ASA-வில் peer reset IPsec SA-க்களை நீக்கும், IKE நிலை அல்லது அமர்வுகளை அல்ல
peer-க்கு வரம்பிடப்பட்ட ஒரு clear IPsec தரவுப் பாதையை மட்டுமே உடைக்கிறது. எது எஞ்சுகிறது, சுரங்கம் ஏன் நொடிகளில் மீண்டும் கட்டப்படுகிறது, அதற்குப் பதிலாக எந்த அடுக்கைச் சுத்தம் செய்ய வேண்டும் என்பதைப் பாருங்கள்.
ஒரு பயன்பாட்டுக்காகச் சுரங்கம் விழுகிறது, யாரோ peer-க்கு வரம்பிடப்பட்ட IPsec clear இயக்குகிறார், கட்டளை ஏற்கப்பட்டதால் டிக்கெட் மூடப்படுகிறது. அந்த வரிசையில் பிழை சரிசெய்யப்பட்டதற்கான எந்த அறிகுறியும் இல்லை. ASA-வில் reset என்ற சொல் மூன்று தனித்த வரம்புகளை உள்ளடக்குகிறது, peer-க்கு வரம்பிடப்பட்ட clear அவற்றில் சரியாக ஒன்றை மட்டுமே தொடுகிறது, அதனால்தான் அதே சுரங்கம் இயக்குபவர் வெளியீட்டைப் படித்து முடிப்பதற்கு முன்பே மீண்டும் மேலே இருக்கும்.
ஒரு சொல்லுக்குப் பின்னால் மூன்று வரம்புகள்
IPsec SA இணை என்பது தரவுப் பாதையே, ஒவ்வொரு திசைக்கும் ஒரு தொடர்பு, வரிசை எண்கள் மற்றும் கணக்கிகளுடன். IKE SA என்பது அந்தத் தொடர்புகளை உருவாக்கிய, peer உறவை இன்னும் ஒன்றாக வைத்திருக்கும் பேச்சுவார்த்தைக் கால்வாய். VPN அமர்வு என்பது பயனர், தளம்-க்கு-தளம் peer அல்லது வாடிக்கையாளர் இல்லாத இணைப்புக்கான அமர்வுத் தரவுத்தளத்தில் உள்ள பதிவு.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
வரம்புகள் ஒன்றைச் சுத்தம் செய்தால் மற்றவை வேலை செய்யும் அளவுக்குத் தனித்தவை, அந்தத் தனித்தன்மையே பெரும்பாலான குழப்பத்தை உருவாக்குகிறது. IKE SA ஆரோக்கியமாக இருக்கும்போது IPsec SA-க்களைச் சுத்தம் செய்யுங்கள், போக்குவரத்து நொடிகளில் புதிய தொடர்புகளை உருவாக்கும், அதனால் சுரங்கம் தானாகவே குணமடைந்ததுபோல் தெரிகிறது. ஆனால் அடிப்படை முன்மொழிவு முரண்பாடு, பாதை இடைவெளி அல்லது அங்கீகாரத் தோல்வி இன்னும் அங்கேயே உள்ளது.
பிழை பேச்சுவார்த்தையில் இருந்தால், IPsec clear கவனிக்கக்கூடிய எதையும் மாற்றாது.
நிலை இன்னும் இருக்கும் போதே படியுங்கள்
எதையும் தொடுவதற்கு முன் peer முகவரி, பயன்படுத்தப்படும் IKE பதிப்பு, பாதுகாக்கப்பட்ட வலைப்பிணையங்கள் மற்றும் திசைக் கணக்கிகளைப் பதிவு செய்யுங்கள். ஆதரிக்கப்படும் காட்சிகள் பதிப்புக்கு ஏற்ப மாறும், ஆனால் வடிவங்கள் நிலையானவை: show crypto ipsec sa peer, show crypto ikev2 sa detailed அல்லது IKEv1-க்கு இணையானது, அமர்வு அடுக்குக்கு show vpn-sessiondb.
அந்த வெளியீட்டின் அருகில் நேர முத்திரையும் பயனர் காணும் சரியான பிழையும் எழுதுங்கள். ஒரு peer பொதுவாகப் பல பாதுகாக்கப்பட்ட வலைப்பிணையங்களைச் சுமக்கிறது, எனவே peer-க்கு வரம்பிடப்பட்ட clear-இன் தாக்க வீச்சு அந்த peer-இல் உள்ள ஒவ்வொரு தேர்வியாகவும் இருக்கும், டிக்கெட்டின் ஒரே பயன்பாடு அல்ல. முன் படம் இல்லாத reset-ஐப் பின்னர் கண்டறிய முடியாது, ஏனெனில் clear நீங்கள் ஒப்பிடவிருந்த கணக்கிகளையே அழிக்கிறது.
முதலில் சான்றுகளைப் பதிவு செய்யுங்கள். Clear அவற்றை நீக்கிவிடும், பின்னர் எடுக்கப்படும் திரைப்படம் எது மீண்டும் கட்டப்பட்டது என்பதைச் சொல்லும், எது உடைந்திருந்தது என்பதை அல்ல.
peer-க்கு வரம்பிடப்பட்ட clear உண்மையில் என்ன செய்கிறது
Cisco-வின் clear கட்டளை குறிப்பு peer-க்கு வரம்பிடப்பட்ட IPsec வடிவத்தை ஆவணப்படுத்துகிறது. ஆவண முகவரியை இட்டால் அது இப்படித் தெரியும்:
clear crypto ipsec sa peer 198.51.100.42அந்தக் கட்டளை peer-உடன் பொருந்தும் IPsec தொடர்புகளை உடைக்கிறது. அது IKE SA-ஐ நீக்காது, உள்ளமைவை அழிக்காது, அமர்வுத் தரவுத்தளத்தை மீட்டமைக்காது. நீங்கள் மாற்றும் சுரங்கத்தைச் சாராத நிர்வாகப் பாதையிலிருந்து அதை இயக்குங்கள், ஏனெனில் அந்தச் சுரங்கத்தின் உள்ளே எடுத்துச் செல்லப்படும் SSH அமர்வு அதனுடன் இறந்துவிடும், தானாகவே திரும்பி வராமலும் போகலாம். சாதனத்தில் மற்ற அனைத்தும் தொடர்ந்து இயங்கும், அதனால்தான் கட்டளை பாதிப்பில்லாததாகத் தோன்றுகிறது.
இலக்குத் தேடல் உறுதியற்றதாக இருக்கும்போது, நிபந்தனையற்ற clear-க்குத் திரும்ப வேண்டாம். பரந்த வடிவம் சாதனத்தில் உள்ள ஒவ்வொரு peer-ஐயும் அடையும், நீங்கள் உருவாக்கும் இடையூறு உங்களை அழைத்ததை விடப் பெரியதாக இருக்கும்.
நீங்கள் சரிசெய்ய நினைத்த அடுக்கைச் சரிபார்க்கவும்
clear-க்குப் பிறகு தொடர்புகள் புதிய கணக்கிகளுடன் திரும்பியதை உறுதிப்படுத்துங்கள், peer பட்டியல் மீண்டும் நிரம்பியதால் reset வேலை செய்தது என்று கருத வேண்டாம். பின்னர் டிக்கெட்டில் குறிப்பிட்ட பயன்பாட்டைச் சோதியுங்கள், ஏனெனில் வெற்றிகரமான ping சேவை அனுமதி அல்லது காலாவதியான அமர்வு பற்றி எதுவும் சொல்லாது.
தொடர்புகள் மீண்டும் கட்டப்பட்டும் பயன்பாடு தோல்வியடைந்தால், மீதமுள்ள வேட்பாளர்கள் IKE அடுக்கும் அமர்வு அடுக்கும். நிலையை இன்னும் பார்க்கக்கூடியதைத் தேர்ந்தெடுங்கள். உண்மையில் இயங்கும் பதிப்புக்கு இலக்கு நடவடிக்கையைப் பயன்படுத்துங்கள், அது IKEv2 clear ஆகட்டும், IKEv1 clear ஆகட்டும் அல்லது சரியான அமர்வு வகைக்கு வரம்பிடப்பட்ட அமர்வுத் தரவுத்தள clear ஆகட்டும். மீள்கட்டுமானத்தை வலியுறுத்த நிலையான crypto-map உள்ளமைவை நீக்கி மீண்டும் உருவாக்குவது நீண்ட பின்னடைவு கொண்ட ஊகம்.
மீண்டும் சுத்தம் செய்வதற்குப் பதிலாக முன் மற்றும் பின் இரு படங்களுடன் மேலெழுப்புங்கள்.
reset இடையூறை நீட்டிக்கும்போது
திரும்பத் திரும்ப வரும் clear reset சரிசெய்ய முடியாத பிழைகளை மறைக்கின்றன: காணாமல் போன பாதை, புதிய துணை வலைப்பிணையத்துடன் இனிப் பொருந்தாத தேர்வி, ஒரு பக்கத்தில் மாற்றப்பட்ட முன் பங்கிடப்பட்ட திறவி, அல்லது peer ஏற்காத முன்மொழிவில் திரும்பத் திரும்பத் தோல்வியடையும் திறவி புதுப்பித்தல். ஒவ்வொரு clear-உம் அந்த peer-இன் ஒவ்வொரு தேர்வியிலும் ஆரோக்கியமான போக்குவரத்தைத் துண்டிக்கிறது, உண்மையான காரணம் தொடப்படாமல் இருக்கிறது. இப்படி ஐந்து நிமிட ஆய்வு மாற்ற சாளரமாக மாறுகிறது.
வரம்பிடப்பட்ட reset இன்னும் பயனுள்ளது. பயனுள்ள வடிவம் இலக்கு கொண்டது, பதிவு செய்யப்பட்டது, அது சரிசெய்யவிருந்த அடுக்கின் பரிசோதனையுடன் வருவது.
வேலை வரிசை: peer, பதிப்பு, தேர்விகள் மற்றும் கணக்கிகளைப் பதிவு செய்யுங்கள்; பிழை எந்த வரம்புக்கு உரியது என்பதை உறுதிப்படுத்துங்கள்; பொருந்தும் மிகக் குறுகிய clear-ஐ இயக்குங்கள்; தொடர்புகளையும் பயன்பாட்டையும் சரிபார்க்கவும்; அடுக்கு குணமானாலும் அறிகுறி போகவில்லை என்றால் சான்றுகளுடன் மேலெழுப்புங்கள்.