Peer-reset på ASA raderar IPsec-SA, inte IKE-tillstånd eller sessioner
En peer-begränsad clear river bara ned IPsec-datavägen. Se vad som överlever, varför tunneln byggs upp igen på sekunder och vilket lager du hellre bör tömma.
Tunneln faller för en enda applikation, någon kör en peer-begränsad IPsec-clear, och ärendet stängs eftersom kommandot accepterades. Inget i den sekvensen visar att felet åtgärdades. På en ASA täcker ordet reset tre separata omfång, och den peer-begränsade clearen träffar exakt ett av dem, vilket är varför samma tunnel ofta är uppe igen innan operatören hunnit läsa utskriften.
Tre omfång gömmer sig bakom ett ord
Ett IPsec-SA-par är själva datavägen, en association per riktning, med sekvensnummer och räknare. En IKE-SA är förhandlingskanalen som skapade dessa associationer och fortfarande håller peer-relationen samman. En VPN-session är posten i sessionsdatabasen för en användare, en site-till-site-peer eller en klientlös anslutning.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Omfången är tillräckligt oberoende för att tömning av ett låter de andra fortsätta, och det oberoendet skapar det mesta av förvirringen. Töm IPsec-SA:na medan IKE-SA:n är frisk, och trafik utlöser nya associationer inom sekunder, så tunneln verkar ha läkt sig själv. Men den bakomliggande avvikelsen i förslaget, ruttglappet eller autentiseringsfelet finns fortfarande kvar.
Om felet ligger i förhandlingen ändrar en IPsec-clear inget du kan observera.
Läs tillståndet medan det fortfarande finns
Notera peer-adressen, IKE-versionen som används, de skyddade näten och riktningsräknarna innan du rör något. De visningar som stöds varierar mellan versioner, men formerna är stabila: show crypto ipsec sa peer, show crypto ikev2 sa detailed eller IKEv1-motsvarigheten, och show vpn-sessiondb för sessionslagret.
Skriv tidsstämpeln och det exakta användarsynliga felet bredvid den utskriften. En peer bär ofta flera skyddade nät, så en peer-begränsad clear slår mot varje selector på den peeren, inte mot den enda applikationen i ärendet. En reset utan före-bild går inte att diagnostisera i efterhand, eftersom clearen raderar just de räknare du skulle ha jämfört med.
Säkra bevisen först. Clearen tar bort dem, och en skärmbild tagen efteråt säger vad som byggdes upp igen, inte vad som var trasigt.
Vad den peer-begränsade clearen faktiskt gör
Ciscos referens för clear-kommandon dokumenterar den peer-begränsade IPsec-formen. Med en dokumentationsadress isatt ser den ut så här:
clear crypto ipsec sa peer 198.51.100.42Kommandot river ned de IPsec-associationer som matchar peeren. Det tar inte bort IKE-SA, raderar inte konfiguration och återställer inte sessionsdatabasen. Kör det från en hanteringsväg som inte beror på tunneln du ändrar, eftersom en SSH-session som bärs inuti den tunneln dör med den och kanske inte kommer tillbaka av sig själv. Allt annat på enheten fortsätter att gå, och just därför känns kommandot ofarligt.
När målsökningen är osäker ska du inte falla tillbaka på en okvalificerad clear. Den bredare formen når varje peer på enheten, och det avbrott du skapar blir större än det du blev tillkallad för.
Verifiera lagret du menade att reparera
Efter clearen, bekräfta att associationerna kom tillbaka med färska räknare i stället för att anta att reseten fungerade för att peer-listan fylldes på igen. Testa sedan applikationen som ärendet nämnde, eftersom en lyckad ping inte säger något om en tjänstebehörighet eller en utgången session.
Om associationerna byggs upp igen och applikationen fortfarande misslyckas, är de återstående kandidaterna IKE-lagret och sessionslagret. Välj det du fortfarande kan inspektera tillståndet för. Använd den riktade operationen för den version som faktiskt körs, vare sig det är en IKEv2-clear, en IKEv1-clear eller en sessionsdatabas-clear begränsad till rätt sessionstyp. Att radera och återskapa beständig crypto-map-konfiguration för att tvinga fram en återuppbyggnad är gissningar med en längre återrullning.
Eskalera med båda bilderna, före och efter, i stället för att tömma igen.
När reseten förlänger avbrottet
Upprepade clears döljer de fel en reset inte kan rätta: en saknad rutt, en selector som inte längre matchar det nya subnätet, en fördelad nyckel ändrad på ena sidan, eller en nyckelförnyelse som gång på gång misslyckas på ett förslag som peeren inte accepterar. Varje clear avbryter frisk trafik på varje selector för den peeren medan den verkliga orsaken lämnas orörd. Så blir en femminutersutredning ett ändringsfönster.
En avgränsad reset är fortfarande användbar. Den användbara versionen är riktad, dokumenterad och följd av en inspektion av det lager den skulle reparera.
Arbetsordning: notera peer, version, selectors och räknare; bekräfta vilket omfång felet hör till; kör den snävaste clear som passar; verifiera associationer och applikationen; eskalera med bevis om lagret återhämtar sig men symptomet inte försvinner.