Tuneli pozmadan ASA-da IPsec peer ünvanını dəyişmək

Peer ünvanının dəyişdirilməsi bir sətir kimi görünür, amma miqrasiya kimi davranır. Əslində yerini dəyişən bir sıra obyektlərdir: crypto map üzərindəki namizəd peer siyahısı, uzaq tərəfi müəyyən edən profil və ya autentifikasiya uyğunlaşdırması, ona çatan əsas şəbəkə, və köhnə dəyərlər əsasında qurulmuş aktiv assosiasiyalar. Konfiqurasiya düzəlişinə bu çoxluğun ilk yox, son addımı kimi baxın.

1. Hər şeyə toxunmazdan əvvəl cari vəziyyəti qeyd edin

Yalnız istifadədə olduğunu düşündüyünüz ünvanla deyil, müvafiq crypto-map girişinin bütün namizəd siyahısı ilə və ardıcıllıqla başlayın. Ardıcıllıq vacibdir, çünki cihazın həqiqətən sınadığı budur.

Onu show run crypto map ilə çıxarın və effektiv girişi show crypto map ilə oxuyun, sonra hər iki çıxışı nəzərdə tutulan yeni dəyərin yanında saxlayın. Orada olarkən hər mövcud assosiasiyanın hansı peer-i seçdiyini də qeyd edin.

Eyni şeyi sessiya qatı üçün edin: show vpn-sessiondb l2l və show crypto ipsec sa peer <old-address>. Bu iki çıxış kimsə tunelin niyə 02:10-da düşdüyünü soruşanda sizin əvvəl mənzərənizdir.

2. Yeni peer-in eyni siyasət altında əlçatan olduğunu sübut edin

Kəsimi planlaşdırmadan əvvəl əlçatanlığı sübut edin. Daxili interfeysdən yeni peer-in qorunan şəbəkəsinə doğru packet-tracer işə salınması marşrutlaşdırma, NAT istisnası və giriş siyasətinin uyğun olub-olmadığını göstərir. Sonra nəqliyyat yolunu təsdiqləyin, çünki IKE və IPsec şlüzlər arasındakı hər hansı filtri keçmək üçün UDP 500 və 4500 portlarına ehtiyac duyur. Uğurlu ping bunların heç birini tək başına sübut etmir.

Əsas şəbəkə marşrut və ya tərcümə dəyişikliyi tələb edirsə, bu, öz riski olan ikinci dəyişiklikdir. Onu eyni pəncərəyə daxil edin və ya ayrıca planlaşdırın, amma kəsimin ortasında aşkar etmək əvəzinə hansını seçdiyinizə qərar verin.

3. Yalnız ünvanı deyil, profil uyğunlaşdırmasını da köçürün

Peer seçimi və profil seçimi fərqli axtarışlardır. LAN-to-LAN bağlantı profili ümumi atributları saxlayır və ünvana, sertifikat kimliyinə və ya qrup adına uyğunlaşa bilər. Profil sertifikat subyektinə əsaslandıqda IP-nin dəyişdirilməsi hansı profilin uyğunlaşdığını dəyişmir.

Etimad məlumatları müqaviləsini toxunulmaz saxlayın. Ünvan dəyişikliyi kimlik yoxlamalarını yumşaltmaq üçün səbəb deyil və nümunə pre-shared key-i bilete yapışdırmaq üçün səbəb deyil.

4. Hər iki namizəd mövcud olduğu müddətdə canlı sessiyaları izləyin

Hər iki ünvan namizəd siyahısında olduğu müddətdə köhnənin ehtiyat variant, yoxsa qalıq olduğunu yazılı şəkildə qərar verin. Hər ikisini saxlayan konfiqurasiya etibarlıdır və son sessiyanı hansı peer-in daşıdığını sübut etmir.

Köhnəlmiş təhlükəsizlik assosiasiyalarını yalnız buraxılışınız üçün peer-ə bağlı formada təmizləyin, clear crypto ipsec sa peer <address>, və təsirlənən tunellərin yenidən razılaşacağını gözləyin. Qlobal sıfırlama cihazdakı hər sessiyanı düşürür və iş saatlarında bağışlanmaz.

Sonra qorunan hostdan bir real tətbiq axını keçirin və cavabın nəzərdə tutulan son nöqtədən qayıtdığını təsdiqləyin. show vpn-sessiondb l2l həmin sessiya üçün yeni peer-i göstərməli, bayt sayğacları isə hərəkət etməlidir.

5. Yekunlaşdırın və ya geri qaytarın

Geri qaytarma planını dəyişiklikdən əvvəl yazın: köhnə namizəd siyahısı, köhnə profil uyğunlaşdırması və köhnə əsas şəbəkə girişi. ASA-ya müstəqil idarəetmə yolu saxlayın, çünki sizə girişi də itirməyə səbəb olan peer ünvanı düzəlişi uzun bir axşamdır. Köhnə peer-i və etimad məlumatlarını yalnız qəbuldan və ehtiyat qərarı qeyd edildikdən sonra silin. Qorunan şəbəkələrdəki giriş siyasətinin sürüşmədiyini də təsdiqləyin.

Miqrasiya nəzərdə tutulan peer autentifikasiyadan keçdikdə və saxlanan siyasət altında tələb olunan xidməti daşıdıqda tamamlanır. İşləyən konfiqurasiyadakı yeni ünvan yazmağın sübutudur, uğurun deyil.