ASA'da peer reset IPsec SA'ları siler, IKE durumunu veya oturumları değil
Peer ile sınırlı tek bir clear yalnızca IPsec veri yolunu koparır. Neyin ayakta kaldığını, tünelin neden saniyeler içinde yeniden kurulduğunu ve bunun yerine hangi katmanın temizlenmesi gerektiğini görün.
Tünel tek bir uygulama için düşer, biri peer ile sınırlı bir IPsec clear çalıştırır ve komut kabul edildiği için kayıt kapatılır. Bu dizide hiçbir şey arızanın giderildiğini göstermez. ASA'da reset sözcüğü üç ayrı kapsamı kapsar ve peer ile sınırlı clear bunlardan tam olarak birine dokunur, bu yüzden aynı tünel çoğu zaman operatör çıktıyı okumayı bitirmeden yeniden ayakta olur.
Tek sözcüğün arkasında üç kapsam
Bir IPsec SA çifti veri yolunun kendisidir, her yön için bir ilişkilendirme, sıra numaraları ve sayaçlarla. IKE SA, bu ilişkilendirmeleri üreten ve peer ile olan ilişkiyi hâlâ bir arada tutan müzakere kanalıdır. VPN oturumu, bir kullanıcı, siteden siteye peer veya istemcisiz bağlantı için oturum veritabanındaki kayıttır.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Kapsamlar birinin temizlenmesi diğerlerini çalışır bırakacak kadar bağımsızdır ve bu bağımsızlık karışıklığın büyük kısmını üretir. IKE SA sağlıklıyken IPsec SA'ları temizleyin, trafik saniyeler içinde yeni ilişkilendirmeler tetikler, böylece tünel kendi kendini iyileştirmiş gibi görünür. Ancak alttaki teklif uyuşmazlığı, yol boşluğu veya kimlik doğrulama hatası hâlâ oradadır.
Arıza müzakeredeyse, bir IPsec clear gözlemlenebilir hiçbir şeyi değiştirmez.
Durumu hâlâ varken okuyun
Herhangi bir şeye dokunmadan önce peer adresini, kullanılan IKE sürümünü, korunan ağları ve yön sayaçlarını kaydedin. Desteklenen görünümler sürüme göre değişir ama biçimler sabittir: show crypto ipsec sa peer, show crypto ikev2 sa detailed veya IKEv1 eşdeğeri ve oturum katmanı için show vpn-sessiondb.
Zaman damgasını ve kullanıcının gördüğü tam arızayı o çıktının yanına yazın. Bir peer genellikle birden çok korunan ağ taşır, bu yüzden peer ile sınırlı clear'ın etki yarıçapı o peer'deki her seçicidir, kayıttaki tek uygulama değil. Öncesi görüntüsü olmayan bir reset sonradan teşhis edilemez, çünkü clear tam olarak karşılaştıracağınız sayaçları siler.
Önce kanıtları kaydedin. Clear bunları siler ve sonradan alınan ekran görüntüsü neyin yeniden kurulduğunu söyler, neyin bozuk olduğunu değil.
Peer ile sınırlı clear gerçekte ne yapar
Cisco'nun clear komutları başvurusu peer ile sınırlı IPsec biçimini belgeler. Belge adresi yerleştirildiğinde şöyle görünür:
clear crypto ipsec sa peer 198.51.100.42Bu komut peer ile eşleşen IPsec ilişkilendirmelerini koparır. IKE SA'yı kaldırmaz, konfigürasyonu silmez ve oturum veritabanını sıfırlamaz. Değiştirdiğiniz tünele bağlı olmayan bir yönetim yolundan çalıştırın, çünkü o tünelin içinde taşınan bir SSH oturumu onunla birlikte ölür ve kendiliğinden geri gelmeyebilir. Cihazdaki her şey çalışmaya devam eder ve komutun zararsız hissettirmesinin nedeni tam olarak budur.
Hedef arama belirsizse, niteliksiz bir clear'a geri dönmeyin. Daha geniş biçim cihazdaki her peer'a ulaşır ve yaratacağınız kesinti çağrıldığınız kesintiden daha büyük olur.
Düzeltmeyi amaçladığınız katmanı doğrulayın
Clear sonrası, peer listesi yeniden doldu diye resetin işe yaradığını varsaymak yerine ilişkilendirmelerin taze sayaçlarla geri geldiğini doğrulayın. Ardından kayıtta adı geçen uygulamayı test edin, çünkü başarılı bir ping bir hizmet izni ya da süresi dolmuş bir oturum hakkında hiçbir şey söylemez.
İlişkilendirmeler yeniden kurulur ve uygulama hâlâ başarısız olursa, kalan adaylar IKE katmanı ve oturum katmanıdır. Durumunu hâlâ inceleyebildiğinizi seçin. Gerçekte çalışan sürüm için hedefli işlemi kullanın; ister IKEv2 clear, ister IKEv1 clear, ister doğru oturum türüne sınırlı oturum veritabanı clear'ı olsun. Yeniden kurulumu zorlamak için kalıcı crypto-map konfigürasyonunu silip yeniden oluşturmak daha uzun geri dönüşlü bir tahmindir.
Yeniden temizlemek yerine öncesi ve sonrası iki görüntüyle yükseltin.
Reset kesintiyi uzattığında
Tekrarlanan clear'lar resetin düzeltemeyeceği arızaları gizler: eksik rota, yeni alt ağa artık uymayan seçici, bir tarafta değiştirilen önceden paylaşılan anahtar ya da peer'ın kabul etmeyeceği bir teklifte tekrar tekrar başarısız olan anahtar yenileme. Her clear o peer'ın her seçicisinde sağlıklı trafiği keserken gerçek neden dokunulmadan kalır. Böylece beş dakikalık bir inceleme değişiklik penceresine dönüşür.
Sınırlı bir reset hâlâ yararlıdır. Yararlı sürüm hedefli, kayıtlı ve düzeltmesi gereken katmanın denetimiyle birlikte olan sürümdür.
İş sırası: peer, sürüm, seçiciler ve sayaçları kaydedin; arızanın hangi kapsama ait olduğunu doğrulayın; eşleşen en dar clear'ı çalıştırın; ilişkilendirmeleri ve uygulamayı doğrulayın; katman düzelip belirti geçmediyse kanıtlarla yükseltin.