Peer reset fuq l-ASA iħassar l-SA tal-IPsec, mhux l-istat IKE jew is-sessjonijiet
Clear wieħed limitat għall-peer iġarraf biss it-triq tad-data tal-IPsec. Ara x'jibqa', għaliex il-mina tinbena mill-ġdid fi ftit sekondi u liema saff għandu jitnaddaf minflok.
Il-mina taqa' għal applikazzjoni waħda, xi ħadd iħaddem clear tal-IPsec limitat għall-peer, u t-ticket jingħalaq għax il-kmand ġie aċċettat. Xejn f'dik is-sekwenza ma juri li l-ħsara ġiet imsewwija. Fuq ASA il-kelma reset tkopri tliet ambjenti separati, u l-clear limitat għall-peer imiss eżattament wieħed minnhom, għalhekk l-istess mina spiss tkun lura fuq qabel l-operatur ikun spiċċa jaqra l-output.
Tliet ambjenti moħbija wara kelma waħda
Par ta' SA tal-IPsec hija t-triq tad-data stess, assoċjazzjoni waħda għal kull direzzjoni, bin-numri tas-sekwenza u l-kontaturi. SA tal-IKE hija l-kanal tan-negozjati li pproduċa dawk l-assoċjazzjonijiet u għadu jżomm ir-relazzjoni mal-peer flimkien. Sessjoni VPN hija r-rekord fid-database tas-sessjonijiet għal utent, peer sit għal sit jew konnessjoni mingħajr klijent.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
L-ambjenti huma indipendenti biżżejjed li t-tindif ta' wieħed iħalli l-oħrajn jaħdmu, u din l-indipendenza toħloq il-biċċa l-kbira tal-konfużjoni. Naddaf l-SA tal-IPsec waqt li l-SA tal-IKE hija b'saħħitha, u t-traffiku joħloq assoċjazzjonijiet ġodda fi ftit sekondi, allura l-mina tidher li fieqet waħedha. Iżda l-inkonsistenza tal-proposta, il-vojt fit-triq jew il-falliment tal-awtentikazzjoni għadhom hemm.
Jekk il-ħsara tinsab fin-negozjati, clear tal-IPsec ma jbiddel xejn li jista' jiġi osservat.
Aqra l-istat waqt li għadu jeżisti
Irreġistra l-indirizz tal-peer, il-verżjoni tal-IKE li qed tintuża, in-netwerks protetti u l-kontaturi direzzjonali qabel ma tmiss xejn. Il-veduti appoġġjati jvarjaw skont il-verżjoni, imma l-forom huma stabbli: show crypto ipsec sa peer, show crypto ikev2 sa detailed jew l-ekwivalenti tal-IKEv1, u show vpn-sessiondb għas-saff tas-sessjonijiet.
Ikteb it-timbru tal-ħin u l-ħsara eżatta li jara l-utent ħdejn dak l-output. Peer wieħed normalment iġorr diversi netwerks protetti, għalhekk ir-raġġ ta' impatt ta' clear limitat għall-peer huwa kull selettur fuq dak il-peer, mhux l-applikazzjoni waħda fit-ticket. Reset mingħajr stampa minn qabel ma jistax jiġi dijanjostikat wara, għax il-clear iħassar eżattament il-kontaturi li kont se tqabbel magħhom.
Iġbor l-evidenza l-ewwel. Il-clear ineħħiha, u screenshot meħud wara jgħidlek x'inġibed mill-ġdid, mhux x'kien miksur.
X'jagħmel fil-fatt il-clear limitat għall-peer
Ir-referenza tal-kmandi clear ta' Cisco tiddokumenta l-forma tal-IPsec limitata għall-peer. B'indirizz tad-dokumentazzjoni sostitwit, tidher hekk:
clear crypto ipsec sa peer 198.51.100.42Dak il-kmand iġarraf l-assoċjazzjonijiet tal-IPsec li jaqblu mal-peer. Ma jneħħix l-SA tal-IKE, ma jħassarx il-konfigurazzjoni u ma jerġax jissettja d-database tas-sessjonijiet. Ħaddmu minn triq tal-ġestjoni li ma tiddependix mill-mina li qed tbiddel, għax sessjoni SSH li tinġarr ġewwa dik il-mina tmut magħha u forsi ma terġax lura waħedha. Kull ħaġa oħra fuq l-apparat tkompli taħdem, u huwa proprju għalhekk li l-kmand iħossu bla ħsara.
Meta t-tfittxija tal-mira hija inċerta, toqgħodx lura għal clear mingħajr kwalifikazzjoni. Il-forma usa' tilħaq kull peer fuq l-apparat, u l-waqfa li toħloq se tkun akbar minn dik li għaliha ġejt imsejjaħ.
Ivverifika s-saff li ridt tissewwi
Wara l-clear, ikkonferma li l-assoċjazzjonijiet ġew lura b'kontaturi ġodda minflok ma tassumi li r-reset ħadem għax il-lista tal-peer reġgħet imtliet. Imbagħad iġġarrab l-applikazzjoni msemmija fit-ticket, għax ping li jirnexxi ma jgħid xejn dwar permess ta' servizz jew sessjoni skaduta.
Jekk l-assoċjazzjonijiet jinbnew mill-ġdid u l-applikazzjoni xorta tfalli, il-kandidati li jifdal huma s-saff tal-IKE u s-saff tas-sessjonijiet. Agħżel dak li għad tista' tispezzjona l-istat tiegħu. Uża l-operazzjoni mmirata għall-verżjoni li qed taħdem fil-fatt, kemm jekk hija clear tal-IKEv2, clear tal-IKEv1 jew clear tad-database tas-sessjonijiet limitat għat-tip ta' sessjoni t-tajjeb. Li tħassar u terġa' toħloq konfigurazzjoni persistenti tal-crypto-map biex iġġiegħel rikostruzzjoni huwa stima b'rittir itwal.
Eskala biż-żewġ stampi, qabel u wara, minflok ma tnaddaf mill-ġdid.
Meta r-reset itawwal il-waqfa
Clear ripetuti jaħbu l-ħsarat li reset ma jistax isewwi: triq nieqsa, selettur li ma għadux jaqbel mas-subnet il-ġdid, ċavetta maqsuma minn qabel mibdula fuq naħa waħda, jew tiġdid taċ-ċavetta li jfalli għal darba wara oħra fuq proposta li l-peer mhux se jaċċetta. Kull clear ifixkel traffiku b'saħħtu fuq kull selettur ta' dak il-peer waqt li l-kawża vera tibqa' mhux mittiefsa. Hekk investigazzjoni ta' ħames minuti tinbidel f'tieqa ta' bidla.
Reset limitat għadu utli. Il-verżjoni utli hija mmirata, irreġistrata u segwita minn spezzjoni tas-saff li kellha ssewwi.
Ordni tax-xogħol: irreġistra peer, verżjoni, seletturi u kontaturi; ikkonferma liema ambjent il-ħsara tappartjeni għalih; ħaddem l-aktar clear dejjaq li jaqbel; ivverifika l-assoċjazzjonijiet u l-applikazzjoni; eskala b'evidenza jekk is-saff jirkupra imma s-sintomu ma jmurx.