Reset peera na ASA briše IPsec SA, ali ne stanje IKE ni sesije

Tunel padne za jednu aplikaciju, neko pokrene IPsec clear ograničen na peera, i tiket se zatvori jer je komanda prihvaćena. Ništa u tom nizu ne pokazuje da je kvar otklonjen. Na ASA reč reset pokriva tri odvojena opsega, a clear ograničen na peera dotiče tačno jedan od njih, zato je isti tunel često ponovo podignut pre nego što operater pročita izlaz.

Tri opsega skrivaju se iza jedne reči

Par IPsec SA je sam put podataka, jedna asocijacija po smeru, sa rednim brojevima i brojačima. IKE SA je kanal pregovaranja koji je stvorio te asocijacije i još drži odnos sa peerom na okupu. VPN sesija je zapis u bazi sesija za korisnika, peera od lokacije do lokacije ili vezu bez klijenta.

Opsezi su dovoljno nezavisni da čišćenje jednog ostavlja ostale u radu, i ta nezavisnost stvara veći deo zabune. Očistite IPsec SA dok je IKE SA zdrav, i saobraćaj u sekundama izazove nove asocijacije, pa tunel izgleda kao da se sam izlečio. No nesklad predloga, praznina u ruti ili neuspeh autentifikacije i dalje su tu.

Ako je kvar u pregovaranju, IPsec clear ne menja ništa što možete primetiti.

Pročitajte stanje dok još postoji

Zapišite adresu peera, verziju IKE koja se koristi, zaštićene mreže i smerne brojače pre nego što bilo šta dotaknete. Podržani prikazi razlikuju se po izdanju, ali oblici su stabilni: show crypto ipsec sa peer, show crypto ikev2 sa detailed ili ekvivalent za IKEv1, i show vpn-sessiondb za sloj sesija.

Uz taj izlaz zapišite vremensku oznaku i tačan kvar koji korisnik vidi. Jedan peer obično nosi nekoliko zaštićenih mreža, pa je domet cleara ograničenog na peera svaki selektor na tom peeru, a ne jedna aplikacija iz tiketa. Reset bez slike pre ne može se posle dijagnostikovati, jer clear briše upravo brojače s kojima biste uporedili.

Prvo zabeležite dokaze. Clear ih uklanja, a snimak ekrana uzet posle govori šta se obnovilo, a ne šta je bilo pokvareno.

Šta clear ograničen na peera zapravo radi

Ciscov pregled clear komandi dokumentuje IPsec oblik ograničen na peera. Sa zamenjenom dokumentacijskom adresom to izgleda ovako:

clear crypto ipsec sa peer 198.51.100.42

Ta komanda ruši IPsec asocijacije koje odgovaraju peeru. Ne uklanja IKE SA, ne briše konfiguraciju i ne resetuje bazu sesija. Pokrenite je sa upravljačkog puta koji ne zavisi od tunela koji menjate, jer SSH sesija prenesena tim tunelom umreće s njim i možda se neće sama vratiti. Sve ostalo na uređaju nastavlja da radi, i upravo zato komanda deluje bezazleno.

Kad je pronalaženje cilja nesigurno, ne vraćajte se na clear bez kvalifikacije. Širi oblik doseže svaki peer na uređaju, a prekid koji napravite biće veći od onog zbog kojeg su vas pozvali.

Proverite sloj koji ste nameravali da popravite

Posle cleara potvrdite da su se asocijacije vratile sa svežim brojačima, umesto da pretpostavite da je reset uspeo jer se lista peera ponovo napunila. Zatim testirajte aplikaciju koju tiket navodi, jer uspešan ping ne govori ništa o dozvoli za uslugu ili istekle sesiji.

Ako se asocijacije obnove, a aplikacija i dalje pada, preostali kandidati su IKE sloj i sloj sesija. Odaberite onaj čije stanje još možete pregledati. Koristite ciljanu operaciju za verziju koja stvarno radi, bilo da je to clear za IKEv2, clear za IKEv1 ili clear baze sesija ograničen na pravi tip sesije. Brisanje i ponovno stvaranje trajne crypto-map konfiguracije da bi se prisilila obnova je nagađanje sa dužim vraćanjem.

Eskalirajte sa obe slike, pre i posle, umesto da čistite ponovo.

Kad reset produži prekid

Ponovljeni clearovi skrivaju kvarove koje reset ne može popraviti: ruta koja nedostaje, selektor koji više ne odgovara novoj podmreži, unapred deljeni ključ promenjen na jednoj strani ili obnova ključa koja stalno pada na predlogu koji peer neće prihvatiti. Svaki clear prekida zdrav saobraćaj na svakom selektoru tog peera dok stvarni uzrok ostaje netaknut. Tako se petominutna istraga pretvori u prozor za promene.

Ograničeni reset je i dalje koristan. Korisna verzija je ciljana, zabeležena i praćena pregledom sloja koji je trebalo popraviti.

Redosled rada: zabeležite peer, verziju, selektore i brojače; potvrdite kojem opsegu kvar pripada; pokrenite najuži odgovarajući clear; proverite asocijacije i aplikaciju; eskalirajte s dokazima ako se sloj oporavi, ali simptom ne nestane.