Peer-reset op de ASA wist IPsec-SA's, niet de IKE-status of sessies
Eén peer-gebonden clear breekt alleen het IPsec-datapad af. Lees wat er overleeft, waarom de tunnel binnen seconden weer opkomt en welke laag u beter kunt leegmaken.
De tunnel valt weg voor één applicatie, iemand voert een peer-gebonden IPsec-clear uit, en het ticket wordt gesloten omdat het commando is geaccepteerd. Niets in die volgorde laat zien dat de storing is verholpen. Op een ASA dekt het woord reset drie afzonderlijke bereiken, en de peer-gebonden clear raakt er precies één van, waardoor dezelfde tunnel vaak alweer omhoog is voordat de operator de uitvoer uit heeft gelezen.
Drie bereiken achter één woord
Een IPsec-SA-paar is het datapad zelf, één associatie per richting, met sequentienummers en tellers. Een IKE-SA is het onderhandelingskanaal dat die associaties heeft opgeleverd en de peer-relatie nog bij elkaar houdt. Een VPN-sessie is de regel in de sessiedatabase voor een gebruiker, een site-naar-site-peer of een clientloze verbinding.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
De bereiken zijn onafhankelijk genoeg dat het leegmaken van één de andere laat doorwerken, en die onafhankelijkheid veroorzaakt het grootste deel van de verwarring. Maak de IPsec-SA's leeg terwijl de IKE-SA gezond is, en verkeer lokt binnen seconden nieuwe associaties uit, zodat de tunnel zichzelf genezen lijkt te hebben. De onderliggende voorstelafwijking, het routelacune of de authenticatiefout is er nog steeds.
Ligt de storing in de onderhandeling, dan verandert een IPsec-clear niets waarneembaars.
Lees de status zolang die er nog is
Noteer het peer-adres, de gebruikte IKE-versie, de beschermde netwerken en de richtingstellers voordat u iets aanraakt. De ondersteunde weergaven verschillen per release, maar de vormen zijn stabiel: show crypto ipsec sa peer, show crypto ikev2 sa detailed of het IKEv1-equivalent, en show vpn-sessiondb voor de sessielaag.
Schrijf de tijdstempel en de exacte gebruikerszichtbare storing naast die uitvoer. Eén peer draagt vaak meerdere beschermde netwerken, dus de impact van een peer-gebonden clear is elke selector op die peer, niet de ene applicatie uit het ticket. Een reset zonder voorafbeeld is achteraf niet te diagnosticeren, omdat de clear precies de tellers wist waarmee u zou hebben vergeleken.
Leg eerst het bewijs vast. De clear verwijdert het, en een screenshot die daarna wordt gemaakt vertelt wat er is herbouwd, niet wat er stuk was.
Wat de peer-gebonden clear werkelijk doet
Cisco's naslag van clear-commando's documenteert de peer-gebonden IPsec-vorm. Met een documentatieadres ingevuld ziet die er zo uit:
clear crypto ipsec sa peer 198.51.100.42Dat commando breekt de IPsec-associaties af die bij de peer passen. Het verwijdert de IKE-SA niet, wist geen configuratie en zet de sessiedatabase niet terug. Voer het uit vanaf een beheerpad dat niet afhangt van de tunnel die u wijzigt, want een SSH-sessie die in die tunnel wordt gedragen sterft mee en komt misschien niet vanzelf terug. Al het andere op het apparaat blijft draaien, en juist daarom voelt het commando onschuldig.
Is het vinden van het doel onzeker, val dan niet terug op een ongekwalificeerde clear. De bredere vorm bereikt elke peer op het apparaat, en de storing die u veroorzaakt is groter dan die waarvoor u werd gebeld.
Controleer de laag die u wilde repareren
Bevestig na de clear dat de associaties met verse tellers terugkwamen in plaats van aan te nemen dat de reset werkte omdat de peer-lijst weer gevuld is. Test daarna de applicatie die het ticket noemde, want een geslaagde ping zegt niets over een diensttoestemming of een verlopen sessie.
Als de associaties opnieuw worden opgebouwd en de applicatie blijft falen, zijn de resterende kandidaten de IKE-laag en de sessielaag. Kies degene waarvan u de status nog kunt inspecteren. Gebruik de gerichte bewerking voor de versie die werkelijk draait, of dat een IKEv2-clear, een IKEv1-clear of een tot het juiste sessietype beperkte sessiedatabase-clear is. Permanente crypto-map-configuratie wissen en opnieuw aanmaken om een herbouw af te dwingen is giswerk met een langere terugweg.
Escaleer met beide beelden, voor en na, in plaats van opnieuw leeg te maken.
Wanneer de reset de storing verlengt
Herhaalde clears verbergen de fouten die een reset niet kan verhelpen: een ontbrekende route, een selector die niet meer bij het nieuwe subnet past, een aan één kant gewijzigde vooraf gedeelde sleutel, of een sleutelvernieuwing die steeds faalt op een voorstel dat de peer niet accepteert. Elke clear onderbreekt gezond verkeer op elke selector van die peer terwijl de echte oorzaak onaangeroerd blijft. Zo wordt een onderzoek van vijf minuten een wijzigingsvenster.
Een begrensde reset blijft nuttig. De nuttige versie is gericht, vastgelegd en gevolgd door een inspectie van de laag die hij moest repareren.
Werkvolgorde: leg peer, versie, selectors en tellers vast; bevestig bij welk bereik de storing hoort; voer de smalste passende clear uit; controleer associaties en de applicatie; escaleer met bewijs als de laag herstelt maar het symptoom niet verdwijnt.