Newid cyfeiriad peer IPsec ar ASA heb dorri'r twnnel
Mae symud cyfeiriad peer yn effeithio ar y rhestr ymgeiswyr, paru'r proffil, yr is-haen a sesiynau byw. Gweithiwch drwy'r rhestr wirio yn ei thro.
Mae newid cyfeiriad peer yn edrych fel un linell, ond mae'n ymddwyn fel mudo. Yr hyn sy'n symud mewn gwirionedd yw set o wrthrychau: rhestr y peerau ymgeisiol ar y crypto map, y proffil neu'r mapio dilysu sy'n adnabod y pen draw, yr is-haen sy'n cyrraedd yno, a'r cymdeithiadau byw a adeiladwyd o'r hen werthoedd. Triniwch y golygiad cyfluniad fel cam olaf y set honno, nid y cam cyntaf.
1. Cofnodwch y cyflwr presennol cyn cyffwrdd â dim
Dechreuwch gyda'r rhestr ymgeiswyr gyfan ar gyfer y cofnod crypto map perthnasol, yn ei threfn, nid dim ond y cyfeiriad rydych chi'n meddwl sy'n cael ei ddefnyddio. Mae trefn yn bwysig oherwydd dyna'r hyn y mae'r ddyfais yn ei geisio mewn gwirionedd.
Cofnodwch hi â show run crypto map a darllenwch y cofnod effeithiol â show crypto map, yna cadwch y ddau allbwn wrth ymyl y gwerth newydd arfaethedig. Nodwch pa peer a ddewiswyd gan bob cymdeithas bresennol, tra byddwch yno.
Gwnewch yr un peth ar gyfer haen y sesiynau, gan ddefnyddio show vpn-sessiondb l2l a show crypto ipsec sa peer <old-address>. Y ddau allbwn hynny yw eich darlun cyn y newid pan fydd rhywun yn gofyn pam y syrthiodd twnnel am 02:10.
2. Profwch fod y peer newydd yn cyrraeddadwy o dan yr un polisi
Profwch gyrraeddadwyedd cyn i chi drefnu'r toriad. Mae rhedeg packet-tracer o'r rhyngwyneb mewnol tuag at rwydwaith gwarchodedig y peer newydd yn dangos a yw llwybreiddio, esemptiad NAT a'r polisi mynediad yn cytuno. Yna cadarnhewch y llwybr cludo, oherwydd mae angen UDP 500 a 4500 ar IKE ac IPsec i basio unrhyw hidlydd rhwng y pyrth. Nid yw ping llwyddiannus yn profi dim o hynny ar ei ben ei hun.
Os oes angen llwybr neu newid cyfieithu ar yr is-haen, mae hynny'n ail newid â'i risg ei hun. Bwndlwch ef i'r un ffenestr neu ei drefnu ar wahân, ond penderfynwch pa un yn hytrach na'i ddarganfod yng nghanol y toriad.
3. Symudwch fapio'r proffil, nid y cyfeiriad yn unig
Mae dewis peer a dewis proffil yn ddau chwiliad gwahanol. Mae proffil cysylltiad LAN-to-LAN yn dal priodoleddau cyffredinol a gall baru ar gyfeiriad, hunaniaeth tystysgrif neu enw grŵp. Nid yw newid yr IP yn newid pa broffil sy'n paru pan fo'r proffil yn dibynnu ar destun tystysgrif.
| Gwrthrych | Ar beth y mae'n cael ei allweddu | Beth mae cyfeiriad peer newydd yn ei gyffwrdd |
|---|---|---|
| Rhestr ymgeiswyr y crypto map | Cofnodion peer wedi'u ffurfweddu a'u trefn | I ble mae'r ASA yn anfon ei becynnau cychwynnol |
| Proffil cysylltiad | Cyfeiriad, hunaniaeth tystysgrif neu grŵp | Dim ond y proffiliau a allweddir ar gyfeiriad |
| Rhagddodiadau gwarchodedig | Gwrthrychau rhwydwaith lleol ac anghysbell | Dim byd, oni bai eich bod yn eu newid hefyd |
Cadwch y contract credynau yn gyfan. Nid yw newid cyfeiriad yn rheswm i lacio gwiriadau hunaniaeth, ac nid yw'n rheswm i ludo allwedd pre-shared enghreifftiol i docyn.
4. Gwyliwch y sesiynau byw tra bydd y ddau ymgeisydd yn bodoli
Tra bydd y ddau gyfeiriad yn y rhestr ymgeiswyr, penderfynwch yn ysgrifenedig a yw'r hen un yn gefnyn neu'n falurion. Mae cyfluniad sy'n cynnwys y ddau yn ddilys, ac nid yw'n profi dim ynglŷn â pha peer a gariodd y sesiwn ddiwethaf.
Cliriwch gymdeithiadau diogelwch hen ffasiwn gyda'r ffurf sy'n gyfyngedig i'r peer ar gyfer eich rhyddhad, clear crypto ipsec sa peer <address>, a disgwyliwch i'r twneli yr effeithir arnynt ail-negodi. Mae ailosodiad byd-eang yn cwympo pob sesiwn ar y teclyn ac ni fydd yn cael ei faddau yn ystod oriau busnes.
Yna trosglwyddwch un llif cymhwysiad go iawn o westeiwr gwarchodedig a chadarnhewch fod yr ateb yn dychwelyd drwy'r pen draw a fwriedir. show vpn-sessiondb l2l ddylai enwi'r peer newydd ar gyfer y sesiwn honno, a dylai'r cyfrifwyr beit symud.
5. Cau'r mater neu rolio'n ôl
Ysgrifennwch y rholio'n ôl cyn y newid: yr hen restr ymgeiswyr, yr hen fapio proffil a'r hen gofnod is-haen. Cadwch lwybr rheoli annibynnol i'r ASA, oherwydd mae golygiad cyfeiriad peer sy'n costio mynediad i chi hefyd yn noson hir. Tynnwch y peer darfodedig a'r credynau dim ond ar ôl derbyn ac ar ôl cofnodi'r penderfyniad cefnyn. Cadarnhewch hefyd na chafodd y polisi mynediad ar y rhwydweithiau gwarchodedig ei symud.
Mae'r mudo wedi'i gwblhau pan fydd y peer arfaethedig yn dilysu ac yn cario'r gwasanaeth gofynnol o dan y polisi a gedwir. Mae cyfeiriad newydd yn y cyfluniad rhedegol yn dystiolaeth o deipio, nid o lwyddiant.