Mudo VPN o IOS i ASA: cyfieithu'r cytundeb, nid y gorchmynion
Nid yw map cripto yn grŵp twnnel ASA. Pa rannau o'r cytundeb sy'n trosglwyddo, pa rai sy'n rhaid eu hailadeiladu, a'r gwiriadau sy'n profi bod y gwasanaeth yn gweithio.
Mae cyfluniad IOS sy'n cyrraedd fel cyfeiriad ar gyfer mudo i ASA yn disgrifio cytundeb wedi'i lapio yn gystrawen un platfform. Cyfeiriadau cymheiriaid, hunaniaethau ac ystodau gwarchodedig yw'r cytundeb. Y fodrwy allweddi, y proffil a'r gadwyn map cripto yw'r ffordd y mae IOS yn ei fynegi, tra bo ASA yn mynegi'r un bwriad drwy grwpiau twnnel a'u priodoleddau. Nid yw copïo'r ail ran yn gweithio byth, ac mae copïo'r gyntaf yn unig yn gadael y gwaith yn hanner.
Ewch drwy'r pum cam isod yn eu trefn, ac arhoswch lle mae'r ddau blatfform yn disgrifio pethau gwahanol yn hytrach na geiriau gwahanol.
Cam 1: gwahanwch y cytundeb oddi wrth y gystrawen
Ysgrifennwch y trosglwyddiad fel gofynion y mae'r ddau weinyddwr yn cytuno arnynt. Mae pedair rhes yn cwmpasu bron y cyfan: ble mae'r cymheiriaid a pha ochr sy'n cychwyn, sut mae pob ochr yn profi ei hunaniaeth, pa warchodaeth sy'n dderbyniol, a pha gymwysiadau sy'n gorfod goroesi'r twnnel. Nid oes yr un o'r rhesi hyn yn sôn am orchymyn.
Cadwch y testun gwreiddiol fel tystiolaeth yn hytrach nag fel cyfarwyddiadau. Mae llinell sy'n bodoli ar un platfform ac nad yw ar y llall yn wahaniaeth cystrawen hyd nes y byddwch wedi gwirio a ellir bodloni'r un gofyniad mewn ffordd arall.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Cam 2: enwch yr gwrthrychau ar bob platfform
Ar IOS XE mae modrwy allweddi IKEv2 yn bwydo proffil IKEv2, ac mae'r proffil hwnnw'n cael ei atodi drwy fap cripto neu broffil IPsec. Ar ASA mae grŵp twnnel yn dal y proffil cysylltiad a'i briodoleddau IPsec, ac mae'r map cripto yn pwyntio ato, fel y mae canllaw'r proffil cysylltiad yn ei ddisgrifio. Mae'r rhain yn graffau gwrthrychau gwahanol gyda threftadaeth wahanol, a dyna pam mae mapio llinell wrth linell yn rhoi cyfluniad sy'n parsio ac nad yw'n cysylltu.
Adeiladwch y gwrthrychau targed o'r rhesi gofynion yn hytrach nag o'r llinellau ffynhonnell. Os yw'r rhesi'n gyflawn, penderfyniad dylunio yw'r cyfluniad targed. Os nad ydynt, ni fydd unrhyw faint o gyfieithu gorchmynion yn cyflenwi'r bwriad sydd ar goll.
Cam 3: cludwch hunaniaeth, nid cyfeiriadau yn unig
Hunaniaeth yw'r rhan sy'n torri'n dawel. Mae cymheiriaid sy'n dilysu drwy gyfeiriad yn ymddwyn yn wahanol i un sy'n dilysu drwy bwnc tystysgrif neu FQDN, ac mae'r ddau blatfform yn cofnodi'r disgwyliad hwnnw mewn gwahanol leoedd. Cadwch yr hunaniaeth arfaethedig a'r gadwyn ymddiriedaeth yn lle disodli cyfrinach a rennir am ei bod yn haws ei phrofi.
Cadwch y gyfrinach a rannwyd ymlaen llaw allan o nodiadau cymharu a thocynnau. Cofnodwch pwy sy'n berchen arni a sut mae'n symud drwy sianel gymeradwy, a chofiwch nad yw lle dalfan o enghraifft dogfennaeth yn ganiatâd y cwsmer.
Cam 4: cytunwch ar y warchodaeth cyn y newid
Peidiwch â chludo hen osodiadau cryptograffig oherwydd eu bod yn ymddangos yn y testun a ddarparwyd. Cytunwch ar drawsdoriad o setiau y mae'r ddau gymheiriaid a osodwyd yn ei gefnogi ar hyn o bryd, a chadarnhewch hynny gyda'r gweinyddwr arall cyn y ffenestr newid. Os yw'r drawsdoriad hwnnw'n wahanol i'r hyn y mae'r cymheiriaid presennol yn ei ddisgwyl, newid cydgysylltiedig ydyw yn hytrach nag addasiad lleol.
Ysgrifennwch y set y cytunwyd arni. Dau weinyddwr â chof gwahanol o alwad ffôn yw'r ffordd y mae newid yn cynhyrchu anghysondeb ail gam.
Cam 5: gwirio'r gwasanaeth, nid y gystrawen
Gwiriwch wrthrychau effeithiol y targed yn gyntaf, yna'r gymdeithas a dderbyniwyd, yna llif cymhwysiad go iawn a'i ateb. Mae nodi gorchymyn heb wall yn profi cystrawen a dim arall. Mae twnnel sy'n codi ac nad yw'n cario traffig fel arfer yn golygu bod yr ystodau gwarchodedig neu'r llwybr dychwelyd yn anghytuno â'r ochr arall, sy'n broblem rhes gofynion yn hytrach na phroblem gorchymyn. Cymharwch yr ystodau gwarchodedig ar y ddwy ochr cyn i chi gyffwrdd â'r map cripto eto.
Cofnodwch beth a wiriwyd gennych, gyda pha gyfeiriadau, o ba ochr. Mae'r cofnod hwnnw'n troi honiad amwys bod y VPN i fyny yn rhywbeth y gall y gweinyddwr arall ei wirio'n annibynnol.
Beth i'w ddychwelyd
Anfonwch y matrics gofynion, crynodeb o'r cyfluniad targed a'r canlyniadau gwirio. Nodwch yn benodol pa osodiadau ffynhonnell na chludwyd gennych a pham. Mae'r rhestr honno'n fwy defnyddiol na'r cyfluniad cyfieithiedig, oherwydd dyna lle bydd yr anghytundeb nesaf yn dechrau.
Cadwch y testun ffynhonnell gyda'r tocyn hefyd. Mae'n dogfennu'r hyn a ofynnwyd amdano, tra bo'r matrics yn dogfennu'r hyn a gytunwyd.