IOS-dan ASA-ya VPN miqrasiyası: razılaşmanı tərcümə edin, əmrləri deyil
Kripto xəritəsi ASA tunel qrupu deyil. Razılaşmanın hansı hissələri köçür, hansılar yenidən qurulmalıdır və xidmətin işlədiyini sübut edən yoxlamalar.
ASA miqrasiyası üçün istinad kimi gələn IOS konfiqurasiyası bir platformanın sintaksisinə bükülmüş razılaşmanı təsvir edir. Həmkar ünvanları, kimliklər və qorunan diapazonlar razılaşmanın özüdür. Açar halqası, profil və kripto xəritə zənciri bunu IOS-un ifadə etmə üsuludur, ASA isə eyni niyyəti tunel qrupları və onların atributları vasitəsilə ifadə edir. İkinci hissəni köçürmək heç vaxt işləmir, yalnız birincisini köçürmək isə işi yarımçıq qoyur.
Aşağıdakı beş addımı ardıcıllıqla keçin və iki platforma fərqli sözləri deyil, fərqli şeyləri təsvir etdiyi yerdə dayanın.
Addım 1: razılaşmanı sintaksisdən ayırın
Təhvil verməni hər iki administratorun razılaşdığı tələblər kimi yazın. Dörd sətir demək olar ki, hamısını əhatə edir: həmkarın harada olduğu və hansı tərəfin başlatdığı, hər tərəfin kimliyini necə sübut etdiyi, hansı qorunmanın məqbul olduğu və hansı tətbiqlərin tuneldən keçməli olduğu. Bu sətirlərin heç biri əmrdən bəhs etmir.
Orijinal mətni təlimat deyil, sübut kimi saxlayın. Bir platformada olub digərində olmayan sətir, eyni tələbin başqa yolla ödənilə biləcəyini yoxlayana qədər sintaksis fərqidir.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Addım 2: hər platformada obyektləri adlandırın
IOS XE-də IKEv2 açar halqası IKEv2 profilini qidalandırır və bu profil kripto xəritəsi və ya IPsec profili vasitəsilə birləşdirilir. ASA-da tunel qrupu bağlantı profilini və onun IPsec atributlarını saxlayır, kripto xəritəsi isə ona işarə edir, bağlantı profili təlimatı bunu təsvir etdiyi kimi. Bunlar fərqli irsiyyətə malik fərqli obyekt qraflarıdır, buna görə də sətir-sətir uyğunlaşdırma sintaksisi qəbul edilən, amma qoşulmayan konfiqurasiya verir.
Hədəf obyektləri mənbə sətirlərindən deyil, tələb sətirlərindən qurun. Sətirlər tamdırsa, hədəf konfiqurasiyası dizayn qərarıdır. Tam deyilsə, heç bir əmr tərcüməsi çatışmayan niyyəti verməyəcək.
Addım 3: yalnız ünvanları deyil, kimliyi də daşıyın
Kimlik səssizcə qırılan hissədir. Ünvanla autentifikasiya edən həmkar sertifikat subyekti və ya FQDN ilə autentifikasiya edəndən fərqli davranır və iki platforma bu gözləntini fərqli yerlərdə qeyd edir. Sınaqdan keçirmək daha asan olduğu üçün ortaq sirri əvəz etmək əvəzinə nəzərdə tutulan kimliyi və etimad zəncirini qoruyun.
Əvvəlcədən paylaşılan sirri müqayisə qeydlərindən və biletlərdən kənarda saxlayın. Onun kimə aid olduğunu və təsdiqlənmiş kanaldan necə keçdiyini qeyd edin və sənədləşdirmə nümunəsindəki yer tutucunun müştərinin etimad məlumatı olmadığını unutmayın.
Addım 4: keçiddən əvvəl qorunma barədə razılaşın
Köhnə kriptoqrafik parametrləri təqdim edilən mətndə göründüyü üçün köçürməyin. Hər iki yerləşdirilmiş həmkarın hazırda dəstəklədiyi dəstlər kəsişməsi barədə razılaşın və dəyişiklik pəncərəsindən əvvəl bunu digər administratorla təsdiqləyin. Bu kəsişmə mövcud həmkarın gözlədiyindən fərqlənirsə, bu lokal düzəliş deyil, əlaqələndirilmiş dəyişiklikdir.
Razılaşdırılmış dəsti yazın. Telefon zəngi ilə bağlı yaddaşları fərqli olan iki administrator keçidin ikinci mərhələdə uyğunsuzluq verməsinin yoludur.
Addım 5: sintaksisi deyil, xidməti yoxlayın
Əvvəlcə hədəfin effektiv obyektlərini, sonra qəbul edilmiş assosiasiyanı, sonra real tətbiq axınını və onun cavabını yoxlayın. Əmri xətasız daxil etmək sintaksisi sübut edir, başqa heç nəyi deyil. Qalxan və heç bir trafik daşımayan tunel adətən qorunan diapazonların və ya geri marşrutun qarşı tərəflə uyğunsuzluğunu bildirir ki, bu da əmr problemi deyil, tələb sətri problemidir. Kripto xəritəsinə yenidən toxunmadan əvvəl hər iki tərəfdəki qorunan diapazonları müqayisə edin.
Nəyi yoxladığınızı, hansı ünvanlarla və hansı tərəfdən qeyd edin. Bu qeyd VPN-in işlədiyinə dair qeyri-müəyyən iddianı digər administratorun müstəqil yoxlaya biləcəyi bir şeyə çevirir.
Nəyi geri qaytarmaq lazımdır
Tələb matrisini, hədəf konfiqurasiyasının xülasəsini və yoxlama nəticələrini göndərin. Hansı mənbə parametrlərini köçürmədiyinizi və niyə köçürmədiyinizi açıq şəkildə bildirin. Bu siyahı tərcümə edilmiş konfiqurasiyadan daha faydalıdır, çünki növbəti fikir ayrılığı orada başlayacaq.
Mənbə mətnini də bileti ilə birlikdə saxlayın. O, nəyin tələb olunduğunu sənədləşdirir, matris isə nəyin razılaşdırıldığını.