Změna adresy IPsec peeru na ASA bez přerušení tunelu
Přesun adresy peeru se dotkne seznamu kandidátů, mapování profilu, podkladové sítě i živých relací. Projděte kontrolní seznam popořadě.
Změna adresy peeru vypadá jako jeden řádek, ale chová se jako migrace. Ve skutečnosti se přesouvá sada objektů: seznam kandidátních peerů v crypto mapě, profil nebo mapování autentizace, které identifikuje protější stranu, podkladová síť, která se k ní dostane, a živé asociace postavené na starých hodnotách. Berte úpravu konfigurace jako poslední krok této sady, ne první.
1. Zaznamenejte současný stav, než na cokoli sáhnete
Začněte celým seznamem kandidátů pro příslušnou položku crypto mapy, v pořadí, ne jen adresou, o které si myslíte, že se používá. Pořadí je důležité, protože právě to zařízení skutečně zkouší.
Zachyťte ho pomocí show run crypto map a přečtěte účinnou položku pomocí show crypto map, pak oba výstupy uložte vedle zamýšlené nové hodnoty. Zapište si také, kterého peera zvolila každá existující asociace, dokud jste tam.
Totéž udělejte pro vrstvu relací, pomocí show vpn-sessiondb l2l a show crypto ipsec sa peer <old-address>. Tyto dva výstupy jsou váš snímek před změnou, když se někdo zeptá, proč tunel v 02:10 spadl.
2. Dokažte, že nový peer je dosažitelný za stejné politiky
Dosažitelnost dokažte dřív, než naplánujete přepnutí. Spuštění packet-tracer z vnitřního rozhraní k chráněné síti nového peeru ukáže, zda si směrování, výjimka z NAT a přístupová politika rozumí. Poté potvrďte transportní cestu, protože IKE a IPsec potřebují UDP 500 a 4500, aby prošly jakýmkoli filtrem mezi branami. Úspěšný ping sám o sobě nic z toho neprokazuje.
Pokud podkladová síť potřebuje trasu nebo změnu překladu, je to druhá změna s vlastním rizikem. Spojte ji do stejného okna, nebo ji naplánujte zvlášť, ale rozhodněte se kterou, místo abyste to zjistili uprostřed přepnutí.
3. Přesuňte mapování profilu, ne jen adresu
Výběr peeru a výběr profilu jsou dvě různá vyhledávání. Profil připojení LAN-to-LAN drží obecné atributy a může odpovídat adrese, identitě certifikátu nebo názvu skupiny. Změna IP nemění, který profil odpovídá, když se profil opírá o subjekt certifikátu.
| Objekt | Na čem je klíčován | Čeho se nová adresa peeru dotkne |
|---|---|---|
| Seznam kandidátů crypto mapy | Nakonfigurované položky peerů a jejich pořadí | Kam ASA posílá své první pakety |
| Profil připojení | Adresa, identita certifikátu nebo skupina | Jen profily klíčované adresou |
| Chráněné prefixy | Objekty lokální a vzdálené sítě | Nic, pokud je nezměníte také |
Zachovejte smlouvu o přihlašovacích údajích neporušenou. Změna adresy není důvodem zmírnit kontroly identity ani vložit ukázkový pre-shared key do tiketu.
4. Sledujte živé relace, dokud existují oba kandidáti
Dokud jsou v seznamu kandidátů obě adresy, písemně rozhodněte, zda je stará záložní, nebo zbytek. Konfigurace obsahující obě je platná a nic nedokazuje o tom, který peer nesl poslední relaci.
Zastaralé bezpečnostní asociace mažte jen formou omezenou na peera pro vaši verzi, clear crypto ipsec sa peer <address>, a očekávejte, že dotčené tunely vyjednají znovu. Globální reset shodí každou relaci na zařízení a v pracovní době se to neodpouští.
Poté protlačte jeden skutečný tok aplikace z chráněného hostitele a potvrďte, že odpověď se vrací zamýšleným koncovým bodem. show vpn-sessiondb l2l má pro tuto relaci uvést nového peera a počítadla bajtů se mají hýbat.
5. Dokončete to, nebo se vraťte zpět
Rollback napište před změnou: starý seznam kandidátů, staré mapování profilu a starou položku podkladové sítě. Udržujte nezávislou cestu správy k ASA, protože úprava adresy peeru, která vás navíc připraví o přístup, je dlouhý večer. Zastaralého peera a přihlašovací údaje odstraňte až po akceptaci a po zaznamenání rozhodnutí o záloze. Potvrďte také, že přístupová politika na chráněných sítích neodjela.
Migrace je hotová, když se zamýšlený peer autentizuje a pod zachovanou politikou nese požadovanou službu. Nová adresa v běžící konfiguraci je důkaz psaní, ne úspěchu.