ASA'da peer reset IPsec SA'larni o‘chiradi, IKE holati yoki sessiyalarni emas
Peer bilan cheklangan bitta clear faqat IPsec ma'lumot yo‘lini buzadi. Nima saqlanib qolishini, tunnel nega soniyalarda qayta qurilishini va uning o‘rniga qaysi qatlamni tozalash kerakligini ko‘ring.
Tunnel bitta ilova uchun uziladi, kimdir peer bilan cheklangan IPsec clear ishga tushiradi va buyruq qabul qilingani uchun chipta yopiladi. Bu ketma-ketlikda nosozlik tuzatilganini ko‘rsatadigan hech narsa yo‘q. ASA'da reset so‘zi uchta alohida doirani qamrab oladi va peer bilan cheklangan clear ulardan aynan bittasiga tegadi, shuning uchun o‘sha tunnel operator chiqishni o‘qib tugatmasdan turib ko‘pincha yana yuqorida bo‘ladi.
Bir so‘z ortida uchta doira
IPsec SA juftligi — ma'lumot yo‘lining o‘zi, har bir yo‘nalish uchun bitta assotsiatsiya, tartib raqamlari va hisoblagichlar bilan. IKE SA — bu assotsiatsiyalarni yaratgan va peer bilan munosabatni hanuz birga ushlab turgan muzokara kanali. VPN sessiyasi — sessiyalar bazasida foydalanuvchi, saytdan-saytga peer yoki kliyentsiz ulanish uchun yozuv.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Doiralar bittasini tozalash boshqalarini ishlab turishga qoldiradigan darajada mustaqil va aynan shu mustaqillik chalkashlikning katta qismini keltirib chiqaradi. IKE SA sog‘lom bo‘lganda IPsec SA'larni tozalang, trafik soniyalarda yangi assotsiatsiyalarni keltirib chiqaradi, shuning uchun tunnel o‘zini o‘zi davolagandek ko‘rinadi. Lekin taklif nomuvofiqligi, marshrut bo‘shlig‘i yoki autentifikatsiya xatosi hanuz o‘sha yerda.
Agar nosozlik muzokarada bo‘lsa, IPsec clear kuzatiladigan hech narsani o‘zgartirmaydi.
Holatni u hali mavjud bo‘lganda o‘qing
Biror narsaga tegishdan oldin peer manzilini, ishlatilayotgan IKE versiyasini, himoyalangan tarmoqlarni va yo‘nalish hisoblagichlarini yozib oling. Qo‘llab-quvvatlanadigan ko‘rinishlar versiyaga qarab farq qiladi, ammo shakllar barqaror: show crypto ipsec sa peer, show crypto ikev2 sa detailed yoki IKEv1 ekvivalenti va sessiya qatlami uchun show vpn-sessiondb.
O‘sha chiqish yoniga vaqt belgisini va foydalanuvchi ko‘radigan aniq nosozlikni yozing. Bitta peer odatda bir nechta himoyalangan tarmoqni olib yuradi, shuning uchun peer bilan cheklangan clear ta'sir doirasi o‘sha peer'dagi har bir selektor, chiptadagi bitta ilova emas. Oldingi rasm bo‘lmasa resetni keyin tashxis qilib bo‘lmaydi, chunki clear siz solishtirmoqchi bo‘lgan hisoblagichlarning o‘zini o‘chiradi.
Avval dalillarni yozib oling. Clear ularni olib tashlaydi, keyin olingan skrinshot nima qayta qurilganini aytadi, nima buzilganini emas.
Peer bilan cheklangan clear aslida nima qiladi
Cisco'ning clear buyruqlari ma'lumotnomasi peer bilan cheklangan IPsec shaklini hujjatlashtiradi. Hujjat manzili qo‘yilsa, u shunday ko‘rinadi:
clear crypto ipsec sa peer 198.51.100.42Bu buyruq peer'ga mos IPsec assotsiatsiyalarni buzadi. U IKE SA'ni olib tashlamaydi, konfiguratsiyani o‘chirmaydi va sessiyalar bazasini qayta tiklamaydi. Uni o‘zgartirilayotgan tunnelga bog‘liq bo‘lmagan boshqaruv yo‘lidan ishga tushiring, chunki o‘sha tunnel ichida olib o‘tilgan SSH sessiyasi u bilan birga o‘ladi va o‘zi qaytmasligi mumkin. Qurilmadagi qolgan hamma narsa ishlashda davom etadi va buyruq zararsiz tuyulishining sababi aynan shu.
Nishonni izlash noaniq bo‘lsa, shartsiz clear'ga qaytmang. Kengroq shakl qurilmadagi har bir peer'ga yetib boradi va siz keltirib chiqaradigan uzilish sizni chaqirishganidan kattaroq bo‘ladi.
Tuzatmoqchi bo‘lgan qatlamni tekshiring
Clear'dan keyin assotsiatsiyalar yangi hisoblagichlar bilan qaytganini tasdiqlang, peer ro‘yxati yana to‘ldi deb reset ishladi deb o‘ylamang. Keyin chiptada nomlangan ilovani sinab ko‘ring, chunki muvaffaqiyatli ping xizmat ruxsati yoki muddati o‘tgan sessiya haqida hech narsa demaydi.
Agar assotsiatsiyalar qayta qurilsa-yu ilova hanuz ishlamasa, qolgan nomzodlar IKE qatlami va sessiya qatlami. Holatini hali ko‘rish mumkin bo‘lganini tanlang. Haqiqatda ishlab turgan versiya uchun maqsadli amaldan foydalaning: IKEv2 clear, IKEv1 clear yoki to‘g‘ri sessiya turiga cheklangan sessiyalar bazasi clear'i. Qayta qurishga majburlash uchun doimiy crypto-map konfiguratsiyasini o‘chirib qayta yaratish uzoqroq qaytarishga ega taxmin.
Yana tozalash o‘rniga oldin va keyin ikkala rasm bilan eskalatsiya qiling.
Reset uzilishni cho‘zib yuborganda
Takroriy clear'lar reset tuzata olmaydigan nosozliklarni yashiradi: yo‘qolgan marshrut, yangi quyi tarmoqqa endi mos kelmaydigan selektor, bir tomonda o‘zgartirilgan oldindan bo‘lishilgan kalit yoki peer qabul qilmaydigan taklifda qayta-qayta muvaffaqiyatsiz bo‘ladigan kalit yangilash. Har bir clear o‘sha peer'ning har bir selektorida sog‘lom trafikni uzadi, haqiqiy sabab esa tegilmagan holda qoladi. Shu tarzda besh daqiqalik tekshiruv o‘zgarish oynasiga aylanadi.
Cheklangan reset hanuz foydali. Foydali variant — maqsadli, yozib olingan va tuzatishi kerak bo‘lgan qatlamni tekshirish bilan yakunlangan variant.
Ish tartibi: peer, versiya, selektorlar va hisoblagichlarni yozing; nosozlik qaysi doiraga tegishli ekanini tasdiqlang; mos keladigan eng tor clear'ni ishga tushiring; assotsiatsiyalar va ilovani tekshiring; qatlam tiklandi-yu alomat ketmasa, dalillar bilan eskalatsiya qiling.