Reset ya peer kwenye ASA hufuta IPsec SA, si hali ya IKE au vipindi
Clear moja iliyozuiwa kwa peer huvunja njia ya data ya IPsec pekee. Angalia kinachobaki, kwa nini handaki hujengwa upya kwa sekunde, na tabaka gani la kusafisha badala yake.
Handaki huanguka kwa programu moja, mtu anaendesha IPsec clear iliyozuiwa kwa peer, na tikiti hufungwa kwa sababu amri ilikubaliwa. Hakuna chochote katika mfululizo huo kinachoonyesha kwamba hitilafu ilirekebishwa. Kwenye ASA neno reset hufunika maeneo matatu tofauti, na clear iliyozuiwa kwa peer hugusa moja tu kati yao, ndiyo sababu handaki hiyo hiyo mara nyingi huwa juu tena kabla mwendeshaji hajamaliza kusoma matokeo.
Maeneo matatu yaliyofichwa nyuma ya neno moja
Jozi ya IPsec SA ni njia ya data yenyewe, muunganisho mmoja kwa mwelekeo, ukiwa na namba za mfululizo na vihesabu. IKE SA ni kituo cha majadiliano kilichozalisha miunganisho hiyo na bado kinashikilia uhusiano na peer. Kipindi cha VPN ni rekodi katika hifadhidata ya vipindi kwa mtumiaji, peer wa tovuti-hadi-tovuti au muunganisho usio na mteja.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Maeneo hayo yanajitegemea vya kutosha kwamba kusafisha moja huwaacha mengine yakifanya kazi, na uhuru huo husababisha sehemu kubwa ya mkanganyiko. Safisha IPsec SA wakati IKE SA iko sawa, na trafiki huzalisha miunganisho mipya ndani ya sekunde, kwa hiyo handaki huonekana kama imejiponya yenyewe. Lakini kutokulingana kwa pendekezo, pengo la njia au kushindwa kwa uthibitishaji bado kuko hapo.
Ikiwa hitilafu iko katika majadiliano, IPsec clear haibadilishi chochote kinachoonekana.
Soma hali wakati bado ipo
Andika anwani ya peer, toleo la IKE linalotumika, mitandao iliyolindwa na vihesabu vya mwelekeo kabla ya kugusa kitu chochote. Mionekano inayotumika hutofautiana kwa toleo, lakini maumbo ni thabiti: show crypto ipsec sa peer, show crypto ikev2 sa detailed au sawa na IKEv1, na show vpn-sessiondb kwa tabaka la vipindi.
Andika muhuri wa muda na hitilafu kamili inayoonekana kwa mtumiaji kando ya matokeo hayo. Peer moja kawaida hubeba mitandao kadhaa iliyolindwa, kwa hiyo eneo la athari la clear iliyozuiwa kwa peer ni kila kichaguzi kwenye peer hiyo, si programu moja ya tikiti. Reset bila picha ya awali haiwezi kugunduliwa baadaye, kwa sababu clear hufuta vihesabu ambavyo ungekuwa ukilinganisha navyo.
Kusanya ushahidi kwanza. Clear huondoa, na picha ya skrini iliyopigwa baadaye inakuambia kilichojengwa upya, si kilichokuwa kimevunjika.
Clear iliyozuiwa kwa peer hufanya nini hasa
Rejea ya amri za clear ya Cisco inaeleza umbo la IPsec lililozuiwa kwa peer. Anwani ya nyaraka ikiwekwa, inaonekana hivi:
clear crypto ipsec sa peer 198.51.100.42Amri hiyo huvunja miunganisho ya IPsec inayolingana na peer. Haiondoi IKE SA, haifuti usanidi na haiseti upya hifadhidata ya vipindi. Iendeshe kutoka njia ya usimamizi isiyotegemea handaki unayobadilisha, kwa sababu kipindi cha SSH kinachobebwa ndani ya handaki hiyo kitakufa pamoja nayo na huenda kisirudi chenyewe. Kila kitu kingine kwenye kifaa kinaendelea kufanya kazi, na ndiyo sababu amri hiyo inaonekana isiyo na madhara.
Wakati utafutaji wa lengo hauna uhakika, usirudi kwenye clear isiyo na masharti. Umbo pana hufikia kila peer kwenye kifaa, na usumbufu unaouanzisha utakuwa mkubwa kuliko ule uliokuitwa.
Thibitisha tabaka ulilokusudia kurekebisha
Baada ya clear, thibitisha kwamba miunganisho ilirudi na vihesabu vipya badala ya kudhani reset ilifanya kazi kwa sababu orodha ya peer ilijaa tena. Kisha jaribu programu iliyotajwa kwenye tikiti, kwa sababu ping iliyofanikiwa haisemi chochote kuhusu ruhusa ya huduma au kipindi kilichoisha.
Ikiwa miunganisho hujengwa upya na programu bado inashindwa, wagombea waliobaki ni tabaka la IKE na tabaka la vipindi. Chagua lile ambalo hali yake bado unaweza kuikagua. Tumia operesheni inayolenga toleo linaloendesha kwa kweli, liwe clear ya IKEv2, clear ya IKEv1 au clear ya hifadhidata ya vipindi iliyozuiwa kwa aina sahihi ya kipindi. Kufuta na kuunda upya usanidi wa kudumu wa crypto-map ili kulazimisha ujenzi upya ni kukisia kwa urejeshaji mrefu.
Pandisha kwa picha zote mbili, kabla na baada, badala ya kusafisha tena.
Wakati reset inaongeza muda wa usumbufu
Clear zinazorudiwa huficha hitilafu ambazo reset haiwezi kurekebisha: njia inayokosekana, kichaguzi kisicholingana tena na subnet mpya, ufunguo ulioshirikiwa mapema uliobadilishwa upande mmoja, au uboreshaji wa ufunguo unaoshindwa mara kwa mara kwenye pendekezo ambalo peer haitalikubali. Kila clear huvunja trafiki nzuri kwenye kila kichaguzi cha peer hiyo wakati sababu halisi inabaki bila kuguswa. Hivyo uchunguzi wa dakika tano hubadilika kuwa dirisha la mabadiliko.
Reset iliyozuiwa bado ni muhimu. Toleo muhimu ni lile linalolenga, lililorekodiwa na likifuatiwa na ukaguzi wa tabaka iliyopaswa kurekebishwa.
Mpangilio wa kazi: andika peer, toleo, vichaguzi na vihesabu; thibitisha hitilafu ni ya eneo gani; endesha clear nyembamba inayolingana; thibitisha miunganisho na programu; pandisha kwa ushahidi ikiwa tabaka linapona lakini dalili haiondoki.