Reset peera na ASA usuwa SA IPsec, a nie stan IKE ani sesje
Jeden clear ograniczony do peera zrywa tylko ścieżkę danych IPsec. Zobacz, co przetrwa, dlaczego tunel odbudowuje się w sekundach i którą warstwę lepiej wyczyścić.
Tunel pada dla jednej aplikacji, ktoś wykonuje IPsec clear ograniczony do peera, a zgłoszenie zostaje zamknięte, bo polecenie zostało przyjęte. Nic w tej sekwencji nie pokazuje, że usterka została naprawiona. Na ASA słowo reset obejmuje trzy odrębne zakresy, a clear ograniczony do peera dotyka dokładnie jednego z nich, dlatego ten sam tunel często wraca, zanim operator skończy czytać wynik.
Trzy zakresy ukryte za jednym słowem
Para SA IPsec to sama ścieżka danych, jedno stowarzyszenie na kierunek, z numerami sekwencji i licznikami. SA IKE to kanał negocjacji, który te stowarzyszenia utworzył i nadal utrzymuje relację z peerem. Sesja VPN to rekord w bazie sesji dla użytkownika, peera lokacja-lokacja lub połączenia bez klienta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Zakresy są na tyle niezależne, że wyczyszczenie jednego zostawia pozostałe w działaniu, i ta niezależność powoduje większość zamieszania. Wyczyść SA IPsec, gdy SA IKE jest zdrowa, a ruch w ciągu sekund wywoła nowe stowarzyszenia, więc tunel wygląda, jakby sam się wyleczył. Niezgodność propozycji, luka w trasie lub błąd uwierzytelniania nadal tam są.
Jeśli usterka leży w negocjacji, IPsec clear nie zmienia niczego obserwowalnego.
Odczytaj stan, póki jeszcze istnieje
Zapisz adres peera, używaną wersję IKE, chronione sieci i liczniki kierunkowe, zanim czegokolwiek dotkniesz. Obsługiwane widoki różnią się w zależności od wersji, ale formy są stabilne: show crypto ipsec sa peer, show crypto ikev2 sa detailed lub odpowiednik dla IKEv1 oraz show vpn-sessiondb dla warstwy sesji.
Obok tego wyniku zapisz znacznik czasu i dokładną usterkę widoczną dla użytkownika. Jeden peer zwykle niesie kilka chronionych sieci, więc zasięg cleara ograniczonego do peera to każdy selektor na tym peerze, a nie jedna aplikacja ze zgłoszenia. Reset bez obrazu sprzed nie da się zdiagnozować później, bo clear usuwa właśnie te liczniki, z którymi byś porównywał.
Najpierw zabezpiecz dowody. Clear je usuwa, a zrzut ekranu zrobiony później mówi, co zostało odbudowane, a nie co było zepsute.
Co naprawdę robi clear ograniczony do peera
Dokumentacja poleceń clear Cisco opisuje formę IPsec ograniczoną do peera. Po podstawieniu adresu dokumentacyjnego wygląda to tak:
clear crypto ipsec sa peer 198.51.100.42To polecenie zrywa stowarzyszenia IPsec pasujące do peera. Nie usuwa SA IKE, nie kasuje konfiguracji i nie resetuje bazy sesji. Uruchamiaj je ze ścieżki zarządzania, która nie zależy od tunelu, który zmieniasz, bo sesja SSH przenoszona w tym tunelu zginie razem z nim i może nie wrócić sama. Wszystko inne na urządzeniu działa dalej, i właśnie dlatego polecenie wydaje się nieszkodliwe.
Gdy wyszukanie celu jest niepewne, nie cofaj się do cleara bez kwalifikatora. Szersza forma dociera do każdego peera na urządzeniu, a wywołana awaria będzie większa od tej, z powodu której cię wezwano.
Sprawdź warstwę, którą chciałeś naprawić
Po clearze potwierdź, że stowarzyszenia wróciły ze świeżymi licznikami, zamiast zakładać, że reset zadziałał, bo lista peerów znów się zapełniła. Potem przetestuj aplikację wskazaną w zgłoszeniu, bo udany ping nic nie mówi o uprawnieniu do usługi ani o wygasłej sesji.
Jeśli stowarzyszenia się odbudują, a aplikacja nadal zawodzi, pozostałymi kandydatami są warstwa IKE i warstwa sesji. Wybierz tę, której stan możesz jeszcze sprawdzić. Użyj operacji celowanej dla wersji faktycznie działającej, czy to clear IKEv2, clear IKEv1, czy clear bazy sesji ograniczony do właściwego typu sesji. Kasowanie i odtwarzanie trwałej konfiguracji crypto-map, aby wymusić odbudowę, to zgadywanie z dłuższym wycofaniem.
Eskaluj z oboma obrazami, przed i po, zamiast czyścić ponownie.
Gdy reset wydłuża awarię
Powtarzane cleary ukrywają usterki, których reset nie naprawi: brakująca trasa, selektor, który nie pasuje już do nowej podsieci, zmieniony po jednej stronie klucz współdzielony lub odświeżanie klucza, które wciąż zawodzi na propozycji, której peer nie przyjmie. Każdy clear przerywa zdrowy ruch na każdym selektorze tego peera, a prawdziwa przyczyna pozostaje nietknięta. Tak pięciominutowe śledztwo zamienia się w okno zmian.
Ograniczony reset nadal jest przydatny. Przydatna wersja jest celowana, zapisana i poprzedzona sprawdzeniem warstwy, którą miała naprawić.
Kolejność pracy: zapisz peera, wersję, selektory i liczniki; potwierdź, do którego zakresu należy usterka; uruchom najwęższy pasujący clear; sprawdź stowarzyszenia i aplikację; eskaluj z dowodami, jeśli warstwa się podniesie, ale objaw nie zniknie.