Смяна на IPsec адрес на партньор в ASA без прекъсване на тунела
Преместването на адрес на партньор засяга списъка с кандидати, съответствието на профила, подлежащата мрежа и активните сесии. Изпълнете контролния списък по ред.
Смяната на адрес на партньор изглежда като един ред, но се държи като миграция. Всъщност се премества набор от обекти: списъкът с кандидат-партньори в crypto map, профилът или съответствието за удостоверяване, което идентифицира далечната страна, подлежащата мрежа, която стига до нея, и активните асоциации, изградени от старите стойности. Третирайте редакцията на конфигурацията като последна стъпка от този набор, а не като първа.
1. Запишете текущото състояние, преди да пипате нещо
Започнете с целия списък с кандидати за съответния запис в crypto map, по ред, а не само с адреса, който смятате, че се използва. Редът е важен, защото той е това, което устройството действително опитва.
Запишете го с show run crypto map и прочетете действащия запис с show crypto map, след което запазете двата изхода до предвидената нова стойност. Отбележете кой партньор е избрала всяка съществуваща асоциация, докато сте там.
Направете същото за слоя на сесиите, като използвате show vpn-sessiondb l2l и show crypto ipsec sa peer <old-address>. Тези два изхода са вашата картина преди промяната, когато някой попита защо тунел е паднал в 02:10.
2. Докажете, че новият партньор е достъпен при същата политика
Докажете достъпността, преди да насрочите превключването. Изпълнение на packet-tracer от вътрешния интерфейс към защитената мрежа на новия партньор показва дали маршрутизацията, изключването на NAT и политиката за достъп са в съгласие. След това потвърдете транспортния път, защото IKE и IPsec се нуждаят от UDP 500 и 4500, за да преминат през всеки филтър между шлюзовете. Успешен ping сам по себе си не доказва нищо от това.
Ако подлежащата мрежа се нуждае от маршрут или промяна на транслацията, това е втора промяна със собствен риск. Обединете я в същия прозорец или я планирайте отделно, но решете кое, вместо да го откриете по средата на превключването.
3. Преместете съответствието на профила, не само адреса
Изборът на партньор и изборът на профил са различни търсения. Профилът за връзка LAN-to-LAN съдържа общи атрибути и може да съвпада по адрес, идентичност на сертификат или име на група. Промяната на IP не променя кой профил съвпада, когато профилът се основава на субект на сертификат.
| Обект | По какво се ключова | Какво засяга новият адрес на партньора |
|---|---|---|
| Списък с кандидати в crypto map | Конфигурирани записи на партньори и техният ред | Накъде ASA изпраща първоначалните си пакети |
| Профил за връзка | Адрес, идентичност на сертификат или група | Само профилите, ключовани по адрес |
| Защитени префикси | Обекти на локалната и отдалечената мрежа | Нищо, освен ако не ги промените и вас |
Пазете договора за идентификационни данни непокътнат. Смяната на адрес не е причина да разхлабите проверките на идентичността и не е причина да поставите примерен pre-shared key в тикет.
4. Наблюдавайте активните сесии, докато съществуват и двата кандидата
Докато и двата адреса стоят в списъка с кандидати, решете писмено дали старият е резерва, или остатък. Конфигурация, съдържаща и двата, е валидна и не доказва нищо за това кой партньор е пренесъл последната сесия.
Изчиствайте остарелите асоциации за сигурност само с формата, ограничена до партньора, за вашата версия, clear crypto ipsec sa peer <address>, и очаквайте засегнатите тунели да преговарят отново. Глобалното нулиране сваля всяка сесия на устройството и няма да бъде простено в работно време.
След това прекарайте един реален поток на приложение от защитен хост и потвърдете, че отговорът се връща през предвидената крайна точка. show vpn-sessiondb l2l трябва да посочи новия партньор за тази сесия, а броячите на байтове трябва да се движат.
5. Приключете или върнете назад
Напишете плана за връщане преди промяната: старият списък с кандидати, старото съответствие на профила и старият запис на подлежащата мрежа. Поддържайте независим път за управление до ASA, защото редакция на адрес на партньор, която ви лишава и от достъп, е дълга вечер. Премахнете остарелия партньор и идентификационните данни само след приемане и след като решението за резерва е записано. Потвърдете също, че политиката за достъп към защитените мрежи не е мръднала.
Миграцията е завършена, когато предвиденият партньор се удостовери и пренася необходимата услуга при запазената политика. Нов адрес в текущата конфигурация е доказателство за писане, не за успех.