peer reset บน ASA ลบ IPsec SA ไม่ใช่สถานะ IKE หรือเซสชัน
clear ที่จำกัดเฉพาะ peer ฉีกเพียงเส้นทางข้อมูล IPsec ดูว่าอะไรอยู่รอด ทำไมอุโมงค์สร้างใหม่ในไม่กี่วินาที และควรล้างชั้นใดแทน
อุโมงค์ล่มสำหรับแอปพลิเคชันเดียว มีคนรัน clear IPsec ที่จำกัดเฉพาะ peer และตั๋วถูกปิดเพราะคำสั่งถูกยอมรับ ไม่มีอะไรในลำดับนั้นแสดงว่าข้อขัดข้องได้รับการแก้ไข บน ASA คำว่า reset ครอบคลุมสามขอบเขตแยกกัน และ clear ที่จำกัดเฉพาะ peer แตะเพียงหนึ่งในนั้น จึงเป็นเหตุให้อุโมงค์เดิมมักกลับมาขึ้นก่อนที่ผู้ปฏิบัติงานจะอ่านเอาต์พุตจบ
สามขอบเขตซ่อนอยู่หลังคำเดียว
คู่ IPsec SA คือเส้นทางข้อมูลเอง หนึ่งความเชื่อมโยงต่อทิศทาง พร้อมหมายเลขลำดับและตัวนับ IKE SA คือช่องทางเจรจาที่สร้างความเชื่อมโยงเหล่านั้นและยังคงยึดความสัมพันธ์กับ peer ไว้ เซสชัน VPN คือระเบียนในฐานข้อมูลเซสชันสำหรับผู้ใช้ peer แบบไซต์ถึงไซต์ หรือการเชื่อมต่อที่ไม่มีไคลเอนต์
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
ขอบเขตเหล่านี้เป็นอิสระจากกันมากพอที่การล้างหนึ่งจะปล่อยให้อีกส่วนทำงาน และความเป็นอิสระนี้เองที่สร้างความสับสนส่วนใหญ่ ล้าง IPsec SA ขณะที่ IKE SA ยังสมบูรณ์ แล้วทราฟฟิกจะสร้างความเชื่อมโยงใหม่ภายในไม่กี่วินาที อุโมงค์จึงดูเหมือนรักษาตัวเองหาย แต่การไม่ตรงกันของข้อเสนอ ช่องว่างของเส้นทาง หรือความล้มเหลวในการพิสูจน์ตัวตนยังอยู่ตรงนั้น
หากข้อขัดข้องอยู่ที่การเจรจา clear IPsec จะไม่เปลี่ยนสิ่งที่สังเกตได้เลย
อ่านสถานะขณะที่ยังมีอยู่
บันทึกที่อยู่ peer เวอร์ชัน IKE ที่ใช้ เครือข่ายที่ได้รับการป้องกัน และตัวนับตามทิศทาง ก่อนแตะต้องสิ่งใด รูปแบบที่รองรับแตกต่างกันตามเวอร์ชัน แต่รูปทรงนั้นคงที่: show crypto ipsec sa peer, show crypto ikev2 sa detailed หรือเทียบเท่าสำหรับ IKEv1 และ show vpn-sessiondb สำหรับชั้นเซสชัน
เขียนเวลาและข้อขัดข้องที่ผู้ใช้เห็นอย่างแม่นยำไว้ข้างเอาต์พุตนั้น peer หนึ่งตัวมักพาเครือข่ายที่ได้รับการป้องกันหลายเครือข่าย ดังนั้นรัศมีของ clear ที่จำกัดเฉพาะ peer คือทุกตัวเลือกบน peer นั้น ไม่ใช่แอปพลิเคชันเดียวในตั๋ว reset ที่ไม่มีภาพก่อนหน้าจะวินิจฉัยย้อนหลังไม่ได้ เพราะ clear ลบตัวนับที่คุณจะใช้เปรียบเทียบเสียเอง
เก็บหลักฐานก่อน clear ลบมันทิ้ง และภาพหน้าจอที่ถ่ายทีหลังบอกว่าอะไรถูกสร้างใหม่ ไม่ใช่อะไรที่เสีย
clear ที่จำกัดเฉพาะ peer ทำอะไรจริง
เอกสารอ้างอิงคำสั่ง clear ของ Cisco ระบุรูปแบบ IPsec ที่จำกัดเฉพาะ peer เมื่อใส่ที่อยู่เอกสารกำกับ จะมีหน้าตาดังนี้:
clear crypto ipsec sa peer 198.51.100.42คำสั่งนั้นฉีกความเชื่อมโยง IPsec ที่ตรงกับ peer ไม่ได้ลบ IKE SA ไม่ลบการกำหนดค่า และไม่รีเซ็ตฐานข้อมูลเซสชัน ให้รันจากเส้นทางบริหารที่ไม่ขึ้นกับอุโมงค์ที่คุณกำลังเปลี่ยน เพราะเซสชัน SSH ที่พาไปในอุโมงค์นั้นจะตายไปด้วยและอาจไม่กลับมาเอง สิ่งอื่นทั้งหมดบนอุปกรณ์ยังทำงานต่อ และนั่นคือเหตุผลที่คำสั่งนี้รู้สึกไม่เป็นอันตราย
เมื่อการค้นหาเป้าหมายไม่แน่ชัด อย่าถอยไปใช้ clear แบบไม่มีเงื่อนไข รูปแบบที่กว้างกว่าจะไปถึงทุก peer บนอุปกรณ์ และเหตุขัดข้องที่คุณสร้างจะใหญ่กว่าที่คุณถูกเรียกมา
ตรวจสอบชั้นที่คุณตั้งใจจะแก้
หลัง clear ให้ยืนยันว่าความเชื่อมโยงกลับมาพร้อมตัวนับใหม่ แทนที่จะถือว่า reset ได้ผลเพราะรายการ peer กลับมาเต็ม จากนั้นทดสอบแอปพลิเคชันที่ตั๋วระบุ เพราะ ping ที่สำเร็จไม่บอกอะไรเกี่ยวกับสิทธิ์บริการหรือเซสชันที่หมดอายุ
หากความเชื่อมโยงสร้างใหม่แต่แอปพลิเคชันยังล้มเหลว ผู้สมัครที่เหลือคือชั้น IKE และชั้นเซสชัน เลือกอันที่ยังตรวจสอบสถานะได้ ใช้การดำเนินการแบบเจาะจงสำหรับเวอร์ชันที่ทำงานจริง ไม่ว่าจะเป็น clear ของ IKEv2, clear ของ IKEv1 หรือ clear ของฐานข้อมูลเซสชันที่จำกัดเฉพาะชนิดเซสชันที่ถูกต้อง การลบและสร้างการกำหนดค่า crypto-map แบบถาวรใหม่เพื่อบังคับให้สร้างใหม่เป็นการเดาที่ต้องย้อนกลับยาวกว่า
ยกระดับด้วยภาพทั้งสอง ก่อนและหลัง แทนที่จะล้างอีกครั้ง
เมื่อ reset ทำให้เหตุขัดข้องยาวนานขึ้น
clear ซ้ำ ๆ ซ่อนข้อบกพร่องที่ reset แก้ไม่ได้: เส้นทางที่หายไป ตัวเลือกที่ไม่ตรงกับซับเน็ตใหม่แล้ว คีย์ที่แชร์ไว้ล่วงหน้าที่ถูกเปลี่ยนฝั่งเดียว หรือการต่ออายุคีย์ที่ล้มเหลวซ้ำ ๆ บนข้อเสนอที่ peer ไม่ยอมรับ clear แต่ละครั้งขัดจังหวะทราฟฟิกที่ดีบนทุกตัวเลือกของ peer นั้น ขณะที่สาเหตุจริงยังไม่ถูกแตะต้อง นี่คือวิธีที่การสอบสวนห้านาทีกลายเป็นหน้าต่างการเปลี่ยนแปลง
reset ที่จำกัดขอบเขตยังมีประโยชน์ ฉบับที่มีประโยชน์คือเจาะจง บันทึกไว้ และตามด้วยการตรวจชั้นที่มันควรซ่อม
ลำดับงาน: บันทึก peer เวอร์ชัน ตัวเลือก และตัวนับ ยืนยันว่าข้อขัดข้องอยู่ในขอบเขตใด รัน clear ที่แคบที่สุดที่ตรงกัน ตรวจสอบความเชื่อมโยงและแอปพลิเคชัน ยกระดับพร้อมหลักฐานหากชั้นฟื้นแต่ symptom ไม่หาย