Peer reset trên ASA xóa SA IPsec, không phải trạng thái IKE hay phiên
Một lệnh clear giới hạn theo peer chỉ phá đường dữ liệu IPsec. Xem điều gì còn lại, vì sao tunnel dựng lại trong vài giây và nên xóa lớp nào thay vào đó.
Tunnel sập với một ứng dụng, ai đó chạy clear IPsec giới hạn theo peer, và ticket bị đóng vì lệnh đã được chấp nhận. Không có gì trong chuỗi đó cho thấy sự cố đã được sửa. Trên ASA từ reset bao trùm ba phạm vi riêng biệt, và clear giới hạn theo peer chỉ chạm đúng một trong số đó, vì thế cùng một tunnel thường đã lên lại trước khi người vận hành đọc xong kết quả.
Ba phạm vi ẩn sau một từ
Một cặp SA IPsec chính là đường dữ liệu, một liên kết cho mỗi chiều, kèm số thứ tự và bộ đếm. SA IKE là kênh thương lượng đã tạo ra các liên kết đó và vẫn giữ mối quan hệ với peer. Phiên VPN là bản ghi trong cơ sở dữ liệu phiên cho một người dùng, một peer site-to-site hoặc một kết nối không có client.
| Scope | What a clear removes | What usually survives |
|---|---|---|
| IPsec SA | Data-path associations for the matching peer or selector | IKE SA, session records, crypto-map or tunnel-group config |
| IKE SA | Negotiation channel and the IPsec children derived from it | Session records until they age out or are cleared |
| VPN session | Session-database entry for that user or peer type | Configuration, and any SA that is not tied to the session |
Các phạm vi đủ độc lập để việc xóa một phạm vi vẫn để các phạm vi khác chạy, và chính sự độc lập đó tạo ra phần lớn nhầm lẫn. Xóa SA IPsec khi SA IKE còn khỏe, và lưu lượng sẽ kích hoạt liên kết mới trong vài giây, nên tunnel trông như tự lành. Nhưng sự lệch đề xuất, khoảng trống tuyến hay lỗi xác thực vẫn còn đó.
Nếu sự cố nằm ở thương lượng, một lệnh clear IPsec không thay đổi gì quan sát được.
Đọc trạng thái khi nó còn tồn tại
Ghi lại địa chỉ peer, phiên bản IKE đang dùng, các mạng được bảo vệ và bộ đếm theo chiều trước khi chạm vào bất cứ thứ gì. Các chế độ xem được hỗ trợ khác nhau theo phiên bản, nhưng hình dạng thì ổn định: show crypto ipsec sa peer, show crypto ikev2 sa detailed hoặc tương đương cho IKEv1, và show vpn-sessiondb cho lớp phiên.
Viết mốc thời gian và sự cố chính xác mà người dùng thấy bên cạnh kết quả đó. Một peer thường mang nhiều mạng được bảo vệ, nên bán kính ảnh hưởng của clear giới hạn theo peer là mọi selector trên peer đó, không phải ứng dụng duy nhất trong ticket. Một lệnh reset không có ảnh trước không thể chẩn đoán về sau, vì clear xóa đúng những bộ đếm mà bạn sẽ dùng để so sánh.
Thu thập bằng chứng trước. Clear xóa chúng, và ảnh chụp màn hình lấy sau đó cho biết cái gì đã được dựng lại, không phải cái gì đã hỏng.
Clear giới hạn theo peer thực sự làm gì
Tài liệu lệnh clear của Cisco mô tả dạng IPsec giới hạn theo peer. Với địa chỉ tài liệu được thay vào, nó trông như sau:
clear crypto ipsec sa peer 198.51.100.42Lệnh đó phá các liên kết IPsec khớp với peer. Nó không gỡ SA IKE, không xóa cấu hình và không đặt lại cơ sở dữ liệu phiên. Hãy chạy nó từ một đường quản trị không phụ thuộc vào tunnel bạn đang thay đổi, vì một phiên SSH mang bên trong tunnel đó sẽ chết theo và có thể không tự quay lại. Mọi thứ khác trên thiết bị vẫn chạy, và chính vì vậy lệnh này có vẻ vô hại.
Khi việc tìm mục tiêu không chắc chắn, đừng lùi về một lệnh clear không có điều kiện. Dạng rộng hơn chạm tới mọi peer trên thiết bị, và sự cố bạn tạo ra sẽ lớn hơn sự cố khiến bạn được gọi.
Xác minh lớp bạn định sửa
Sau clear, xác nhận các liên kết đã trở lại với bộ đếm mới thay vì cho rằng reset đã hiệu quả vì danh sách peer lại đầy. Sau đó kiểm tra ứng dụng mà ticket nêu, vì ping thành công không nói gì về quyền dịch vụ hay một phiên đã hết hạn.
Nếu các liên kết được dựng lại mà ứng dụng vẫn lỗi, các ứng viên còn lại là lớp IKE và lớp phiên. Chọn cái mà bạn vẫn có thể xem trạng thái. Dùng thao tác có mục tiêu cho phiên bản thực sự đang chạy, dù đó là clear IKEv2, clear IKEv1 hay clear cơ sở dữ liệu phiên giới hạn đúng loại phiên. Xóa và tạo lại cấu hình crypto-map lâu dài để ép dựng lại là phỏng đoán với thời gian hoàn tác dài hơn.
Leo thang với cả hai ảnh, trước và sau, thay vì xóa lần nữa.
Khi reset kéo dài sự cố
Những lệnh clear lặp lại che giấu lỗi mà reset không thể sửa: thiếu tuyến, một selector không còn khớp với subnet mới, khóa chia sẻ trước bị đổi ở một phía, hoặc gia hạn khóa liên tục thất bại trên một đề xuất mà peer sẽ không chấp nhận. Mỗi lệnh clear cắt lưu lượng lành mạnh trên mọi selector của peer đó trong khi nguyên nhân thật vẫn nguyên vẹn. Đó là cách một cuộc điều tra năm phút biến thành cửa sổ thay đổi.
Một lệnh reset có giới hạn vẫn hữu ích. Bản hữu ích là có mục tiêu, được ghi lại và theo sau bằng việc kiểm tra lớp mà nó đáng lẽ phải sửa.
Thứ tự công việc: ghi lại peer, phiên bản, selector và bộ đếm; xác nhận sự cố thuộc phạm vi nào; chạy lệnh clear hẹp nhất khớp; xác minh liên kết và ứng dụng; leo thang kèm bằng chứng nếu lớp hồi phục nhưng triệu chứng không hết.