Скидання peer на ASA видаляє IPsec SA, але не стан IKE чи сеанси
Один clear, обмежений peer, рве лише шлях даних IPsec. Подивіться, що зберігається, чому тунель відновлюється за секунди і який рівень краще очистити натомість.
Тунель падає для однієї програми, хтось виконує IPsec clear, обмежений peer, і заявку закривають, бо команду прийнято. Ніщо в цій послідовності не показує, що несправність усунено. На ASA слово reset охоплює три окремі області, і clear, обмежений peer, зачіпає рівно одну з них, тому той самий тунель часто знову піднято раніше, ніж оператор дочитає вивід.
Три області за одним словом
Пара IPsec SA — це сам шлях даних, по одній асоціації на напрямок, з порядковими номерами та лічильниками. IKE SA — це канал узгодження, який створив ці асоціації й досі утримує відносини з peer. Сеанс VPN — це запис у базі сеансів для користувача, peer «сайт-сайт» або підключення без клієнта.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Області достатньо незалежні, щоб очищення однієї залишало інші працюючими, і ця незалежність породжує більшу частину плутанини. Очистіть IPsec SA, поки IKE SA здорова, і трафік за секунди викличе нові асоціації, тож тунель ніби вилікувався сам. Але невідповідність пропозиції, прогалина в маршруті або збій автентифікації досі там.
Якщо несправність в узгодженні, IPsec clear не змінює нічого спостережуваного.
Прочитайте стан, поки він ще існує
Запишіть адресу peer, використовувану версію IKE, захищені мережі та лічильники за напрямками, перш ніж щось чіпати. Підтримувані подання різняться за версією, але форми стабільні: show crypto ipsec sa peer, show crypto ikev2 sa detailed або еквівалент для IKEv1, і show vpn-sessiondb для рівня сеансів.
Поруч із цим виводом запишіть мітку часу й точну несправність, видиму користувачеві. Один peer зазвичай несе кілька захищених мереж, тому радіус дії clear, обмеженого peer, — це кожен селектор на цьому peer, а не єдина програма із заявки. Скидання без знімка «до» неможливо діагностувати потім, бо clear видаляє саме ті лічильники, з якими ви б порівнювали.
Спершу зафіксуйте докази. Clear їх видаляє, а знімок екрана, зроблений після, каже, що відновилося, а не що було зламано.
Що насправді робить clear, обмежений peer
Довідник команд clear від Cisco описує форму IPsec, обмежену peer. З підставленою документаційною адресою це виглядає так:
clear crypto ipsec sa peer 198.51.100.42Ця команда рве IPsec-асоціації, що відповідають peer. Вона не видаляє IKE SA, не стирає конфігурацію і не скидає базу сеансів. Запускайте її зі шляху керування, який не залежить від тунелю, який ви змінюєте, бо SSH-сеанс, що йде всередині цього тунелю, загине разом із ним і може сам не повернутися. Усе інше на пристрої продовжує працювати, і саме тому команда здається безпечною.
Коли пошук цілі невизначений, не відкочуйтеся до clear без уточнення. Ширша форма сягає кожного peer на пристрої, і створений вами простій буде більшим за той, через який вас викликали.
Перевірте той рівень, який ви мали намір виправити
Після clear підтвердьте, що асоціації повернулися зі свіжими лічильниками, замість того щоб вважати, що скидання спрацювало, бо список peer знову заповнився. Потім перевірте програму, названу в заявці, бо успішний ping нічого не каже про дозвіл на сервіс чи про сеанс, що завершився.
Якщо асоціації відновлюються, а програма все ще не працює, кандидати, що залишилися, — рівень IKE і рівень сеансів. Виберіть той, чий стан ще можна переглянути. Використовуйте цільову операцію для версії, яка реально працює: clear для IKEv2, clear для IKEv1 або clear бази сеансів, обмежений правильним типом сеансу. Видаляти й створювати заново постійну конфігурацію crypto-map, щоб змусити перезібрати, — це здогад із довшим відкатом.
Ескалюйте з обома знімками, до і після, замість того щоб чистити знову.
Коли скидання подовжує простій
Повторні clear приховують несправності, які скидання не може виправити: відсутній маршрут, селектор, що більше не відповідає новій підмережі, попередньо розділений ключ, змінений з одного боку, або оновлення ключа, яке раз за разом зривається на пропозиції, яку peer не прийме. Кожен clear перериває здоровий трафік на кожному селекторі цього peer, поки справжня причина залишається недоторканою. Так п'ятихвилинне розслідування перетворюється на вікно змін.
Обмежене скидання все ще корисне. Корисна версія — цілеспрямована, записана й супроводжувана перевіркою того рівня, який вона мала виправити.
Порядок роботи: запишіть peer, версію, селектори й лічильники; підтвердьте, до якої області належить несправність; виконайте найвужчий відповідний clear; перевірте асоціації та програму; ескалюйте з доказами, якщо рівень відновився, а симптом залишився.