Reset peeru na ASA vymaže IPsec SA, nie stav IKE ani relácie
Jeden clear obmedzený na peer zhodí len dátovú cestu IPsec. Pozrite sa, čo prežije, prečo sa tunel obnoví za sekundy a ktorú vrstvu namiesto toho vyčistiť.
Tunel spadne pre jednu aplikáciu, niekto spustí IPsec clear obmedzený na peer a tiket sa zavrie, lebo príkaz bol prijatý. Nič v tomto slede neukazuje, že porucha bola odstránená. Na ASA slovo reset pokrýva tri samostatné rozsahy a clear obmedzený na peer zasahuje presne jeden z nich, preto je ten istý tunel často späť hore skôr, než operátor dočíta výstup.
Za jedným slovom sa skrývajú tri rozsahy
Dvojica IPsec SA je samotná dátová cesta, jedna asociácia na smer, s poradovými číslami a počítadlami. IKE SA je vyjednávací kanál, ktorý tieto asociácie vytvoril a stále drží vzťah s peerom pokope. Relácia VPN je záznam v databáze relácií pre používateľa, peer typu lokalita-lokalita alebo pripojenie bez klienta.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Rozsahy sú dosť nezávislé na to, aby vyčistenie jedného nechalo ostatné fungovať, a táto nezávislosť vytvára väčšinu zmätku. Vyčistite IPsec SA, kým je IKE SA zdravá, a prevádzka v priebehu sekúnd vyvolá nové asociácie, takže tunel vyzerá, akoby sa sám vyliečil. Nezhoda návrhu, medzera v trase alebo zlyhanie autentifikácie tam však stále sú.
Ak porucha spočíva vo vyjednávaní, IPsec clear nemení nič pozorovateľné.
Prečítajte stav, kým ešte existuje
Zapíšte adresu peeru, používanú verziu IKE, chránené siete a smerové počítadlá, skôr než sa čohokoľvek dotknete. Podporované pohľady sa líšia podľa verzie, ale tvary sú stabilné: show crypto ipsec sa peer, show crypto ikev2 sa detailed alebo ekvivalent pre IKEv1, a show vpn-sessiondb pre vrstvu relácií.
Vedľa toho výstupu napíšte časovú pečiatku a presnú poruchu viditeľnú používateľovi. Jeden peer zvyčajne nesie viacero chránených sietí, takže dosah cleara obmedzeného na peer je každý selektor na tomto peere, nie jediná aplikácia z tiketu. Reset bez snímky pred nemožno dodatočne diagnostikovať, pretože clear maže práve tie počítadlá, s ktorými by ste porovnávali.
Najprv zachyťte dôkazy. Clear ich odstráni a snímka obrazovky urobená potom vám povie, čo sa obnovilo, nie čo bolo pokazené.
Čo clear obmedzený na peer skutočne robí
Cisco vo prehľade príkazov clear dokumentuje podobu IPsec obmedzenú na peer. S dosadenou dokumentačnou adresou to vyzerá takto:
clear crypto ipsec sa peer 198.51.100.42Tento príkaz zhodí asociácie IPsec zodpovedajúce peeru. Neodstraňuje IKE SA, nemaže konfiguráciu a neresetuje databázu relácií. Spúšťajte ho z riadiacej cesty, ktorá nezávisí od tunela, ktorý meníte, pretože SSH relácia vedená týmto tunelom s ním zomrie a nemusí sa sama vrátiť. Všetko ostatné na zariadení beží ďalej, a práve preto príkaz pôsobí neškodne.
Keď je hľadanie cieľa neisté, neuchyľujte sa k neobmedzenému clearu. Širšia podoba zasiahne každý peer na zariadení a výpadok, ktorý vytvoríte, bude väčší než ten, kvôli ktorému vás volali.
Overte vrstvu, ktorú ste chceli opraviť
Po cleare potvrďte, že asociácie sa vrátili s novými počítadlami, namiesto toho, aby ste predpokladali, že reset zabral, lebo sa zoznam peerov znova naplnil. Potom otestujte aplikáciu uvedenú v tikete, pretože úspešný ping nič nehovorí o oprávnení služby alebo prepadnutej relácii.
Ak sa asociácie obnovia a aplikácia stále zlyháva, zostávajúcimi kandidátmi sú vrstva IKE a vrstva relácií. Vyberte tú, ktorej stav ešte môžete prezrieť. Použite cielenú operáciu pre verziu, ktorá skutočne beží, či už je to clear pre IKEv2, clear pre IKEv1 alebo clear databázy relácií obmedzený na správny typ relácie. Mazanie a opätovné vytváranie trvalej konfigurácie crypto-map, aby ste vynútili obnovu, je hádanie s dlhším návratom.
Eskalujte s oboma snímkami, pred aj po, namiesto toho, aby ste znova čistili.
Keď reset výpadok predĺži
Opakované cleary skrývajú poruchy, ktoré reset nedokáže opraviť: chýbajúca trasa, selektor, ktorý už nezodpovedá novej podsieti, vopred zdieľaný kľúč zmenený na jednej strane alebo obnova kľúča, ktorá opakovane zlyháva na návrhu, ktorý peer neprijme. Každý clear preruší zdravú prevádzku na každom selektore tohto peeru, pričom skutočná príčina zostáva nedotknutá. Tak sa z päťminútového vyšetrovania stane zmenové okno.
Obmedzený reset je stále užitočný. Užitočná verzia je cielená, zaznamenaná a nasleduje ju kontrola vrstvy, ktorú mala opraviť.
Poradie práce: zapíšte peer, verziu, selektory a počítadlá; potvrďte, ku ktorému rozsahu porucha patrí; spustite najužší zodpovedajúci clear; overte asociácie a aplikáciu; eskalujte s dôkazmi, ak sa vrstva zotaví, ale symptóm nezmizne.