Змена адраса партнёра IPsec на ASA без разрыву тунеля
Перанос адраса партнёра закранае спіс кандыдатаў, супастаўленне профілю, базавую сетку і актыўныя сесіі. Выконвайце чэк-ліст па парадку.
Змена адраса партнёра выглядае як адзін радок, а паводзіць сябе як міграцыя. Насамрэч перамяшчаецца набор аб’ектаў: спіс кандыдатаў-партнёраў на crypto map, профіль або супастаўленне аўтэнтыфікацыі, якое вызначае далёкі бок, базавая сетка, якая да яго даходзіць, і актыўныя асацыяцыі, пабудаваныя са старых значэнняў. Разглядайце праўку канфігурацыі як апошні крок гэтага набору, а не першы.
1. Запішыце бягучы стан, перш чым нешта чапаць
Пачніце з поўнага спісу кандыдатаў для адпаведнага запісу crypto map, па парадку, а не толькі з адраса, які, на вашу думку, выкарыстоўваецца. Парадак важны, бо менавіта яго спрабуе прылада.
Зафіксуйце яго камандай show run crypto map і прачытайце дзейны запіс камандай show crypto map, затым захавайце абодва вынікі побач з меркаваным новым значэннем. Заўважце, якога партнёра выбрала кожная існая асацыяцыя, пакуль вы там.
Зрабіце тое ж для ўзроўню сесій, выкарыстоўваючы show vpn-sessiondb l2l і show crypto ipsec sa peer <old-address>. Гэтыя два вынікі — ваша карціна да змены, калі хтосьці спытае, чаму тунель упаў у 02:10.
2. Дакажыце, што новы партнёр дасягальны пры той жа палітыцы
Дакажыце дасягальнасць, перш чым планаваць пераключэнне. Запуск packet-tracer з унутранага інтэрфейсу да абароненай сеткі новага партнёра паказвае, ці ўзгоднены маршрутызацыя, выключэнне NAT і палітыка доступу. Затым пацвердзіце шлях транспарту, бо IKE і IPsec патрабуюць UDP 500 і 4500, каб прайсці любы фільтр паміж шлюзамі. Паспяховы ping сам па сабе нічога з гэтага не даказвае.
Калі базавай сетцы патрэбны маршрут або змена трансляцыі, гэта другая змена з уласнай рызыкай. Аб’яднайце яе ў тое ж акно або заплануйце асобна, але вырашыце, што менавіта, а не выяўляйце гэта пасярэдзіне пераключэння.
3. Перанясіце супастаўленне профілю, а не толькі адрас
Выбар партнёра і выбар профілю — розныя пошукі. Профіль злучэння LAN-to-LAN захоўвае агульныя атрыбуты і можа супастаўляцца па адрасе, ідэнтычнасці сертыфіката або імені групы. Змена IP не змяняе, які профіль супадае, калі профіль абапіраецца на суб’ект сертыфіката.
| Аб’ект | На чым грунтуецца ключ | Што закранае новы адрас партнёра |
|---|---|---|
| Спіс кандыдатаў crypto map | Наладжаныя запісы партнёраў і іх парадак | Куды ASA адпраўляе свае першыя пакеты |
| Профіль злучэння | Адрас, ідэнтычнасць сертыфіката або група | Толькі профілі, прывязаныя да адраса |
| Абароненыя прэфіксы | Аб’екты лакальнай і аддаленай сеткі | Нічога, калі вы іх таксама не зменіце |
Захавайце дагавор уліковых даных нязменным. Змена адраса не прычына паслабляць праверкі ідэнтычнасці і не прычына ўстаўляць узорны pre-shared key у тыкет.
4. Назірайце за актыўнымі сесіямі, пакуль існуюць абодва кандыдаты
Пакуль абодва адрасы знаходзяцца ў спісе кандыдатаў, вырашыце пісьмова, стары — гэта рэзерв ці смецце. Канфігурацыя, якая ўтрымлівае абодва, сапраўдная, і яна нічога не даказвае пра тое, які партнёр нес апошнюю сесію.
Ачышчайце састарэлыя асацыяцыі бяспекі толькі формай, прывязанай да партнёра, для вашай версіі, clear crypto ipsec sa peer <address>, і чакайце, што закранутыя тунелі перазаключаць пагадненне. Глабальны скід кідае кожную сесію на прыладзе, і гэтага не даруюць у працоўныя гадзіны.
Затым прапусціце адзін рэальны паток праграмы з абароненага хоста і пацвердзіце, што адказ вяртаецца праз меркаваную канчатковую кропку. show vpn-sessiondb l2l павінна назваць новага партнёра для гэтай сесіі, а лічыльнікі байтаў павінны рухацца.
5. Завяршыце або адкаціце
Напішыце план адкату да змены: стары спіс кандыдатаў, старое супастаўленне профілю і стары запіс базавай сеткі. Трымайце незалежны шлях кіравання да ASA, бо праўка адраса партнёра, якая яшчэ і пазбаўляе вас доступу, — гэта доўгі вечар. Выдаляйце састарэлага партнёра і ўліковыя даныя толькі пасля прыёмкі і пасля запісу рашэння пра рэзерв. Пераканайцеся таксама, што палітыка доступу да абароненых сетак не з’ехала.
Міграцыя завершана, калі меркаваны партнёр праходзіць аўтэнтыфікацыю і нясе патрэбную службу пры захаванай палітыцы. Новы адрас у бягучай канфігурацыі — доказ набору тэксту, а не поспеху.