IOS-na-ASA VPN-migrasie: vertaal die ooreenkoms, nie die opdragte nie

’n IOS-konfigurasie wat as die verwysing vir ’n ASA-migrasie opduik, beskryf ’n ooreenkoms wat in een platform se sintaksis toegedraai is. Peer-adresse, identiteite en beskermde bereike vorm die ooreenkoms. Die sleutelring, profiel en kriptokaart-ketting is hoe IOS dit uitdruk, terwyl die ASA dieselfde bedoeling deur tonnelgroepe en hul eienskappe uitdruk. Om die tweede deel te kopieer werk nooit, en om net die eerste te kopieer laat die werk halfpad.

Werk die vyf stappe hieronder in volgorde deur, en stop waar die twee platforms verskillende dinge beskryf eerder as verskillende woorde.

Stap 1: skei die ooreenkoms van die sintaksis

Skryf die oorhandiging as vereistes waaroor beide administrateurs saamstem. Vier rye dek byna alles: waar die peer is en watter kant begin, hoe elke kant sy identiteit bewys, watter beskerming aanvaarbaar is, en watter toepassings die tonnel moet oorlewe. Nie een van daardie rye noem ’n opdrag nie.

Hou die oorspronklike teks as bewyse eerder as opdragte. ’n Reël wat op een platform bestaan en nie op die ander nie, is ’n sintaksverskil totdat jy nagegaan het of dieselfde vereiste op ’n ander manier nagekom kan word.

Stap 2: benoem die objekte op elke platform

Op IOS XE voed ’n IKEv2-sleutelring ’n IKEv2-profiel, en daardie profiel word deur ’n kriptokaart of ’n IPsec-profiel geheg. Op die ASA hou ’n tonnelgroep die verbindingsprofiel en sy IPsec-eienskappe, en die kriptokaart wys daarop, soos die verbindingsprofiel-gids beskryf. Dit is verskillende objekgrawe met verskillende erfenis, en daarom lewer ’n reël-vir-reël-kartering ’n konfigurasie wat ontleed en nie konnekteer nie.

Bou die teikobjekte uit die vereistesrye eerder as uit die bronreëls. As die rye volledig is, is die teikokonfigurasie ’n ontwerpbesluit. As hulle nie is nie, sal geen hoeveelheid opdragvertaling die ontbrekende bedoeling verskaf nie.

Stap 3: dra identiteit, nie net adresse nie

Identiteit is die deel wat stil-stil breek. ’n Peer wat deur adres authentiseer, gedra hom anders as een wat deur sertifikaatonderwerp of FQDN authentiseer, en die twee platforms teken daardie verwagting op verskillende plekke aan. Bewaar die beoogde identiteit en vertroueketting in plaas daarvan om ’n gedeelde geheim te vervang omdat dit makliker is om te toets.

Hou die vooraf gedeelde geheim uit vergelykingsnotas en kaartjies. Teken aan wie dit besit en hoe dit deur ’n goedgekeurde kanaal beweeg, en onthou dat ’n plekhouer uit ’n dokumentasievoorbeeld nie die kliënt se geloofsbriewe is nie.

Stap 4: stem die beskerming voor oorskakeling ooreen

Moenie ou kriptografiese instellings oor dra net omdat hulle in die verskafde teks voorkom nie. Stem ’n snyding van suites ooreen wat beide ontplooide peers tans ondersteun, en bevestig dit met die ander administrateur voor die veranderingsvenster. As daardie snyding verskil van wat die bestaande peer verwag, is dit ’n gekoördineerde verandering eerder as ’n plaaslike wysiging.

Skryf die ooreengekome stel neer. Twee administrateurs met verskillende herinneringe aan ’n telefoonoproep is hoe ’n oorskakeling ’n fase-twee-wanpassing lewer.

Stap 5: verifieer die diens, nie die sintaksis nie

Kontroleer eers die teiken se effektiewe objekte, dan die aanvaarde assosiasie, dan ’n werklike toepassingsvloei en sy antwoord. Om ’n opdrag sonder fout in te voer bewys sintaksis en niks anders nie. ’n Tonnel wat opkom en geen verkeer dra nie, beteken gewoonlik dat beskermde bereike of die terugroete met die ander kant verskil, wat ’n vereistesry-probleem is eerder as ’n opdragprobleem. Vergelyk die beskermde bereike aan beide kante voordat jy weer aan die kriptokaart raak.

Teken aan wat jy geverifieer het, met watter adresse, van watter kant. Daardie rekord verander ’n dubbelsinnige bewering dat die VPN op is in iets wat die ander administrateur onafhanklik kan nagaan.

Wat om terug te gee

Stuur die vereistesmatriks, ’n opsomming van die teikokonfigurasie en die verifikasieresultate. Noem uitdruklik watter broninstellings jy nie oorgedra het nie en waarom. Daardie lys is nuttiger as die vertaalde konfigurasie, want dit is waar die volgende meningsverskil sal begin.

Hou ook die bronteks by die kaartjie. Dit dokumenteer wat gevra is, terwyl die matriks dokumenteer waaroor ooreengekom is.