Canviar l'adreça de peer d'IPsec en un ASA sense trencar el túnel
Moure una adreça de peer afecta la llista de candidats, la concordança del perfil, la xarxa subjacent i les sessions actives. Seguiu la llista de comprovació en ordre.
Un canvi d'adreça de peer sembla una línia, però es comporta com una migració. El que es mou realment és un conjunt d'objectes: la llista de peers candidats del crypto map, el perfil o mapatge d'autenticació que identifica l'extrem remot, la xarxa subjacent que hi arriba, i les associacions actives construïdes amb els valors antics. Tracteu l'edició de la configuració com l'últim pas d'aquest conjunt, no com el primer.
1. Enregistreu l'estat actual abans de tocar res
Comenceu per la llista completa de candidats de l'entrada de crypto map corresponent, en ordre, no només per l'adreça que creieu que s'utilitza. L'ordre importa perquè és el que el dispositiu prova realment.
Captureu-la amb show run crypto map i llegiu l'entrada efectiva amb show crypto map, i deseu les dues sortides al costat del valor nou previst. Anoteu també quin peer ha triat cada associació existent mentre hi sou.
Feu el mateix per a la capa de sessions, amb show vpn-sessiondb l2l i show crypto ipsec sa peer <old-address>. Aquestes dues sortides són la vostra imatge prèvia quan algú pregunti per què un túnel va caure a les 02:10.
2. Demostreu que el peer nou és abastable amb la mateixa política
Demostreu l'abast abans de programar el tall. Una execució de packet-tracer des de la interfície interna cap a la xarxa protegida del peer nou mostra si l'encaminament, l'exempció de NAT i la política d'accés coincideixen. Després confirmeu el camí de transport, perquè IKE i IPsec necessiten UDP 500 i 4500 per travessar qualsevol filtre entre les passarel·les. Un ping correcte no demostra res d'això per si sol.
Si la xarxa subjacent necessita una ruta o un canvi de traducció, és un segon canvi amb el seu propi risc. Agrupeu-lo a la mateixa finestra o programeu-lo a part, però decidiu-ho en lloc de descobrir-ho a mig tall.
3. Moveu el mapatge del perfil, no només l'adreça
La selecció de peer i la selecció de perfil són cerques diferents. Un perfil de connexió LAN-to-LAN conté atributs generals i pot coincidir per adreça, per identitat de certificat o per nom de grup. Canviar la IP no canvia quin perfil coincideix quan el perfil es basa en un subjecte de certificat.
| Objecte | Amb què es clava | Què toca una adreça de peer nova |
|---|---|---|
| Llista de candidats del crypto map | Entrades de peer configurades i el seu ordre | On l'ASA envia els seus paquets inicials |
| Perfil de connexió | Adreça, identitat de certificat o grup | Només els perfils clavats per adreça |
| Prefixos protegits | Objectes de xarxa locals i remots | Res, tret que els canvieu també |
Manteniu intacte el contracte de credencials. Un canvi d'adreça no és motiu per relaxar les comprovacions d'identitat ni per enganxar una clau prèviament compartida d'exemple en un tiquet.
4. Observeu les sessions actives mentre existeixen tots dos candidats
Mentre les dues adreces són a la llista de candidats, decidiu per escrit si la vella és un retorn o restes. Una configuració que conté totes dues és vàlida i no demostra res sobre quin peer va portar l'última sessió.
Esborreu les associacions de seguretat obsoletes només amb la forma limitada al peer de la vostra versió, clear crypto ipsec sa peer <address>, i espereu que els túnels afectats renegociïn. Un reinici global tomba totes les sessions de l'aparell i no es perdonarà en horari laboral.
Després passeu un flux d'aplicació real des d'un host protegit i confirmeu que la resposta torna pel punt final previst. show vpn-sessiondb l2l hauria de nomenar el peer nou per a aquesta sessió, i els comptadors de bytes haurien de moure's.
5. Tanqueu-ho o revertiu
Escriviu la reversió abans del canvi: la llista de candidats antiga, el mapatge de perfil antic i l'entrada antiga de la xarxa subjacent. Manteniu un camí de gestió independent cap a l'ASA, perquè una edició d'adreça de peer que també us costa l'accés és un vespre llarg. Traieu el peer obsolet i les credencials només després de l'acceptació i després d'enregistrar la decisió de retorn. Confirmeu també que la política d'accés a les xarxes protegides no s'ha desviat.
La migració s'acaba quan el peer previst s'autentica i transporta el servei requerit sota la política conservada. Una adreça nova a la configuració en curs és prova d'haver escrit, no d'èxit.