Reset peer-а на ASA брише IPsec SA, али не стање IKE ни сесије
Један clear ограничен на peer руши само IPsec пут података. Погледајте шта преживи, зашто се тунел обнови у секундама и који слој очистити уместо тога.
Тунел падне за једну апликацију, неко покрене IPsec clear ограничен на peer и тикет се затвори јер је команда прихваћена. Ништа у том низу не показује да је квар отклоњен. На ASA реч reset покрива три одвојена опсега, а clear ограничен на peer дотиче тачно један од њих, зато је исти тунел често поново подигнут пре него што оператер прочита излаз.
Три опсега крију се иза једне речи
Пар IPsec SA је сам пут података, једна асоцијација по смеру, са редним бројевима и бројачима. IKE SA је канал преговарања који је створио те асоцијације и још држи однос са peer-ом на окупу. VPN сесија је запис у бази сесија за корисника, peer-а од локације до локације или везу без клијента.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Опсези су довољно независни да чишћење једног оставља остале у раду, и та независност ствара већи део забуне. Очистите IPsec SA док је IKE SA здрав, и саобраћај у секундама изазове нове асоцијације, па тунел изгледа као да се сам излечио. Али неслагање предлога, празнина у рути или неуспех аутентификације и даље су ту.
Ако је квар у преговарању, IPsec clear не мења ништа што можете приметити.
Прочитајте стање док још постоји
Запишите адресу peer-а, верзију IKE која се користи, заштићене мреже и смерне бројаче пре него што било шта дотакнете. Подржани прикази разликују се по издању, али облици су стабилни: show crypto ipsec sa peer, show crypto ikev2 sa detailed или еквивалент за IKEv1, и show vpn-sessiondb за слој сесија.
Уз тај излаз запишите временску ознаку и тачан квар који корисник види. Један peer обично носи неколико заштићених мрежа, па је домет cleara ограниченог на peer сваки селектор на том peer-у, а не једна апликација из тикета. Reset без слике пре не може се после дијагностиковати, јер clear брише управо бројаче с којима бисте упоредили.
Прво забележите доказе. Clear их уклања, а снимак екрана узет после говори шта се обновило, а не шта је било покварено.
Шта clear ограничен на peer заправо ради
Ciscov преглед clear команди документује IPsec облик ограничен на peer. Са замењеном документационом адресом то изгледа овако:
clear crypto ipsec sa peer 198.51.100.42Та команда руши IPsec асоцијације које одговарају peer-у. Не уклања IKE SA, не брише конфигурацију и не ресетује базу сесија. Покрените је са управљачког пута који не зависи од тунела који мењате, јер SSH сесија пренета тим тунелом умреће с њим и можда се неће сама вратити. Све остало на уређају наставља да ради, и управо зато команда делује безазлено.
Кад је проналажење циља несигурно, не враћајте се на clear без квалификације. Шири облик достиже сваки peer на уређају, а прекид који направите биће већи од оног због којег су вас позвали.
Проверите слој који сте намеравали да поправите
После cleara потврдите да су се асоцијације вратиле са свежим бројачима, уместо да претпоставите да је reset успео јер се листа peer-ова поново напунила. Затим тестирајте апликацију коју тикет наводи, јер успешан ping не говори ништа о дозволи за услугу или истеклој сесији.
Ако се асоцијације обнове, а апликација и даље пада, преостали кандидати су IKE слој и слој сесија. Одаберите онај чије стање још можете прегледати. Користите циљану операцију за верзију која стварно ради, било да је то clear за IKEv2, clear за IKEv1 или clear базе сесија ограничен на прави тип сесије. Брисање и поновно стварање трајне crypto-map конфигурације да би се присилила обнова је нагађање са дужим враћањем.
Ескалирајте са обе слике, пре и после, уместо да чистите поново.
Кад reset продужи прекид
Поновљени clear-ови крију квар који reset не може да поправи: рута која недостаје, селектор који више не одговара новој подмрежи, унапред дељени кључ промењен на једној страни или обнова кључа која стално пада на предлогу који peer неће прихватити. Сваки clear прекида здрав саобраћај на сваком селектору тог peer-а док стварни узрок остаје нетакнут. Тако се петоминутна истрага претвори у прозор за промене.
Ограничени reset је и даље користан. Корисна верзија је циљана, забележена и праћена прегледом слоја који је требало поправити.
Редослед рада: запишите peer, верзију, селекторе и бројаче; потврдите којем опсегу квар припада; покрените најужи одговарајући clear; проверите асоцијације и апликацију; ескалирајте с доказима ако се слој опорави, али симптом не нестане.