ASA پر peer reset IPsec SA حذف کرتا ہے، IKE حالت یا سیشن نہیں
peer تک محدود ایک clear صرف IPsec ڈیٹا راستہ توڑتا ہے۔ دیکھیں کیا باقی رہتا ہے، ٹنل کیوں سیکنڈوں میں دوبارہ بنتی ہے اور اس کے بجائے کون سی پرت صاف کرنی چاہیے۔
ٹنل ایک ایپلیکیشن کے لیے گرتی ہے، کوئی peer تک محدود IPsec clear چلاتا ہے، اور ٹکٹ بند کر دیا جاتا ہے کیونکہ کمانڈ قبول ہو گئی۔ اس ترتیب میں کہیں نظر نہیں آتا کہ خرابی درست ہوئی ہے۔ ASA پر reset لفظ تین الگ دائرے محیط کرتا ہے، اور peer تک محدود clear ان میں سے بالکل ایک کو چھوتا ہے، اسی لیے وہی ٹنل اکثر آپریٹر کے آؤٹ پٹ پڑھنے سے پہلے ہی دوبارہ اوپر ہوتی ہے۔
ایک لفظ کے پیچھے تین دائرے
IPsec SA جوڑی خود ڈیٹا راستہ ہے، ہر سمت کے لیے ایک انجمن، ترتیب نمبروں اور شمارندوں کے ساتھ۔ IKE SA وہ مذاکراتی چینل ہے جس نے وہ انجمنیں بنائیں اور اب بھی peer سے تعلق کو ساتھ رکھے ہوئے ہے۔ VPN سیشن سیشن ڈیٹا بیس میں صارف، سائٹ سے سائٹ peer یا بغیر کلائنٹ کے کنکشن کا ریکارڈ ہے۔
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
دائرے اتنے خودمختار ہیں کہ ایک صاف کرنے سے باقی کام کرتے رہتے ہیں، اور یہی خودمختاری زیادہ تر الجھن پیدا کرتی ہے۔ IKE SA صحت مند ہونے کے دوران IPsec SA صاف کریں، ٹریفک سیکنڈوں میں نئی انجمنیں پیدا کر دیتا ہے، اس لیے ٹنل خود ہی ٹھیک ہو گئی لگتی ہے۔ لیکن بنیادی تجویز کی عدم مطابقت، راستے کا خلا یا توثیق کی ناکامی اب بھی وہیں ہے۔
اگر خرابی مذاکرات میں ہے تو IPsec clear کوئی قابل مشاہدہ چیز تبدیل نہیں کرتا۔
حالت اس وقت پڑھیں جب وہ ابھی موجود ہو
کچھ بھی چھونے سے پہلے peer کا پتہ، استعمال شدہ IKE ورژن، محفوظ نیٹ ورک اور سمت کے شمارندے لکھ لیں۔ معاون مناظر ورژن کے مطابق بدلتے ہیں، مگر شکلیں مستحکم ہیں: show crypto ipsec sa peer, show crypto ikev2 sa detailed یا IKEv1 کا متبادل، اور سیشن پرت کے لیے show vpn-sessiondb۔
اس آؤٹ پٹ کے ساتھ وقت کی مہر اور وہ درست خرابی لکھیں جو صارف دیکھتا ہے۔ ایک peer عام طور پر کئی محفوظ نیٹ ورک اٹھاتا ہے، اس لیے peer تک محدود clear کا اثر اس peer کے ہر انتخاب کنندہ تک ہے، ٹکٹ کی ایک ایپلیکیشن تک نہیں۔ پہلے کی تصویر کے بغیر reset کا بعد میں تشخیص نہیں ہو سکتا، کیونکہ clear وہی شمارندے مٹا دیتا ہے جن سے آپ موازنہ کرتے۔
پہلے شواہد محفوظ کریں۔ clear انہیں ہٹا دیتا ہے، اور بعد میں لی گئی اسکرین شاٹ بتاتی ہے کہ کیا دوبارہ بنا، نہ کہ کیا ٹوٹا تھا۔
peer تک محدود clear دراصل کیا کرتا ہے
Cisco کا clear کمانڈ حوالہ peer تک محدود IPsec شکل کی دستاویز کرتا ہے۔ دستاویزی پتہ لگانے پر یہ ایسا دکھتا ہے:
clear crypto ipsec sa peer 198.51.100.42وہ کمانڈ peer سے مطابق IPsec انجمنیں توڑ دیتی ہے۔ یہ IKE SA نہیں ہٹاتی، ترتیب نہیں مٹاتی اور سیشن ڈیٹا بیس کو ری سیٹ نہیں کرتی۔ اسے ایسے انتظامی راستے سے چلائیں جو اس ٹنل پر منحصر نہ ہو جسے آپ بدل رہے ہیں، کیونکہ اس ٹنل میں لے جایا گیا SSH سیشن اس کے ساتھ مر جائے گا اور شاید خود واپس نہ آئے۔ ڈیوائس پر باقی سب چلتا رہتا ہے، اور اسی لیے کمانڈ بے ضرر محسوس ہوتی ہے۔
جب ہدف کی تلاش غیر یقینی ہو تو غیر مشروط clear کی طرف نہ لوٹیں۔ وسیع شکل ڈیوائس کے ہر peer تک پہنچتی ہے، اور آپ جو رکاوٹ پیدا کریں گے وہ اس سے بڑی ہوگی جس کے لیے آپ کو بلایا گیا۔
جس پرت کو درست کرنا تھا اس کی تصدیق کریں
clear کے بعد تصدیق کریں کہ انجمنیں نئے شمارندوں کے ساتھ واپس آئیں، بجائے یہ سمجھنے کے کہ reset کام کر گیا کیونکہ peer فہرست دوبارہ بھر گئی۔ پھر ٹکٹ میں بتائی گئی ایپلیکیشن جانچیں، کیونکہ کامیاب ping سروس کی اجازت یا ختم شدہ سیشن کے بارے میں کچھ نہیں کہتا۔
اگر انجمنیں دوبارہ بنیں اور ایپلیکیشن پھر بھی ناکام ہو تو باقی امیدوار IKE پرت اور سیشن پرت ہیں۔ جس کی حالت اب بھی دیکھ سکیں وہ چنیں۔ حقیقت میں چلنے والے ورژن کے لیے ہدفی کارروائی استعمال کریں، چاہے وہ IKEv2 clear ہو، IKEv1 clear ہو یا درست سیشن قسم تک محدود سیشن ڈیٹا بیس clear ہو۔ دوبارہ تعمیر پر مجبور کرنے کے لیے مستقل crypto-map ترتیب مٹا کر دوبارہ بنانا طویل واپسی والا اندازہ ہے۔
دوبارہ صاف کرنے کے بجائے پہلے اور بعد کی دونوں تصویروں کے ساتھ ایسکلیٹ کریں۔
جب reset رکاوٹ کو طویل کرتا ہے
بار بار clear ان خرابیوں کو چھپاتے ہیں جنہیں reset درست نہیں کر سکتا: گم شدہ راستہ، نیا سب نیٹ سے اب نہ ملنے والا انتخاب کنندہ، ایک طرف بدلی گئی پیشگی مشترکہ کلید، یا ایسی تجویز پر بار بار ناکام ہونے والی کلید کی تجدید جسے peer قبول نہیں کرے گا۔ ہر clear اس peer کے ہر انتخاب کنندہ پر صحت مند ٹریفک روکتا ہے جبکہ اصل وجہ اچھوتی رہتی ہے۔ اسی طرح پانچ منٹ کی تحقیق تبدیلی ونڈو بن جاتی ہے۔
محدود reset اب بھی مفید ہے۔ مفید شکل ہدفی، درج شدہ اور اس پرت کے معائنے کے ساتھ ہوتی ہے جسے اس نے درست کرنا تھا۔
کام کی ترتیب: peer، ورژن، انتخاب کنندہ اور شمارندے لکھیں؛ تصدیق کریں کہ خرابی کس دائرے کی ہے؛ سب سے تنگ مطابق clear چلائیں؛ انجمنیں اور ایپلیکیشن کی تصدیق کریں؛ پرت بہتر ہو جائے مگر علامت نہ جائے تو شواہد کے ساتھ ایسکلیٹ کریں۔