تغيير عنوان نظير IPsec على ASA دون قطع النفق

تغيير عنوان النظير يبدو كأنه سطر واحد، لكنه يتصرف كترحيل. ما ينتقل فعليًا هو مجموعة من الكائنات: قائمة النظراء المرشحين في خريطة التشفير crypto map، وملف الاتصال أو ربط المصادقة الذي يعرّف الطرف البعيد، والشبكة الأساسية التي تصل إليه، وارتباطات الأمان النشطة المبنية على القيم القديمة. تعامل مع تعديل الإعدادات كخطوة أخيرة في هذه المجموعة لا كخطوة أولى.

1. سجّل الحالة الحالية قبل أن تلمس أي شيء

ابدأ بالقائمة الكاملة للمرشحين الخاصة بمدخل خريطة التشفير المعني، وبالترتيب، لا بالعنوان الذي تظنه قيد الاستخدام فقط. الترتيب مهم لأنه ما يحاوله الجهاز فعليًا.

التقطها بالأمر show run crypto map واقرأ المدخل الفعّال بالأمر show crypto map، ثم احفظ الخرجين بجانب القيمة الجديدة المقصودة. وسجّل أي نظير اختاره كل ارتباط قائم، أثناء وجودك هناك.

افعل الشيء نفسه لطبقة الجلسات، باستخدام show vpn-sessiondb l2l وshow crypto ipsec sa peer <old-address>. هذان الخرجان هما صورة ما قبل التغيير عندما يسأل أحدهم لماذا سقط نفق في 02:10.

2. اثبت أن النظير الجديد يمكن الوصول إليه في ظل السياسة نفسها

اثبت إمكانية الوصول قبل أن تحدد موعد القطع. تشغيل packet-tracer من الواجهة الداخلية نحو الشبكة المحمية للنظير الجديد يبيّن ما إذا كانت التوجيه وإعفاء NAT وسياسة الوصول متوافقة. ثم أكّد مسار النقل، لأن IKE وIPsec يحتاجان إلى UDP 500 و4500 لعبور أي مُرشِّح بين البوابتين. نجاح ping لا يثبت شيئًا من ذلك بمفرده.

إذا كانت الشبكة الأساسية تحتاج إلى مسار أو تغيير في الترجمة، فتلك تغيير ثانٍ له مخاطره الخاصة. ضمّه إلى النافذة نفسها أو جدوله منفصلًا، لكن قرّر أيّهما بدلًا من اكتشافه في منتصف القطع.

3. انقل ربط ملف الاتصال، لا العنوان وحده

اختيار النظير واختيار ملف الاتصال عمليتان بحث مختلفتان. يحمل ملف اتصال LAN-to-LAN سمات عامة وقد يطابق عنوانًا أو هوية شهادة أو اسم مجموعة. تغيير IP لا يغيّر أي ملف يطابق عندما يعتمد الملف على موضوع الشهادة.

حافظ على عقد بيانات الاعتماد سليمًا. تغيير العنوان ليس سببًا لتخفيف فحوص الهوية، وليس سببًا للصق مفتاح مشترك مُسبقًا نموذجيًا في تذكرة.

4. راقب الجلسات النشطة ما دام المرشحان موجودين

ما دام العنوانان في قائمة المرشحين، قرّر كتابيًا ما إذا كان القديم احتياطًا أم حطامًا. الإعداد الذي يحتوي كليهما صالح، ولا يثبت شيئًا عن النظير الذي حمل الجلسة الأخيرة.

امسح ارتباطات الأمان القديمة فقط بالصيغة المقيّدة بالنظير الخاصة بإصدارك، clear crypto ipsec sa peer <address>، وتوقع أن تعيد الأنفاق المتأثرة التفاوض. إعادة الضبط الشاملة تُسقط كل جلسة على الجهاز ولن تُغتفر خلال ساعات العمل.

ثم مرّر تدفق تطبيق حقيقيًا واحدًا من مضيف محمي وأكّد أن الرد يعود عبر نقطة النهاية المقصودة. يجب أن يذكر show vpn-sessiondb l2l النظير الجديد لتلك الجلسة، وأن تتحرك عدادات البايت.

5. أغلقها أو تراجع

اكتب خطة التراجع قبل التغيير: قائمة المرشحين القديمة، وربط ملف الاتصال القديم، ومدخل الشبكة الأساسية القديم. احتفظ بمسار إدارة مستقل إلى ASA، لأن تعديل عنوان النظير الذي يكلّفك الوصول أيضًا أمسية طويلة. أزل النظير وبيانات الاعتماد المهجورين فقط بعد القبول وبعد تسجيل قرار الاحتياط. تأكّد أيضًا من أن سياسة الوصول على الشبكات المحمية لم تنحرف.

تنتهي الترحيل عندما يصادق النظير المقصود ويحمل الخدمة المطلوبة في ظل السياسة المحفوظة. عنوان جديد في الإعدادات الجارية دليل على الكتابة، لا على النجاح.