; sahkan skop mana kerosakan itu; jalankan clear paling sempit yang sepadan; sahkan persatuan dan aplikasi; eskalasi dengan bukti jika lapisan pulih tetapi gejala tidak.