Cisco ASAでVPNトンネルをリセットするにはどうすればよいですか?


15

それぞれASA 5520および5540を使用したサイト間VPNでは、時々トラフィックが通過しなくなり、特定のトラフィック選択/ ACLだけでトラフィックが失われることもありますが、他のトラフィックは同じVPNが実行されています。一定のpingが実行されていても発生します。その理由は、完全に安定していない衛星リンク上で実行されている可能性があります。

ASAの1つをリロードする代わりに、VPNを動作状態にリセットするにはどうすればよいですか?

回答:


27

次のように入力して、VPNをリセットできます。

clear ipsec sa peer <remote-peer-IP>

片側に。次のトラフィックにより、IPSECトンネルが再確立されます。

リモートIPを入力して、あなたの側でそれを行うことができます。または、リモートサイトにログインしますが、VPNの外部でログインする必要がある場合があります。そのため、トンネルを介して接続するIPの代わりにパブリックIPを使用するなど、別のインターフェイスを使用します。

トンネルの再確立中に、VPNが短時間停止します。そのコマンドを入力した後、pingを実行するなどして、トンネルが再び起動していることを確認します。


13

ASDMソフトウェアとコマンドラインを使用して、トンネルをリセットできます。

ASDM(バージョン6.3)の場合:

  1. [監視]に移動し、インターフェイスのリストから[VPN]を選択します
  2. 次に、VPN統計を展開し、[セッション]をクリックします。
  3. 右側のドロップダウンから探しているトンネルのタイプを選択します(たとえば、IPSEC Site-To-Site)。
  4. リセットするトンネルをクリックしてから、ログアウトをクリックしてトンネルをリセットします。

これにより、VPN接続が一時的に停止しますが、ほとんどの場合、トンネルが既にダウンしているため、これを実行しているだけです。

ただし、CLIにログインしてトンネルをリセットする方が簡単ですが、ASDMにはまっている人もいます。

ソース


8

これによりclear ipsec sa peer <peer IP>、IPSec部分のみがリセットされます。

isakmpトンネルを1つだけクリアする方法はありません。

したがって、私が知っている最善の方法は、暗号マップからピアを削除して再適用することです。

no crypto map mymap 40 set peer 12.1.1.1 
crypto map mymap 40 set peer 12.1.1.1 

これにより、ピアを取り出し、トンネルがダウンしてタイムアウトになるのを待ってから、再度適用できます。この方法により、トンネルの動作をより詳細に制御できます。


7

8.4では、次の方法で単一のISAKMP接続をリセットできます。

clear cry ikev1 sa <ip>

または、ikev2を使用している場合:

clear cry ikev2 sa <ip>

古いバージョンでは、コマンドは単純に次のようになります。

clear cry isa sa <ip>

また、Stefanの回答に関しては、リセットしているVPNを介してリモートデバイスでクリアを行うと、通常はVPNが再確立され、SSHセッションは通常どおり瞬時に、またはせいぜい数秒以内に継続します。ISR G1およびG2ルーターでは、トンネルを変更する際に頻繁にそれを行います。


4
ASAでは、古いclear crypto isakmp saコマンドはリセットするピアの引数を受け入れません。すべてのISAKMPセッションをリセットします。
ジェームズ・スニーリンガー14

7

これまで気付かなかった新しい方法に出会ったばかりで、vpnセッションをログオフする機能など、ASDMインターフェイスで見つけたのと同じ情報を提供します。

これを発行して、たとえば、稼働しているサイト間VPNトンネルのリストを取得します。

show vpn-sessiondb l2l

出力例:

Connection   : 192.168.1.1
Index        : 330                    IP Addr      : 192.168.121.0
Protocol     : IKE IPsec
Encryption   : DES 3DES               Hashing      : MD5 SHA1
Bytes Tx     : 62226826               Bytes Rx     : 71173170
Login Time   : 17:15:49 PDT Sun Sep 7 2014
Duration     : 19h:08m:49s

次に、そのVPNトンネルからログオフするには、上記のインデックスに基づいてログオフするために次を実行できます。

vpn-sessiondb logoff index 330
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.