Reset-i i peer-it në ASA fshin SA-të IPsec, jo gjendjen IKE ose sesionet
Një clear i kufizuar te peer-i rrëzon vetëm rrugën e të dhënave IPsec. Shihni çfarë mbijeton, pse tuneli rindërtohet në sekonda dhe cilin shtresë duhet pastruar në vend të kësaj.
Tuneli bie për një aplikacion të vetëm, dikush ekzekuton një clear IPsec të kufizuar te peer-i dhe tiketa mbyllet sepse komanda u pranua. Asgjë në atë sekuencë nuk tregon se defekti u riparua. Në një ASA fjala reset mbulon tre fusha të ndara, dhe clear-i i kufizuar te peer-i prek saktësisht njërën prej tyre, prandaj i njëjti tunel shpesh është përsëri lart përpara se operatori të përfundojë leximin e daljes.
Tre fusha fshihen pas një fjale
Një çift SA IPsec është vetë rruga e të dhënave, një shoqërim për çdo drejtim, me numra sekuence dhe numërues. Një SA IKE është kanali i negociimit që prodhoi ato shoqërime dhe që ende mban bashkë marrëdhënien me peer-in. Një sesion VPN është regjistri në bazën e të dhënave të sesioneve për një përdorues, një peer nga vend në vend ose një lidhje pa klient.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Fushat janë mjaft të pavarura që pastrimi i njërës t'i lërë të tjerat duke punuar, dhe kjo pavarësi prodhon pjesën më të madhe të konfuzionit. Pastroni SA-të IPsec ndërsa SA-ja IKE është e shëndetshme, dhe trafiku shkakton shoqërime të reja brenda sekondave, kështu që tuneli duket se është shëruar vetë. Por mospërputhja e propozimit, boshllëku i rrugës ose dështimi i vërtetimit janë ende aty.
Nëse defekti është në negociim, një clear IPsec nuk ndryshon asgjë të vëzhgueshme.
Lexoni gjendjen ndërsa ajo ekziston ende
Shënoni adresën e peer-it, versionin IKE në përdorim, rrjetet e mbrojtura dhe numëruesit e drejtimit përpara se të prekni diçka. Pamjet e mbështetura ndryshojnë sipas versionit, por format janë të qëndrueshme: show crypto ipsec sa peer, show crypto ikev2 sa detailed ose ekuivalenti për IKEv1, dhe show vpn-sessiondb për shtresën e sesioneve.
Shkruani vulën kohore dhe defektin e saktë të dukshëm për përdoruesin pranë asaj daljeje. Një peer zakonisht mban disa rrjete të mbrojtura, prandaj rrezja e një clear-i të kufizuar te peer-i është çdo përzgjedhës në atë peer, jo aplikacioni i vetëm i tiketës. Një reset pa pamje paraprake nuk mund të diagnostikohet më vonë, sepse clear-i fshin pikërisht numëruesit me të cilët do të kishit krahasuar.
Mblidhni fillimisht provat. Clear-i i heq ato, dhe një pamje ekrani e marrë më pas ju tregon çfarë u rindërtua, jo çfarë ishte prishur.
Çfarë bën në të vërtetë clear-i i kufizuar te peer-i
Referenca e komandave clear e Cisco dokumenton formën IPsec të kufizuar te peer-i. Me një adresë dokumentacioni të zëvendësuar, duket kështu:
clear crypto ipsec sa peer 198.51.100.42Ajo komandë rrëzon shoqërimet IPsec që përputhen me peer-in. Nuk heq SA-në IKE, nuk fshin konfigurimin dhe nuk rivendos bazën e të dhënave të sesioneve. Ekzekutoni atë nga një rrugë administrimi që nuk varet nga tuneli që po ndryshoni, sepse një sesion SSH i transportuar brenda atij tuneli do të vdesë me të dhe mund të mos kthehet vetë. Çdo gjë tjetër në pajisje vazhdon të punojë, dhe pikërisht për këtë komanda duket e padëmshme.
Kur kërkimi i objektivit është i pasigurt, mos u ktheni te një clear pa kualifikim. Forma më e gjerë arrin çdo peer në pajisje, dhe ndërprerja që krijoni do të jetë më e madhe se ajo për të cilën ju thirrën.
Verifikoni shtresën që kishit ndërmend të rregullonit
Pas clear-it, konfirmoni se shoqërimet u kthyen me numërues të rinj në vend që të supozoni se reset-i funksionoi sepse lista e peer-ëve u mbush përsëri. Më pas provoni aplikacionin e përmendur në tiketë, sepse një ping i suksesshëm nuk thotë asgjë për një leje shërbimi ose një sesion të skaduar.
Nëse shoqërimet rindërtohen dhe aplikacioni vazhdon të dështojë, kandidatët e mbetur janë shtresa IKE dhe shtresa e sesioneve. Zgjidhni atë gjendjen e të cilit mund ta inspektoni ende. Përdorni operacionin e synuar për versionin që ekzekutohet vërtet, qoftë një clear IKEv2, një clear IKEv1 ose një clear i bazës së sesioneve i kufizuar në llojin e duhur të sesionit. Fshirja dhe rikrijimi i konfigurimit të vazhdueshëm crypto-map për të detyruar një rindërtim është hamendje me një kthim më të gjatë.
Eskaloni me të dyja pamjet, para dhe pas, në vend që të pastroni përsëri.
Kur reset-i e zgjat ndërprerjen
Clear-të e përsëritura fshehin defektet që një reset nuk mund t'i rregullojë: një rrugë që mungon, një përzgjedhës që nuk përputhet më me nënrrjetin e ri, një çelës i ndarë paraprakisht i ndryshuar në njërën anë, ose një rinovim çelësi që dështon vazhdimisht në një propozim që peer-i nuk do ta pranojë. Çdo clear ndërpret trafikun e shëndetshëm në çdo përzgjedhës të atij peer, ndërsa shkaku i vërtetë mbetet i paprekur. Kështu një hetim prej pesë minutash kthehet në një dritare ndryshimi.
Një reset i kufizuar mbetet i dobishëm. Versioni i dobishëm është i synuar, i regjistruar dhe i ndjekur nga një inspektim i shtresës që duhej të riparonte.
Rendi i punës: shënoni peer-in, versionin, përzgjedhësit dhe numëruesit; konfirmoni se cilës fushë i përket defekti; ekzekutoni clear-in më të ngushtë që përputhet; verifikoni shoqërimet dhe aplikacionin; eskalo me prova nëse shtresa rikuperohet por simptomi nuk zhduket.