Reset peera na ASA izbriše IPsec SA, ne stanja IKE ali sej
En clear, omejen na peera, poruši samo podatkovno pot IPsec. Poglejte, kaj preživi, zakaj se tunel obnovi v sekundah in katero plast je bolje počistiti.
Tunel pade za eno aplikacijo, nekdo zažene IPsec clear, omejen na peera, in zahtevek se zapre, ker je bil ukaz sprejet. Nič v tem zaporedju ne kaže, da je bila napaka odpravljena. Na ASA beseda reset pokriva tri ločene obsege, clear, omejen na peera, pa se dotakne natanko enega od njih, zato je isti tunel pogosto spet gor, preden operater prebere izpis do konca.
Trije obsegi skriti za eno besedo
Par IPsec SA je sama podatkovna pot, ena povezava na smer, s zaporednimi številkami in števci. IKE SA je kanal pogajanj, ki je te povezave ustvaril in še vedno drži odnos s peerom skupaj. Seja VPN je zapis v podatkovni bazi sej za uporabnika, peera od lokacije do lokacije ali povezavo brez odjemalca.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Obsegi so dovolj neodvisni, da čiščenje enega pusti druge pri delu, in ta neodvisnost ustvarja večino zmede. Počistite IPsec SA, medtem ko je IKE SA zdrava, in promet v nekaj sekundah sproži nove povezave, zato se zdi, da se je tunel sam pozdravil. Toda neujemanje predloga, vrzel v poti ali neuspeh overjanja so še vedno tam.
Če je napaka v pogajanjih, IPsec clear ne spremeni ničesar opazljivega.
Preberite stanje, dokler še obstaja
Zapišite naslov peera, uporabljeno različico IKE, zaščitena omrežja in smerne števce, preden se česar koli dotaknete. Podprti pogledi se razlikujejo po različici, oblike pa so stabilne: show crypto ipsec sa peer, show crypto ikev2 sa detailed ali ustreznik za IKEv1, in show vpn-sessiondb za plast sej.
Ob ta izpis zapišite časovni žig in natančno napako, ki jo vidi uporabnik. En peer običajno nosi več zaščitenih omrežij, zato je doseg cleara, omejenega na peera, vsak selektor na tem peeru, ne ena aplikacija iz zahtevka. Reseta brez slike prej ni mogoče diagnosticirati pozneje, ker clear izbriše prav tiste števce, s katerimi bi primerjali.
Najprej zabeležite dokaze. Clear jih odstrani, posnetek zaslona, narejen pozneje, pa vam pove, kaj je bilo obnovljeno, ne kaj je bilo pokvarjeno.
Kaj clear, omejen na peera, v resnici naredi
Ciscov pregled ukazov clear dokumentira obliko IPsec, omejeno na peera. Z nadomeščenim naslovom dokumentacije je videti takole:
clear crypto ipsec sa peer 198.51.100.42Ta ukaz poruši povezave IPsec, ki ustrezajo peeru. Ne odstrani IKE SA, ne izbriše konfiguracije in ne ponastavi podatkovne baze sej. Zaženite ga s upravljalne poti, ki ni odvisna od tunela, ki ga spreminjate, ker bo seja SSH, prenesena v tem tunelu, umrla z njim in se morda ne bo sama vrnila. Vse ostalo na napravi še naprej deluje, in prav zato se ukaz zdi neškodljiv.
Ko je iskanje cilja negotovo, se ne zanašajte na clear brez omejitve. Širša oblika doseže vsak peer na napravi, izpad, ki ga ustvarite, pa bo večji od tistega, zaradi katerega so vas poklicali.
Preverite plast, ki ste jo hoteli popraviti
Po clearu potrdite, da so se povezave vrnile s svežimi števci, namesto da bi domnevali, da je reset deloval, ker se je seznam peerov spet napolnil. Nato preizkusite aplikacijo, navedeno v zahtevku, saj uspešen ping ne pove ničesar o dovoljenju za storitev ali potekli seji.
Če se povezave obnovijo in aplikacija še vedno ne uspe, sta preostala kandidata plast IKE in plast sej. Izberite tisto, katere stanje še lahko pregledate. Uporabite ciljno operacijo za različico, ki dejansko teče, naj bo to clear za IKEv2, clear za IKEv1 ali clear podatkovne baze sej, omejen na pravi tip seje. Brisanje in ponovno ustvarjanje trajne konfiguracije crypto-map, da bi vsilili obnovo, je ugibanje z daljšim vračanjem.
Eskalirajte z obema slikama, prej in potem, namesto da bi znova čistili.
Ko reset izpad podaljša
Ponovljeni cleari skrijejo napake, ki jih reset ne more odpraviti: manjkajoča pot, selektor, ki ne ustreza več novi podomrežji, vnaprej deljeni ključ, spremenjen na eni strani, ali obnova ključa, ki znova in znova spodleti pri predlogu, ki ga peer ne bo sprejel. Vsak clear prekine zdrav promet na vsakem selektorju tega peera, medtem ko pravi vzrok ostane nedotaknjen. Tako se petminutna preiskava spremeni v okno sprememb.
Omejen reset je še vedno koristen. Koristna različica je ciljna, zabeležena in ji sledi pregled plasti, ki bi jo morala popraviti.
Vrstni red dela: zapišite peera, različico, selektorje in števce; potrdite, kateremu obsegu pripada napaka; zaženite najožji ustrezen clear; preverite povezave in aplikacijo; eskalirajte z dokazi, če si plast opomore, simptom pa ne izgine.