Cisco ASA에서 VPN 터널을 재설정하려면 어떻게해야합니까?

ASA 5520 및 5540을 각각 사용하는 사이트 간 VPN에서 때때로 트래픽이 더 이상 전달되지 않는 경우가 종종 있습니다. 때로는 하나의 특정 트래픽 선택 / ACL에 대한 트래픽 만 누락되고 다른 트래픽은 동일한 VPN이 실행 중입니다. 일정한 핑 실행이 있더라도 발생합니다. 그 이유는 위성 링크를 통해 완벽하게 안정적이지 않기 때문일 수 있습니다.

ASA 중 하나를 다시로드하는 대신 VPN을 작동 상태로 재설정하려면 어떻게해야합니까?

VPN을 입력하여 재설정 할 수 있습니다

clear crypto ipsec sa peer <remote-peer-IP>

한쪽에. 다음과 같은 트래픽으로 인해 IPSEC 터널이 다시 설정됩니다.

당신은 당신의 편에서 원격 IP를 입력 할 수 있습니다. 또는 원격 사이트에 로그인하지만 VPN 외부에서 원격 사이트에 로그인해야하므로 터널을 통해 연결하는 IP 대신 공용 IP를 사용하는 등 다른 인터페이스를 사용해야합니다.

터널을 다시 설정하는 동안 VPN이 잠시 중단됩니다. 해당 명령을 입력 한 후 터널을 통해 ping을 수행하는 등 터널이 다시 작동하는지 확인하십시오.

ASDM 소프트웨어와 명령 줄을 통해 터널을 재설정 할 수 있습니다.

ASDM (버전 6.3)에서 :

1. 모니터링으로 이동 한 다음 인터페이스 목록에서 VPN을 선택하십시오.
2. 그런 다음 VPN 통계를 확장하고 세션을 클릭하십시오.
3. 오른쪽의 드롭 다운 (예 : IPSEC 사이트 간)에서 찾고있는 터널 유형을 선택하십시오.
4. 재설정하려는 터널을 클릭 한 다음 로그 아웃을 클릭하여 터널을 재설정하십시오.

이로 인해 VPN 연결이 일시적으로 중단 될 수 있지만 대부분의 경우 터널이 이미 다운되어 있으므로이 작업 만 수행하고 있습니다.

그러나 모든 것을 고려하면 CLI에 로그인하고 터널을 재설정하는 것이 더 쉽지만 ASDM에 중독 된 사람들을 알고 있습니다.

출처

방금 전에는 전혀 몰랐던 새로운 방법을 발견했으며 VPN 세션을 로그 오프하는 기능을 포함하여 ASDM 인터페이스에서 찾은 것과 동일한 정보를 제공합니다.

예를 들어 사이트 VPN 터널에 사이트 목록을 가져 오려면이를 실행하십시오.

show vpn-sessiondb l2l

출력 예 :

Connection   : 192.168.1.1
Index        : 330                    IP Addr      : 192.168.121.0
Protocol     : IKE IPsec
Encryption   : DES 3DES               Hashing      : MD5 SHA1
Bytes Tx     : 62226826               Bytes Rx     : 71173170
Login Time   : 17:15:49 PDT Sun Sep 7 2014
Duration     : 19h:08m:49s

그런 다음 해당 VPN 터널을 로그 오프하려면 위의 색인을 기반으로 로그 오프하기 위해 다음을 실행할 수 있습니다.

vpn-sessiondb logoff index 330

그렇게 clear ipsec sa peer <peer IP>하면 IPSec 부분 만 재설정됩니다.

단 하나의 isakmp 터널을 지우는 방법은 없습니다.

따라서 내가 아는 가장 좋은 방법은 암호화 맵에서 피어를 제거하고 다시 적용하는 것입니다.

no crypto map mymap 40 set peer 12.1.1.1 
crypto map mymap 40 set peer 12.1.1.1 

이 방법으로 피어를 제거하고 터널이 종료되고 시간 초과 될 때까지 기다렸다가 다시 적용 할 수 있습니다. 이 방법을 사용하면 터널 동작을보다 효과적으로 제어 할 수 있습니다.

8.4에서는 다음을 통해 단일 ISAKMP 연결을 재설정 할 수 있습니다.

clear cry ikev1 sa <ip>

또는 ikev2를 사용하는 경우 :

clear cry ikev2 sa <ip>

이전 버전에서는 명령이 간단하다고 생각합니다.

clear cry isa sa <ip>

또한 Stefan의 답변과 관련하여 재설정하는 VPN을 통해 원격 장치에서 명확한 경우 일반적으로 VPN을 다시 설정하고 SSH 세션은 정상 또는 즉각적으로 최대 몇 초 내에 계속됩니다. 터널을 수정할 때 항상 ISR G1 및 G2 라우터에서 자주 수행합니다.