ASAలో peer reset IPsec SAలను తొలగిస్తుంది, IKE స్థితి లేదా సెషన్‌లను కాదు
peerకు పరిమితమైన ఒక clear IPsec డేటా మార్గాన్ని మాత్రమే విచ్ఛిన్నం చేస్తుంది. ఏమి మిగులుతుంది, టన్నెల్ ఎందుకు సెకన్లలో తిరిగి నిర్మితమవుతుంది, దానికి బదులుగా ఏ పొరను శుభ్రం చేయాలో చూడండి.
ఒక అప్లికేషన్ కోసం టన్నెల్ పడిపోతుంది, ఎవరో peerకు పరిమితమైన IPsec clear నడుపుతారు, ఆదేశం ఆమోదించబడినందున టికెట్ మూసివేయబడుతుంది. ఆ క్రమంలో లోపం సరిచేయబడినట్లు ఎక్కడా కనిపించదు. ASAలో reset అనే పదం మూడు వేర్వేరు పరిధులను కవర్ చేస్తుంది, peerకు పరిమితమైన clear వాటిలో సరిగ్గా ఒకదాన్ని మాత్రమే తాకుతుంది, అందుకే అదే టన్నెల్ ఆపరేటర్ అవుట్‌పుట్ చదవడం ముగించకముందే తిరిగి పైకి ఉంటుంది.
ఒక పదం వెనుక మూడు పరిధులు
IPsec SA జంట అనేది డేటా మార్గమే, ప్రతి దిశకు ఒక అనుబంధం, క్రమ సంఖ్యలు మరియు కౌంటర్లతో. IKE SA అనేది ఆ అనుబంధాలను సృష్టించిన, peer సంబంధాన్ని ఇంకా కలిపి ఉంచుతున్న చర్చా ఛానెల్. VPN సెషన్ అనేది వినియోగదారు, సైట్-నుండి-సైట్ peer లేదా క్లయింట్ లేని కనెక్షన్ కోసం సెషన్ డేటాబేస్‌లోని రికార్డు.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
పరిధులు ఒకదాన్ని శుభ్రం చేసినప్పుడు మిగతావి పనిచేస్తూనే ఉండేంత స్వతంత్రంగా ఉంటాయి, ఆ స్వతంత్రతే ఎక్కువ గందరగోళాన్ని సృష్టిస్తుంది. IKE SA ఆరోగ్యంగా ఉన్నప్పుడు IPsec SAలను శుభ్రం చేయండి, ట్రాఫిక్ సెకన్లలో కొత్త అనుబంధాలను సృష్టిస్తుంది, కాబట్టి టన్నెల్ తనంతట తానే నయమైనట్లు కనిపిస్తుంది. కానీ అంతర్లీన ప్రతిపాదన అసమతుల్యత, మార్గంలో ఖాళీ లేదా ప్రమాణీకరణ వైఫల్యం ఇంకా అక్కడే ఉన్నాయి.
లోపం చర్చలో ఉంటే, IPsec clear గమనించగలిగే ఏదీ మార్చదు.
స్థితి ఇంకా ఉన్నప్పుడే చదవండి
ఏదీ తాకే ముందు peer చిరునామా, ఉపయోగిస్తున్న IKE సంస్కరణ, రక్షిత నెట్‌వర్క్‌లు మరియు దిశా కౌంటర్లను నమోదు చేయండి. మద్దతు ఉన్న వీక్షణలు సంస్కరణను బట్టి మారుతాయి, కానీ ఆకారాలు స్థిరంగా ఉంటాయి: show crypto ipsec sa peer, show crypto ikev2 sa detailed లేదా IKEv1 సమానం, మరియు సెషన్ పొర కోసం show vpn-sessiondb.
ఆ అవుట్‌పుట్ పక్కన సమయ ముద్ర మరియు వినియోగదారుకు కనిపించే ఖచ్చితమైన లోపాన్ని రాయండి. ఒక peer సాధారణంగా అనేక రక్షిత నెట్‌వర్క్‌లను మోస్తుంది, కాబట్టి peerకు పరిమితమైన clear ప్రభావం ఆ peerలోని ప్రతి ఎంపికదారు వరకు ఉంటుంది, టికెట్‌లోని ఒకే అప్లికేషన్ వరకు కాదు. ముందు చిత్రం లేని resetను తర్వాత నిర్ధారించలేరు, ఎందుకంటే clear మీరు పోల్చుకోవలసిన కౌంటర్లనే తొలగిస్తుంది.
మొదట ఆధారాలను సేకరించండి. Clear వాటిని తొలగిస్తుంది, తర్వాత తీసిన స్క్రీన్‌షాట్ ఏమి తిరిగి నిర్మించబడిందో చెబుతుంది, ఏమి విరిగిందో కాదు.
peerకు పరిమితమైన clear నిజంగా ఏమి చేస్తుంది
Cisco యొక్క clear ఆదేశాల సూచన peerకు పరిమితమైన IPsec రూపాన్ని నమోదు చేస్తుంది. పత్ర చిరునామా పెట్టినప్పుడు అది ఇలా కనిపిస్తుంది:
clear crypto ipsec sa peer 198.51.100.42ఆ ఆదేశం peerతో సరిపోయే IPsec అనుబంధాలను విచ్ఛిన్నం చేస్తుంది. ఇది IKE SAను తీసివేయదు, కాన్ఫిగరేషన్‌ను తుడిచివేయదు, సెషన్ డేటాబేస్ను రీసెట్ చేయదు. మీరు మారుస్తున్న టన్నెల్‌పై ఆధారపడని నిర్వహణ మార్గం నుండి దాన్ని నడపండి, ఎందుకంటే ఆ టన్నెల్ లోపల మోసుకెళ్లే SSH సెషన్ దానితో పాటు చనిపోతుంది, తనంతట తానే తిరిగి రాకపోవచ్చు. పరికరంలో మిగతావన్నీ నడుస్తూనే ఉంటాయి, అందుకే ఆదేశం హానికరం కానట్లు అనిపిస్తుంది.
లక్ష్యాన్వేషణ అనిశ్చితంగా ఉన్నప్పుడు, షరతులు లేని clear వైపు తిరోగమించకండి. విస్తృత రూపం పరికరంలోని ప్రతి peerకు చేరుతుంది, మీరు సృష్టించే అంతరాయం మిమ్మల్ని పిలిపించిన దానికంటే పెద్దదిగా ఉంటుంది.
మీరు సరిచేయాలనుకున్న పొరను ధృవీకరించండి
clear తర్వాత అనుబంధాలు కొత్త కౌంటర్లతో తిరిగి వచ్చాయని నిర్ధారించుకోండి, peer జాబితా మళ్లీ నిండినందున reset పనిచేసిందని భావించకండి. తర్వాత టికెట్ పేర్కొన్న అప్లికేషన్‌ను పరీక్షించండి, ఎందుకంటే విజయవంతమైన ping సేవా అనుమతి లేదా ముగిసిన సెషన్ గురించి ఏమీ చెప్పదు.
అనుబంధాలు తిరిగి నిర్మితమైనా అప్లికేషన్ విఫలమవుతూనే ఉంటే, మిగిలిన అభ్యర్థులు IKE పొర మరియు సెషన్ పొర. స్థితిని ఇంకా పరిశీలించగలిగేదాన్ని ఎంచుకోండి. నిజంగా నడుస్తున్న సంస్కరణకు లక్ష్యిత చర్యను ఉపయోగించండి, అది IKEv2 clear అయినా, IKEv1 clear అయినా లేదా సరైన సెషన్ రకానికి పరిమితమైన సెషన్ డేటాబేస్ clear అయినా. తిరిగి నిర్మాణాన్ని బలవంతం చేయడానికి శాశ్వత crypto-map కాన్ఫిగరేషన్‌ను తొలగించి మళ్లీ సృష్టించడం పెద్ద వెనుదిరుగుడుతో కూడిన ఊహ.
మళ్లీ శుభ్రం చేయడం బదులు ముందు మరియు తర్వాత రెండు చిత్రాలతో ఎస్కలేట్ చేయండి.
reset అంతరాయాన్ని పొడిగించినప్పుడు
పునరావృత clearలు reset సరిచేయలేని లోపాలను దాచుతాయి: తప్పిపోయిన మార్గం, కొత్త ఉపనెట్‌వర్క్‌తో ఇక సరిపోని ఎంపికదారు, ఒక వైపు మార్చబడిన ముందస్తు భాగస్వామ్య కీ, లేదా peer అంగీకరించని ప్రతిపాదనపై పదే పదే విఫలమయ్యే కీ పునరుద్ధరణ. ప్రతి clear ఆ peerలోని ప్రతి ఎంపికదారుపై ఆరోగ్యకరమైన ట్రాఫిక్‌ను అంతరాయం చేస్తుంది, నిజమైన కారణం తాకబడకుండా ఉంటుంది. ఇలా ఐదు నిమిషాల పరిశోధన మార్పు విండోగా మారుతుంది.
పరిమిత reset ఇంకా ఉపయోగపడుతుంది. ఉపయోగకరమైన రూపం లక్ష్యితం, నమోదితం మరియు అది సరిచేయవలసిన పొర పరిశీలనతో కూడుకున్నది.
పని క్రమం: peer, సంస్కరణ, ఎంపికదారులు మరియు కౌంటర్లను నమోదు చేయండి; లోపం ఏ పరిధికి చెందినదో నిర్ధారించండి; సరిపోయే అత్యంత సన్నని clear నడపండి; అనుబంధాలు మరియు అప్లికేషన్‌ను ధృవీకరించండి; పొర కోలుకున్నా లక్షణం పోకపోతే ఆధారాలతో ఎస్కలేట్ చేయండి.