Миграция на VPN от IOS към ASA: преведете споразумението, а не командите
Крипто картата не е група тунел на ASA. Кои части от споразумението се пренасят, кои трябва да се изградят наново и кои проверки доказват, че услугата работи.
Конфигурация на IOS, която пристига като референция за миграция към ASA, описва споразумение, обвито в синтаксиса на една платформа. Адресите на партньорите, идентичностите и защитените диапазони са споразумението. Връзката от ключове, профилът и веригата от крипто карти са начинът, по който IOS го изразява, докато ASA изразява същото намерение чрез групи тунел и техните атрибути. Копирането на втората част никога не работи, а копирането само на първата оставя работата наполовина.
Минете петте стъпки по-долу по ред и спрете там, където двете платформи описват различни неща, а не различни думи.
Стъпка 1: отделете споразумението от синтаксиса
Опишете предаването като изисквания, с които се съгласяват и двамата администратори. Четири реда покриват почти всичко: къде е партньорът и коя страна инициира, как всяка страна доказва идентичността си, каква защита е приемлива и кои приложения трябва да оцелеят през тунела. Нито един от тези редове не споменава команда.
Пазете оригиналния текст като доказателство, а не като инструкции. Ред, който съществува на едната платформа и не съществува на другата, е разлика в синтаксиса, докато не проверите дали същото изискване може да бъде изпълнено по друг начин.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Стъпка 2: назовете обектите на всяка платформа
В IOS XE връзка от ключове IKEv2 захранва профил IKEv2 и този профил се прикача чрез крипто карта или IPsec профил. В ASA група тунел съдържа профила на връзката и неговите IPsec атрибути, а крипто картата сочи към нея, както е описано в ръководството за профила на връзката. Това са различни графи на обекти с различно наследяване, поради което съпоставянето ред по ред дава конфигурация, която се анализира, но не се свързва.
Изграждайте целевите обекти от редовете с изисквания, а не от изходните редове. Ако редовете са пълни, целевата конфигурация е проектно решение. Ако не са, никакво количество превод на команди няма да достави липсващото намерение.
Стъпка 3: пренесете идентичност, не само адреси
Идентичността е частта, която се чупи тихо. Партньор, който удостоверява самоличността си по адрес, се държи различно от такъв, който го прави по субект на сертификат или FQDN, и двете платформи записват това очакване на различни места. Запазете предвидената идентичност и верига на доверие, вместо да подменяте споделена тайна, защото е по-лесно за тестване.
Дръжте предварително споделената тайна далеч от бележки за сравнение и тикети. Запишете кой я притежава и как се движи по одобрен канал, и помнете, че заместител от пример в документацията не е идентификационните данни на клиента.
Стъпка 4: договорете защитата преди превключването
Не пренасяйте стари криптографски настройки, защото се появяват в предоставения текст. Договорете сечение от набори, които и двата внедрени партньора поддържат в момента, и го потвърдете с другия администратор преди прозореца за промяна. Ако това сечение се различава от очакваното от съществуващия партньор, това е координирана промяна, а не локална редакция.
Запишете договорения набор. Двама администратори с различни спомени за телефонен разговор е начинът, по който превключването произвежда несъответствие във втора фаза.
Стъпка 5: проверете услугата, не синтаксиса
Проверете първо ефективните обекти на целта, после приетата асоциация, после реален поток на приложение и неговия отговор. Въвеждането на команда без грешка доказва синтаксис и нищо друго. Тунел, който се вдига и не носи трафик, обикновено означава, че защитените диапазони или обратният маршрут не съвпадат с другата страна, а това е проблем в ред от изискванията, не в команда. Сравнете защитените диапазони от двете страни, преди да пипате отново крипто картата.
Запишете какво сте проверили, с кои адреси и от коя страна. Този запис превръща двусмисленото твърдение, че VPN работи, в нещо, което другият администратор може да провери независимо.
Какво да върнете
Изпратете матрицата с изисквания, резюме на целевата конфигурация и резултатите от проверката. Изрично посочете кои изходни настройки не сте пренесли и защо. Този списък е по-полезен от преведената конфигурация, защото именно там ще започне следващото разминаване.
Пазете и изходния текст с тикета. Той документира какво е поискано, а матрицата — какво е договорено.