Сброс peer на ASA удаляет IPsec SA, но не состояние IKE и не сеансы
Один clear, ограниченный peer, рвёт только путь данных IPsec. Посмотрите, что сохраняется, почему туннель восстанавливается за секунды и какой уровень лучше очистить вместо этого.
Туннель падает для одного приложения, кто-то выполняет IPsec clear, ограниченный peer, и заявка закрывается, потому что команда была принята. Ничто в этой последовательности не показывает, что неисправность устранена. На ASA слово reset покрывает три отдельных области, и clear, ограниченный peer, затрагивает ровно одну из них, поэтому тот же туннель часто снова поднят раньше, чем оператор дочитает вывод.
Три области за одним словом
Пара IPsec SA — это сам путь данных, по одной ассоциации на направление, с порядковыми номерами и счётчиками. IKE SA — это канал согласования, который создал эти ассоциации и до сих пор удерживает отношения с peer. Сеанс VPN — это запись в базе сеансов для пользователя, peer «сайт-сайт» или подключения без клиента.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Области достаточно независимы, чтобы очистка одной оставляла другие работающими, и эта независимость порождает большую часть путаницы. Очистите IPsec SA, пока IKE SA здорова, и трафик за секунды вызовет новые ассоциации, так что туннель как будто вылечился сам. Но несовпадение предложения, пробел в маршруте или сбой аутентификации по-прежнему там.
Если неисправность в согласовании, IPsec clear не меняет ничего наблюдаемого.
Прочитайте состояние, пока оно ещё существует
Запишите адрес peer, используемую версию IKE, защищённые сети и счётчики по направлениям, прежде чем что-либо трогать. Поддерживаемые представления различаются по версии, но формы стабильны: show crypto ipsec sa peer, show crypto ikev2 sa detailed или эквивалент для IKEv1, и show vpn-sessiondb для уровня сеансов.
Рядом с этим выводом запишите метку времени и точную неисправность, видимую пользователю. Один peer обычно несёт несколько защищённых сетей, поэтому радиус действия clear, ограниченного peer, — это каждый селектор на этом peer, а не единственное приложение из заявки. Сброс без снимка «до» невозможно диагностировать потом, потому что clear удаляет именно те счётчики, с которыми вы бы сравнивали.
Сначала зафиксируйте доказательства. Clear их удаляет, а снимок экрана, сделанный после, говорит о том, что восстановилось, а не о том, что было сломано.
Что на самом деле делает clear, ограниченный peer
Справочник команд clear от Cisco описывает форму IPsec, ограниченную peer. С подставленным документационным адресом это выглядит так:
clear crypto ipsec sa peer 198.51.100.42Эта команда рвёт IPsec-ассоциации, соответствующие peer. Она не удаляет IKE SA, не стирает конфигурацию и не сбрасывает базу сеансов. Запускайте её с пути управления, который не зависит от туннеля, который вы меняете, потому что SSH-сеанс, идущий внутри этого туннеля, умрёт вместе с ним и может сам не вернуться. Всё остальное на устройстве продолжает работать, и именно поэтому команда кажется безобидной.
Когда поиск цели неопределён, не откатывайтесь к clear без уточнения. Более широкая форма затрагивает каждый peer на устройстве, и созданный вами простой будет больше того, из-за которого вас вызвали.
Проверьте тот уровень, который вы собирались исправить
После clear подтвердите, что ассоциации вернулись со свежими счётчиками, вместо того чтобы считать, что сброс сработал, потому что список peer снова заполнился. Затем проверьте приложение, названное в заявке, потому что успешный ping ничего не говорит о разрешении на сервис или об истёкшем сеансе.
Если ассоциации восстанавливаются, а приложение по-прежнему отказывает, оставшиеся кандидаты — уровень IKE и уровень сеансов. Выберите тот, состояние которого ещё можно посмотреть. Используйте целевую операцию для реально работающей версии: clear для IKEv2, clear для IKEv1 или clear базы сеансов, ограниченный правильным типом сеанса. Удалять и заново создавать постоянную конфигурацию crypto-map, чтобы заставить пересобрать, — это догадка с более длинным откатом.
Эскалируйте с обоими снимками, до и после, вместо того чтобы снова чистить.
Когда сброс удлиняет простой
Повторные clear скрывают неисправности, которые сброс не может исправить: отсутствующий маршрут, селектор, который больше не соответствует новой подсети, предварительно разделённый ключ, изменённый с одной стороны, или обновление ключа, которое раз за разом срывается на предложении, которое peer не примет. Каждый clear прерывает здоровый трафик на каждом селекторе этого peer, пока настоящая причина остаётся нетронутой. Так пятиминутное расследование превращается в окно изменений.
Ограниченный сброс всё ещё полезен. Полезная версия — целенаправленная, записанная и сопровождаемая проверкой того уровня, который он должен был исправить.
Порядок работы: запишите peer, версию, селекторы и счётчики; подтвердите, к какой области относится неисправность; выполните самый узкий подходящий clear; проверьте ассоциации и приложение; эскалируйте с доказательствами, если уровень восстановился, а симптом остался.