টানেল না ভেঙে ASA-তে IPsec পিয়ার ঠিকানা পরিবর্তন

পিয়ার ঠিকানা পরিবর্তন এক লাইনের কাজ মনে হলেও আচরণে তা একটি মাইগ্রেশনের মতো। আসলে যা স্থানান্তরিত হয় তা একগুচ্ছ অবজেক্ট: ক্রিপ্টো ম্যাপের প্রার্থী পিয়ার তালিকা, দূর প্রান্ত চিহ্নিত করার প্রোফাইল বা প্রমাণীকরণ ম্যাপিং, যে অন্তর্নিহিত নেটওয়ার্ক সেখানে পৌঁছায়, এবং পুরোনো মান থেকে গড়া সক্রিয় অ্যাসোসিয়েশনগুলো। কনফিগারেশন সম্পাদনাকে এই সেটের শেষ ধাপ হিসেবে ধরুন, প্রথম ধাপ নয়।

1. কিছুতে হাত দেওয়ার আগে বর্তমান অবস্থা লিপিবদ্ধ করুন

প্রযোজ্য ক্রিপ্টো-ম্যাপ এন্ট্রির সম্পূর্ণ প্রার্থী তালিকা দিয়ে শুরু করুন, ক্রম অনুসারে—শুধু যে ঠিকানাটি আপনার মনে হয় ব্যবহৃত হচ্ছে তা নয়। ক্রম গুরুত্বপূর্ণ, কারণ ডিভাইস বাস্তবে সেই ক্রমেই চেষ্টা করে।

এটি show run crypto map দিয়ে ধরে নিন এবং কার্যকর এন্ট্রি পড়ুন show crypto map দিয়ে, তারপর দুটি আউটপুটই অভীষ্ট নতুন মানের পাশে সংরক্ষণ করুন। সেখানে থাকার সময় প্রতিটি বিদ্যমান অ্যাসোসিয়েশন কোন পিয়ার বেছে নিয়েছে তাও টুকে রাখুন।

সেশন স্তরের জন্যও একই কাজ করুন, show vpn-sessiondb l2l এবং show crypto ipsec sa peer <old-address> ব্যবহার করে। কেউ যখন জিজ্ঞেস করবে 02:10-এ কেন একটি টানেল পড়ে গেল, তখন এই দুটি আউটপুটই আপনার আগের চিত্র।

2. প্রমাণ করুন নতুন পিয়ার একই পলিসির অধীনে পৌঁছানো যায়

কাটওভার নির্ধারণের আগে পৌঁছানোর প্রমাণ নিন। ভেতরের ইন্টারফেস থেকে নতুন পিয়ারের সুরক্ষিত নেটওয়ার্কের দিকে packet-tracer চালালে দেখা যায় রাউটিং, NAT অব্যাহতি ও অ্যাক্সেস পলিসি একমত কি না। এরপর পরিবহন পথ নিশ্চিত করুন, কারণ IKE ও IPsec-এর গেটওয়েগুলোর মধ্যে যেকোনো ফিল্টার পেরোতে UDP 500 ও 4500 দরকার। সফল ping একা এর কিছুই প্রমাণ করে না।

অন্তর্নিহিত নেটওয়ার্কে রুট বা ট্রান্সলেশন পরিবর্তন দরকার হলে সেটি নিজস্ব ঝুঁকিসহ দ্বিতীয় একটি পরিবর্তন। এটিকে একই উইন্ডোতে আনুন বা আলাদা করে নির্ধারণ করুন, কিন্তু কাটওভারের মাঝপথে আবিষ্কার করার বদলে আগেই ঠিক করুন কোনটি করবেন।

3. শুধু ঠিকানা নয়, প্রোফাইল ম্যাপিংও সরান

পিয়ার নির্বাচন ও প্রোফাইল নির্বাচন আলাদা দুই ধরনের অনুসন্ধান। LAN-to-LAN সংযোগ প্রোফাইলে সাধারণ বৈশিষ্ট্য থাকে এবং এটি ঠিকানা, সার্টিফিকেট পরিচয় বা গ্রুপ নামের সঙ্গে মিলতে পারে। প্রোফাইল যখন সার্টিফিকেট সাবজেক্টের ওপর নির্ভর করে, তখন IP বদলালে কোন প্রোফাইল মিলবে তা বদলায় না।

ক্রেডেনশিয়াল চুক্তি অটুট রাখুন। ঠিকানা পরিবর্তন পরিচয় যাচাই শিথিল করার কারণ নয়, এবং নমুনা pre-shared key টিকিটে পেস্ট করার কারণও নয়।

4. দুই প্রার্থীই থাকাকালে সক্রিয় সেশন লক্ষ্য করুন

দুই ঠিকানাই প্রার্থী তালিকায় থাকাকালে লিখিতভাবে ঠিক করুন পুরোনোটি ফলব্যাক না আবর্জনা। দুটোই থাকা কনফিগারেশন বৈধ, আর তা শেষ সেশন কোন পিয়ার বহন করেছে সে বিষয়ে কিছুই প্রমাণ করে না।

পুরোনো সিকিউরিটি অ্যাসোসিয়েশন কেবল আপনার রিলিজের পিয়ার-স্কোপড রূপ দিয়ে মুছুন, clear crypto ipsec sa peer <address>, এবং প্রভাবিত টানেলগুলো পুনরায় নেগোশিয়েট করবে বলে আশা করুন। গ্লোবাল রিসেট অ্যাপ্লায়েন্সের প্রতিটি সেশন ফেলে দেয় এবং অফিস সময়ে তা ক্ষমা করা হয় না।

এরপর সুরক্ষিত হোস্ট থেকে একটি বাস্তব অ্যাপ্লিকেশন প্রবাহ চালান এবং নিশ্চিত করুন উত্তরটি অভীষ্ট এন্ডপয়েন্ট দিয়েই ফিরছে। show vpn-sessiondb l2l সেই সেশনের জন্য নতুন পিয়ারের নাম দেখানো উচিত, আর বাইট কাউন্টার নড়াচড়া করা উচিত।

5. কাজ শেষ করুন বা রোলব্যাক করুন

পরিবর্তনের আগেই রোলব্যাক লিখে রাখুন: পুরোনো প্রার্থী তালিকা, পুরোনো প্রোফাইল ম্যাপিং এবং পুরোনো অন্তর্নিহিত এন্ট্রি। ASA-তে একটি স্বাধীন ম্যানেজমেন্ট পথ রাখুন, কারণ পিয়ার ঠিকানা সম্পাদনা যদি আপনার অ্যাক্সেসও কেড়ে নেয়, তবে সন্ধ্যাটি দীর্ঘ হবে। পুরোনো পিয়ার ও ক্রেডেনশিয়াল কেবল গ্রহণের পর এবং ফলব্যাক সিদ্ধান্ত লিপিবদ্ধ হওয়ার পর সরান। এটিও নিশ্চিত করুন যে সুরক্ষিত নেটওয়ার্কগুলোর অ্যাক্সেস পলিসি সরে যায়নি।

মাইগ্রেশন সম্পূর্ণ হয় যখন অভীষ্ট পিয়ার প্রমাণীকরণ পাস করে এবং সংরক্ষিত পলিসির অধীনে প্রয়োজনীয় সেবা বহন করে। চলমান কনফিগারেশনে নতুন ঠিকানা টাইপ করার প্রমাণ, সফলতার নয়।