Peer-reset på ASA slettar IPsec-SA-ar, ikkje IKE-tilstand eller sesjonar
Ein peer-avgrensa clear riv berre ned IPsec-databanen. Sjå kva som overlever, kvifor tunnelen blir bygd opp att på sekund, og kva lag du heller bør tømme.
Tunnelen fell for ein einaste applikasjon, nokon køyrer ein peer-avgrensa IPsec-clear, og saka blir lukka fordi kommandoen vart godteken. Ingenting i den sekvensen viser at feilen vart retta. På ein ASA dekkjer ordet reset tre åtskilde område, og den peer-avgrensa clearen rører nøyaktig eitt av dei, og difor er same tunnel ofte oppe att før operatøren har lese ferdig utskrifta.
Tre område gøymer seg bak eitt ord
Eit IPsec-SA-par er sjølve databanen, éin assosiasjon per retning, med sekvensnummer og teljarar. Ein IKE-SA er forhandlingskanalen som laga desse assosiasjonane og framleis held peer-tilhøvet saman. Ein VPN-sesjon er posten i sesjonsdatabasen for ein brukar, ein site-til-site-peer eller ei klientlaus tilkopling.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Områda er uavhengige nok til at tømming av eitt lèt dei andre gå, og den uavhengigheita skapar mesteparten av forvirringa. Tøm IPsec-SA-ane medan IKE-SA-en er sunn, og trafikk utløyser ferske assosiasjonar i løpet av sekund, så tunnelen ser ut til å ha lækt seg sjølv. Det bakanforliggjande proposal-avviket, rutegapet eller autentiseringsfeilen er framleis der.
Ligg feilen i forhandlinga, endrar ein IPsec-clear ingenting du kan observere.
Les tilstanden medan han framleis finst
Noter peer-adressa, IKE-versjonen som blir brukt, dei verna netta og retningsteljarane før du rører noko. Dei støtta visingane varierer etter versjon, men formene er stabile: show crypto ipsec sa peer, show crypto ikev2 sa detailed eller IKEv1-motstykket, og show vpn-sessiondb for sesjonslaget.
Skriv tidsstempelet og den nøyaktige brukarsynlege feilen ved sida av den utskrifta. Ein peer ber ofte fleire verna nett, så slagradiusen til ein peer-avgrensa clear er kvar selector på den peeren, ikkje den eine applikasjonen i saka. Ein reset utan før-bilete kan ikkje diagnostiserast i ettertid, fordi clearen slettar nettopp teljarane du ville samanlikna med.
Sikre prova først. Clearen fjernar dei, og eit skjermbilete teke etterpå fortel kva som vart bygd opp att, ikkje kva som var øydelagt.
Kva den peer-avgrensa clearen faktisk gjer
Cisco sin referanse for clear-kommandoar dokumenterer den peer-avgrensa IPsec-forma. Med ein dokumentasjonsadresse sett inn ser ho slik ut:
clear crypto ipsec sa peer 198.51.100.42Kommandoen riv ned IPsec-assosiasjonane som passar til peeren. Han fjernar ikkje IKE-SA-en, slettar ikkje konfigurasjon og nullstiller ikkje sesjonsdatabasen. Køyr han frå ein administrasjonsveg som ikkje er avhengig av tunnelen du endrar, fordi ein SSH-sesjon som blir boren inne i den tunnelen døyr med han og kjem kanskje ikkje att av seg sjølv. Alt anna på eininga held fram med å gå, og nettopp difor kjennest kommandoen ufarleg.
Når målsøket er usikkert, fall ikkje attende på ein ukvalifisert clear. Den breiare forma når kvar peer på eininga, og utfallet du skapar blir større enn det du vart kalla inn for.
Verifiser laget du meinte å reparere
Etter clearen, stadfest at assosiasjonane kom att med ferske teljarar i staden for å anta at reseten verka fordi peer-lista vart fylt på nytt. Test deretter applikasjonen saka nemnde, fordi ein vellukka ping seier ingenting om ei tenesteløyve eller ein utlopen sesjon.
Om assosiasjonane blir bygde opp att og applikasjonen framleis feilar, er dei attverande kandidatane IKE-laget og sesjonslaget. Vel det du framleis kan inspisere tilstanden til. Bruk den målretta operasjonen for versjonen som faktisk køyrer, anten det er ein IKEv2-clear, ein IKEv1-clear eller ein sesjonsdatabase-clear avgrensa til rett sesjonstype. Å sletta og gjenoppretta varig crypto-map-konfigurasjon for å tvinge fram ein gjenoppbygging er gissing med lengre tilbakerulling.
Eskaler med båe bileta, før og etter, i staden for å tømme att.
Når reseten gjer utfallet lengre
Gjentekne clears gøymer feila ein reset ikkje kan rette: ei manglande rute, ein selector som ikkje lenger passar det nye subnettet, ein førehandsdelt nøkkel endra på éi side, eller ei nøkkelfornying som feilar gong på gong på eit forslag peeren ikkje vil godta. Kvar clear avbryt sunn trafikk på kvar selector til den peeren medan den eigentlege årsaka blir urørt. Slik blir ei fem minutts undersøking til eit endringsvindauge.
Ein avgrensa reset er framleis nyttig. Den nyttige versjonen er målretta, dokumentert og følgd av ein inspeksjon av laget han skulle reparere.
Arbeidsrekkjefølgje: noter peer, versjon, selectors og teljarar; stadfest kva område feilen høyrer til; køyr den smalaste clearen som passar; verifiser assosiasjonar og applikasjon; eskaler med prov om laget kjem seg men symptomet ikkje forsvinn.