ASA मा peer reset ले IPsec SA मेटाउँछ, IKE अवस्था वा सत्रहरू होइन
peer सम्म सीमित एउटा clear ले IPsec डेटा मार्ग मात्र भत्काउँछ। के बाँकी रहन्छ, टनेल किन सेकेन्डमै पुनः बन्छ र त्यसको सट्टा कुन तह सफा गर्ने हेर्नुहोस्।
एउटा अनुप्रयोगका लागि टनेल खस्छ, कसैले peer सम्म सीमित IPsec clear चलाउँछ, र आदेश स्वीकार भएको कारण टिकट बन्द गरिन्छ। त्यो क्रममा कतै पनि दोष सच्याइएको देखिँदैन। ASA मा reset शब्दले तीन अलग दायरा समेट्छ, र peer सम्म सीमित clear ले तीमध्ये ठ्याक्कै एउटा मात्र छुन्छ, त्यसैले त्यही टनेल प्रायः अपरेटरले आउटपुट पढेर सक्नुअघि नै फेरि माथि हुन्छ।
एउटा शब्दका पछाडि तीन दायरा
IPsec SA जोडी आफै डेटा मार्ग हो, प्रत्येक दिशाका लागि एउटा सम्बन्ध, क्रम संख्या र काउन्टरका साथ। IKE SA त्यो सम्बन्ध सिर्जना गर्ने र peer सँगको सम्बन्ध अझै सँगै राख्ने वार्ता च्यानल हो। VPN सत्र भनेको प्रयोगकर्ता, साइट-देखि-साइट peer वा क्लाइन्ट नभएको जडानका लागि सत्र डेटाबेसमा रहेको अभिलेख हो।
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
दायराहरू एउटा सफा गर्दा अरू काम गरिरहने गरी पर्याप्त स्वतन्त्र छन्, र यही स्वतन्त्रताले धेरैजसो भ्रम सिर्जना गर्छ। IKE SA स्वस्थ हुँदा IPsec SA सफा गर्नुहोस्, ट्राफिकले सेकेन्डभरमै नयाँ सम्बन्ध उत्पन्न गर्छ, त्यसैले टनेल आफै निको भएजस्तो देखिन्छ। तर मूल प्रस्तावको अमिल्दो, मार्गको खाली ठाउँ वा प्रमाणीकरणको असफलता अझै त्यहीँ छ।
यदि दोष वार्तामा छ भने, IPsec clear ले देखिने कुनै कुरा बदल्दैन।
अवस्था अझै रहेकै बेला पढ्नुहोस्
केही पनि छुनुअघि peer ठेगाना, प्रयोग भइरहेको IKE संस्करण, सुरक्षित नेटवर्क र दिशागत काउन्टर टिप्नुहोस्। समर्थित दृश्यहरू संस्करणअनुसार फरक पर्छन्, तर आकार स्थिर छन्: show crypto ipsec sa peer, show crypto ikev2 sa detailed वा IKEv1 को समान, र सत्र तहका लागि show vpn-sessiondb।
त्यो आउटपुटको छेउमा समय छाप र प्रयोगकर्ताले देख्ने ठ्याक्कै दोष लेख्नुहोस्। एउटा peer ले प्रायः धेरै सुरक्षित नेटवर्क बोक्छ, त्यसैले peer सम्म सीमित clear को प्रभाव त्यो peer का हरेक चयनकर्तासम्म हुन्छ, टिकटको एउटै अनुप्रयोगसम्म होइन। अघिल्लो तस्बिर बिनाको reset को पछि निदान गर्न सकिँदैन, किनकि clear ले तपाईंले तुलना गर्ने ती काउन्टर नै मेटाउँछ।
पहिले प्रमाण जम्मा गर्नुहोस्। clear ले ती हटाउँछ, र पछि लिइएको स्क्रिनसटले के पुनः बन्यो भन्छ, के बिग्रिएको थियो भन्ने होइन।
peer सम्म सीमित clear ले वास्तवमा के गर्छ
Cisco को clear आदेश सन्दर्भ ले peer सम्म सीमित IPsec ढाँचा अभिलेख गर्छ। कागजाती ठेगाना राख्दा यो यस्तो देखिन्छ:
clear crypto ipsec sa peer 198.51.100.42त्यो आदेशले peer सँग मिल्ने IPsec सम्बन्धहरू भत्काउँछ। यसले IKE SA हटाउँदैन, कन्फिगरेसन मेटाउँदैन र सत्र डेटाबेस रिसेट गर्दैन। तपाईं परिवर्तन गरिरहेको टनेलमा निर्भर नहुने व्यवस्थापन मार्गबाट यो चलाउनुहोस्, किनकि त्यो टनेलभित्र बोकिएको SSH सत्र त्यसैसँग मर्छ र आफै फर्किन पनि सक्दैन। यन्त्रका बाँकी सबै चलिरहन्छ, र त्यसैले आदेश हानिरहित लाग्छ।
लक्ष्य खोजी अनिश्चित हुँदा, सर्त नभएको clear मा फर्किनु हुँदैन। फराकिलो ढाँचा यन्त्रका हरेक peer सम्म पुग्छ, र तपाईंले सिर्जना गर्ने अवरोध तपाईंलाई बोलाइएको कारणभन्दा ठूलो हुनेछ।
तपाईंले सुधार्न खोजेको तह प्रमाणित गर्नुहोस्
clear पछि सम्बन्धहरू नयाँ काउन्टरसहित फर्किएको पुष्टि गर्नुहोस्, peer सूची फेरि भरियो भनेर reset चल्यो भनी ठान्नु हुँदैन। त्यसपछि टिकटमा उल्लेख गरिएको अनुप्रयोग परीक्षण गर्नुहोस्, किनकि सफल ping ले सेवा अनुमति वा सकिएको सत्रबारे केही भन्दैन।
सम्बन्धहरू फेरि बने पनि अनुप्रयोग असफल भइरहे, बाँकी उम्मेदवार IKE तह र सत्र तह हुन्। जसको अवस्था अझै हेर्न सकिन्छ त्यो छान्नुहोस्। वास्तवमै चलिरहेको संस्करणका लागि लक्षित कार्य प्रयोग गर्नुहोस्, त्यो IKEv2 clear होस्, IKEv1 clear होस् वा सही सत्र प्रकारमा सीमित सत्र डेटाबेस clear होस्। पुनर्निर्माण बाध्य पार्न दिगो crypto-map कन्फिगरेसन मेटाएर फेरि बनाउनु लामो फिर्तासहितको अनुमान हो।
फेरि सफा गर्नुको सट्टा अघि र पछिका दुवै तस्बिरसहित एस्कलेट गर्नुहोस्।
reset ले अवरोध लम्ब्याउँदा
बारम्बारका clear ले reset ले सुधार्न नसक्ने दोष लुकाउँछन्: हराएको मार्ग, नयाँ सबनेटसँग अब नमिल्ने चयनकर्ता, एकातर्फ बदलिएको पूर्व-साझा कुञ्जी, वा peer स्वीकार नगर्ने प्रस्तावमा बारम्बार असफल हुने कुञ्जी नवीकरण। हरेक clear ले त्यो peer का हरेक चयनकर्तामा स्वस्थ ट्राफिक अवरुद्ध गर्छ, जबकि साँचो कारण छोइएको हुँदैन। यसरी पाँच मिनेटको अनुसन्धान परिवर्तन विन्डोमा परिणत हुन्छ।
सीमित reset अझै उपयोगी छ। उपयोगी स्वरूप लक्षित, अभिलेखित र सुधार्नुपर्ने तहको निरीक्षणसहित हुन्छ।
कामको क्रम: peer, संस्करण, चयनकर्ता र काउन्टर टिप्नुहोस्; दोष कुन दायराको हो पुष्टि गर्नुहोस्; सबैभन्दा साँघुरो मिल्ने clear चलाउनुहोस्; सम्बन्ध र अनुप्रयोग प्रमाणित गर्नुहोस्; तह सुधारियो तर लक्षण गएन भने प्रमाणसहित एस्कलेट गर्नुहोस्।