Verander die IPsec-peer-adres van 'n ASA sonder om die tonnel te breek
Om 'n peer-adres te verskuif raak die kandidaatlys, die profielpassing, die onderlaag en lewendige sessies. Werk die kontrolelys in volgorde deur.
'n Verandering van 'n peer-adres lyk na een reël, maar dit gedra hom soos 'n migrasie. Wat werklik beweeg, is 'n stel objekte: die kandidaat-peer-lys op die crypto map, die profiel- of verifikasiemapping wat die verre kant identifiseer, die onderlaag wat dit bereik, en die lewendige assosiasies wat uit die ou waardes gebou is. Beskou die konfigurasiewysiging as die laaste stap van daardie stel, nie die eerste nie.
1. Teken die huidige toestand aan voordat jy aan enigiets raak
Begin met die volledige kandidaatlys vir die betrokke crypto-map-inskrywing, in volgorde, nie net die adres wat jy dink in gebruik is nie. Volgorde maak saak, want dit is wat die toestel werklik probeer.
Teken dit vas met show run crypto map en lees die effektiewe inskrywing met show crypto map, en stoor albei uitsette langs die beoogde nuwe waarde. Let ook op watter peer elke bestaande assosiasie gekies het terwyl jy daar is.
Doen dieselfde vir die sessielaag, met show vpn-sessiondb l2l en show crypto ipsec sa peer <old-address>. Daardie twee uitsette is jou voor-situasie wanneer iemand vra hoekom 'n tonnel om 02:10 afgeval het.
2. Bewys die nuwe peer is bereikbaar onder dieselfde beleid
Bewys bereikbaarheid voordat jy die oorskakeling beplan. 'n packet-tracer wat vanaf die binnekant-koppelvlak na die nuwe peer se beskermde netwerk loop, wys of routering, NAT-vrystelling en die toegangsbeleid ooreenstem. Bevestig dan die vervoerpad, want IKE en IPsec het UDP 500 en 4500 nodig om enige filter tussen die gateways te passeer. 'n Suksesvolle ping bewys niks daarvan op sigself nie.
As die onderlaag 'n roete of 'n vertalingsverandering nodig het, is dit 'n tweede verandering met sy eie risiko. Bundel dit in dieselfde venster of beplan dit apart, maar besluit watter een eerder as om dit midde-in die oorskakeling te ontdek.
3. Skuif die profielpassing, nie net die adres nie
Peer-keuse en profielkeuse is verskillende opsoeke. 'n LAN-tot-LAN-verbindingsprofiel hou algemene eienskappe en kan op 'n adres, 'n sertifikaatidentiteit of 'n groepnaam pas. Om die IP te verander verander nie watter profiel pas wanneer die profiel op 'n sertifikaatsubjek gemik is nie.
| Objek | Waarop dit gesleutel is | Wat 'n nuwe peer-adres raak |
|---|---|---|
| Kandidaatlys van die crypto map | Gekonfigureerde peer-inskrywings en hul volgorde | Waarheen die ASA sy aanvanklike pakkette stuur |
| Verbindingsprofiel | Adres, sertifikaatidentiteit of groep | Net die profiele wat op adres gesleutel is |
| Beskermde prefikse | Plaaslike en afgeleë netwerkobjekte | Niks, tensy jy dit ook verander |
Hou die geloofwaardigheidskontrak ongeskonde. 'n Adresverandering is nie 'n rede om identiteitstoetse te verslap nie, en dit is nie 'n rede om 'n voorbeeld pre-shared key in 'n kaartjie te plak nie.
4. Hou lewendige sessies dop terwyl albei kandidate bestaan
Terwyl albei adresse in die kandidaatlys sit, besluit skriftelik of die oue 'n terugval of rommel is. 'n Konfigurasie wat albei bevat is geldig, en dit bewys niks oor watter peer die laaste sessie gedra het nie.
Vee verouderde security associations slegs uit met die peer-gerigte vorm vir jou weergawe, clear crypto ipsec sa peer <address>, en verwag dat die betrokke tonnele weer sal onderhandel. 'n Globale herstel laat elke sessie op die toestel val en sal nie gedurende kantoorure vergewe word nie.
Laat dan een werklike toepassingsvloei van 'n beskermde gasheer deur en bevestig dat die antwoord deur die beoogde eindpunt terugkom. show vpn-sessiondb l2l moet die nuwe peer vir daardie sessie noem, en die greptellers moet beweeg.
5. Sluit dit af of rol terug
Skryf die terugrol voor die verandering: die ou kandidaatlys, die ou profielpassing en die ou onderlaag-inskrywing. Hou 'n onafhanklike bestuurspad na die ASA, want 'n peer-adres-wysiging wat jou ook toegang kos, is 'n lang aand. Verwyder die verouderde peer en geloofwaardighede eers na aanvaarding en nadat die terugvalbesluit aangeteken is. Bevestig ook dat die toegangsbeleid op die beskermde netwerke nie verskuif het nie.
Die migrasie is klaar wanneer die beoogde peer verifieer en die vereiste diens onder die behoue beleid lewer. 'n Nuwe adres in die lopende konfigurasie is bewys van tikwerk, nie van sukses nie.