IPsec-Peer-Adresse auf einer ASA ändern, ohne den Tunnel zu brechen
Der Umzug einer Peer-Adresse berührt die Kandidatenliste, die Profilzuordnung, das Underlay und laufende Sitzungen. Arbeiten Sie die Checkliste der Reihe nach ab.
Eine Änderung der Peer-Adresse sieht nach einer Zeile aus und verhält sich wie eine Migration. Tatsächlich bewegt sich eine Gruppe von Objekten: die Kandidaten-Peer-Liste auf der Crypto Map, das Profil- oder Authentifizierungs-Mapping, das die Gegenseite identifiziert, das Underlay, das sie erreicht, und die laufenden Assoziationen, die aus den alten Werten aufgebaut sind. Behandeln Sie die Konfigurationsänderung als letzten Schritt dieser Gruppe, nicht als ersten.
1. Den aktuellen Zustand festhalten, bevor Sie etwas anfassen
Beginnen Sie mit der vollständigen Kandidatenliste des betreffenden Crypto-Map-Eintrags, und zwar in der Reihenfolge, nicht nur mit der Adresse, die Ihrer Meinung nach verwendet wird. Die Reihenfolge zählt, weil das Gerät genau sie tatsächlich durchprobiert.
Erfassen Sie sie mit show run crypto map und lesen Sie den wirksamen Eintrag mit show crypto map, und legen Sie beide Ausgaben neben dem geplanten neuen Wert ab. Notieren Sie dabei, welchen Peer jede bestehende Assoziation gewählt hat.
Dasselbe für die Sitzungsebene, mit show vpn-sessiondb l2l und show crypto ipsec sa peer <old-address>. Diese beiden Ausgaben sind Ihr Vorher-Bild, wenn jemand fragt, warum um 02:10 ein Tunnel abgefallen ist.
2. Nachweisen, dass der neue Peer unter derselben Policy erreichbar ist
Weisen Sie die Erreichbarkeit nach, bevor Sie den Schnitt ansetzen. Ein packet-tracer von der Inside-Schnittstelle zum geschützten Netz des neuen Peers zeigt, ob Routing, NAT-Ausnahme und Zugriffs-Policy übereinstimmen. Bestätigen Sie dann den Transportweg, denn IKE und IPsec brauchen UDP 500 und 4500, um jeden Filter zwischen den Gateways zu passieren. Ein erfolgreicher Ping beweist davon für sich genommen nichts.
Braucht das Underlay eine Route oder eine Übersetzungsänderung, ist das eine zweite Änderung mit eigenem Risiko. Bündeln Sie sie im selben Fenster oder planen Sie sie separat, aber entscheiden Sie sich, statt es mitten im Schnitt zu entdecken.
3. Das Profil-Mapping verschieben, nicht nur die Adresse
Peer-Auswahl und Profil-Auswahl sind verschiedene Nachschlagevorgänge. Ein LAN-zu-LAN-Verbindungsprofil enthält allgemeine Attribute und kann auf eine Adresse, eine Zertifikatsidentität oder einen Gruppennamen passen. Das Ändern der IP ändert nicht, welches Profil passt, wenn das Profil auf einem Zertifikats-Subject beruht.
| Objekt | Worauf es geschlüsselt ist | Was eine neue Peer-Adresse berührt |
|---|---|---|
| Kandidatenliste der Crypto Map | Konfigurierte Peer-Einträge und ihre Reihenfolge | Wohin die ASA ihre ersten Pakete schickt |
| Verbindungsprofil | Adresse, Zertifikatsidentität oder Gruppe | Nur die adressgeschlüsselten Profile |
| Geschützte Präfixe | Lokale und entfernte Netzwerkobjekte | Nichts, außer Sie ändern sie ebenfalls |
Halten Sie den Credential-Vertrag intakt. Eine Adressänderung ist kein Grund, Identitätsprüfungen zu lockern, und kein Grund, einen Beispiel-Pre-Shared-Key in ein Ticket zu kopieren.
4. Laufende Sitzungen beobachten, solange beide Kandidaten existieren
Solange beide Adressen in der Kandidatenliste stehen, entscheiden Sie schriftlich, ob die alte ein Fallback oder Altlast ist. Eine Konfiguration mit beiden ist gültig und beweist nichts darüber, welcher Peer die letzte Sitzung getragen hat.
Löschen Sie veraltete Security Associations nur mit der peer-bezogenen Form Ihrer Version, clear crypto ipsec sa peer <address>, und erwarten Sie, dass die betroffenen Tunnel neu verhandeln. Ein globaler Reset wirft jede Sitzung auf dem Gerät ab und wird zu Geschäftszeiten nicht verziehen.
Lassen Sie dann einen echten Anwendungsfluss von einem geschützten Host durchlaufen und bestätigen Sie, dass die Antwort über den vorgesehenen Endpunkt zurückkommt. show vpn-sessiondb l2l sollte den neuen Peer für diese Sitzung nennen, und die Byte-Zähler sollten sich bewegen.
5. Abschließen oder zurückrollen
Schreiben Sie den Rollback vor der Änderung: die alte Kandidatenliste, das alte Profil-Mapping und der alte Underlay-Eintrag. Halten Sie einen unabhängigen Managementpfad zur ASA, denn eine Peer-Adress-Änderung, die zusätzlich den Zugang kostet, wird ein langer Abend. Entfernen Sie den überholten Peer und die Credentials erst nach der Abnahme und nachdem die Fallback-Entscheidung dokumentiert ist. Bestätigen Sie außerdem, dass die Zugriffs-Policy auf den geschützten Netzen nicht gedriftet ist.
Die Migration ist fertig, wenn der vorgesehene Peer sich authentifiziert und den geforderten Dienst unter der erhaltenen Policy trägt. Eine neue Adresse in der laufenden Konfiguration ist ein Beleg fürs Tippen, nicht für Erfolg.