Skift IPsec-peer-adresse på en ASA uden at bryde tunnelen

En ændring af peer-adressen ligner én linje og opfører sig som en migrering. Det, der faktisk flytter sig, er et sæt objekter: kandidat-peer-listen på crypto map, profilen eller autentificeringsmappingen, der identificerer den fjerne ende, underlaget, der når den, og de aktive associationer bygget på de gamle værdier. Behandl konfigurationsændringen som det sidste skridt i det sæt, ikke det første.

1. Registrér den nuværende tilstand, før du rører noget

Start med hele kandidatlisten for det relevante crypto-map-punkt, i rækkefølge, ikke bare den adresse, du tror er i brug. Rækkefølgen betyder noget, fordi det er den, enheden faktisk prøver.

Fang den med show run crypto map og læs den effektive post med show crypto map, og gem begge outputs ved siden af den tilsigtede nye værdi. Notér også, hvilken peer hver eksisterende association valgte, mens du er der.

Gør det samme for sessionslaget med show vpn-sessiondb l2l og show crypto ipsec sa peer <old-address>. De to outputs er dit før-billede, når nogen spørger, hvorfor en tunnel faldt kl. 02:10.

2. Bevis, at den nye peer kan nås under samme politik

Bevis rækkevidden, før du planlægger skiftet. En packet-tracer fra det indre interface mod den nye peers beskyttede netværk viser, om routing, NAT-fritagelse og adgangspolitikken er enige. Bekræft derefter transportvejen, for IKE og IPsec har brug for UDP 500 og 4500 for at passere et hvilket som helst filter mellem gatewayerne. En vellykket ping beviser intet af det i sig selv.

Hvis underlaget har brug for en rute eller en oversættelsesændring, er det en anden ændring med sin egen risiko. Slå den sammen med samme vindue, eller planlæg den separat, men beslut hvilken i stedet for at opdage det midt i skiftet.

3. Flyt profilens mapping, ikke kun adressen

Peer-valg og profil-valg er to forskellige opslag. En LAN-til-LAN-forbindelsesprofil rummer generelle attributter og kan matche på en adresse, en certifikatidentitet eller et gruppenavn. Ændring af IP'en ændrer ikke, hvilken profil der matcher, når profilen er nøglet på et certifikatsubjekt.

Hold credential-kontrakten intakt. En adresseændring er ikke grund til at lempe identitetskontroller, og ikke grund til at klistre en eksempel-pre-shared-key ind i en ticket.

4. Overvåg de aktive sessioner, mens begge kandidater findes

Mens begge adresser står på kandidatlisten, skal du skriftligt beslutte, om den gamle er fallback eller rester. En konfiguration med begge er gyldig og beviser intet om, hvilken peer der bar den sidste session.

Ryd kun forældede security associations med den peer-afgrænsede form for din version, clear crypto ipsec sa peer <address>, og forvent, at de berørte tunneler forhandler igen. En global nulstilling dropper hver session på apparatet og bliver ikke tilgivet i arbejdstiden.

Send derefter en rigtig applikationsstrøm fra en beskyttet host, og bekræft, at svaret kommer tilbage gennem det tilsigtede endepunkt. show vpn-sessiondb l2l bør navngive den nye peer for den session, og byte-tællerne bør bevæge sig.

5. Afslut det eller rul tilbage

Skriv rollbacken før ændringen: den gamle kandidatliste, den gamle profil-mapping og den gamle underlags-post. Hold en uafhængig administrationsvej til ASA'en, for en peer-adresseændring, der også koster dig adgang, er en lang aften. Fjern først den overflødige peer og de gamle credentials efter accept og efter den skriftlige fallback-beslutning. Bekræft også, at adgangspolitikken på de beskyttede netværk ikke har flyttet sig.

Migreringen er færdig, når den tilsigtede peer autentificerer og bærer den krævede tjeneste under den bevarede politik. En ny adresse i den kørende konfiguration er bevis på tastning, ikke på succes.