Αλλαγή διεύθυνσης peer IPsec σε ASA χωρίς να σπάσει η σήραγγα
Η μετακίνηση μιας διεύθυνσης peer αγγίζει τη λίστα υποψηφίων, την αντιστοίχιση προφίλ, το underlay και τις ενεργές συνεδρίες. Δουλέψτε τη λίστα ελέγχου με σειρά.
Η αλλαγή διεύθυνσης peer μοιάζει με μία γραμμή και συμπεριφέρεται σαν μετεγκατάσταση. Αυτό που μετακινείται στην πραγματικότητα είναι ένα σύνολο αντικειμένων: η λίστα υποψήφιων peers στο crypto map, το προφίλ ή η αντιστοίχιση πιστοποίησης που αναγνωρίζει το απομακρυσμένο άκρο, το underlay που φτάνει σε αυτό, και οι ενεργές συσχετίσεις που χτίστηκαν από τις παλιές τιμές. Αντιμετωπίστε την επεξεργασία της διαμόρφωσης ως το τελευταίο βήμα αυτού του συνόλου, όχι το πρώτο.
1. Καταγράψτε την τρέχουσα κατάσταση πριν αγγίξετε οτιδήποτε
Ξεκινήστε με ολόκληρη τη λίστα υποψηφίων για τη σχετική καταχώριση crypto map, με σειρά, όχι μόνο με τη διεύθυνση που νομίζετε ότι χρησιμοποιείται. Η σειρά έχει σημασία γιατί είναι αυτό που δοκιμάζει πραγματικά η συσκευή.
Καταγράψτε την με show run crypto map και διαβάστε την ενεργή καταχώριση με show crypto map, και μετά αποθηκεύστε και τις δύο εξόδους δίπλα στη νέα τιμή που σχεδιάζετε. Σημειώστε και ποιον peer επέλεξε κάθε υπάρχουσα συσχέτιση, όσο είστε εκεί.
Κάντε το ίδιο για το επίπεδο συνεδριών, με show vpn-sessiondb l2l και show crypto ipsec sa peer <old-address>. Αυτές οι δύο έξοδοι είναι η εικόνα πριν την αλλαγή όταν κάποιος ρωτήσει γιατί έπεσε μια σήραγγα στις 02:10.
2. Αποδείξτε ότι ο νέος peer είναι προσβάσιμος με την ίδια πολιτική
Αποδείξτε την προσβασιμότητα πριν προγραμματίσετε την αλλαγή. Μια εκτέλεση packet-tracer από την εσωτερική διεπαφή προς το προστατευμένο δίκτυο του νέου peer δείχνει αν η δρομολόγηση, η εξαίρεση NAT και η πολιτική πρόσβασης συμφωνούν. Μετά επιβεβαιώστε τη διαδρομή μεταφοράς, γιατί το IKE και το IPsec χρειάζονται UDP 500 και 4500 για να περάσουν οποιοδήποτε φίλτρο ανάμεσα στις πύλες. Ένα επιτυχημένο ping δεν αποδεικνύει τίποτα από αυτά μόνο του.
Αν το underlay χρειάζεται δρομολόγηση ή αλλαγή μετάφρασης, αυτή είναι μια δεύτερη αλλαγή με δικό της ρίσκο. Εντάξτε την στο ίδιο παράθυρο ή προγραμματίστε την χωριστά, αλλά αποφασίστε ποια, αντί να το ανακαλύψετε στη μέση της αλλαγής.
3. Μετακινήστε την αντιστοίχιση προφίλ, όχι μόνο τη διεύθυνση
Η επιλογή peer και η επιλογή προφίλ είναι διαφορετικές αναζητήσεις. Ένα προφίλ σύνδεσης LAN-to-LAN κρατά γενικά χαρακτηριστικά και μπορεί να ταιριάζει με διεύθυνση, ταυτότητα πιστοποιητικού ή όνομα ομάδας. Η αλλαγή της IP δεν αλλάζει ποιο προφίλ ταιριάζει όταν το προφίλ βασίζεται σε υποκείμενο πιστοποιητικού.
| Αντικείμενο | Σε τι κλειδώνει | Τι αγγίζει μια νέα διεύθυνση peer |
|---|---|---|
| Λίστα υποψηφίων του crypto map | Διαμορφωμένες καταχωρίσεις peer και η σειρά τους | Πού στέλνει το ASA τα αρχικά του πακέτα |
| Προφίλ σύνδεσης | Διεύθυνση, ταυτότητα πιστοποιητικού ή ομάδα | Μόνο τα προφίλ που κλειδώνουν σε διεύθυνση |
| Προστατευμένα προθέματα | Αντικείμενα τοπικού και απομακρυσμένου δικτύου | Τίποτα, εκτός αν τα αλλάξετε κι εσείς |
Κρατήστε το συμβόλαιο διαπιστευτηρίων άθικτο. Μια αλλαγή διεύθυνσης δεν είναι λόγος να χαλαρώσετε τους ελέγχους ταυτότητας και δεν είναι λόγος να κολλήσετε ένα δείγμα pre-shared key σε ένα δελτίο.
4. Παρακολουθήστε τις ζωντανές συνεδρίες όσο υπάρχουν και οι δύο υποψήφιοι
Όσο και οι δύο διευθύνσεις βρίσκονται στη λίστα υποψηφίων, αποφασίστε γραπτά αν η παλιά είναι εφεδρεία ή υπολείμματα. Μια διαμόρφωση που περιέχει και τις δύο είναι έγκυρη και δεν αποδεικνύει τίποτα για το ποιος peer μετέφερε την τελευταία συνεδρία.
Καθαρίστε τις παρωχημένες συσχετίσεις ασφαλείας μόνο με τη μορφή που περιορίζεται στον peer για την έκδοσή σας, clear crypto ipsec sa peer <address>, και περιμένετε οι επηρεαζόμενες σήραγγες να διαπραγματευτούν ξανά. Μια καθολική επαναφορά ρίχνει κάθε συνεδρία στη συσκευή και δεν θα συγχωρεθεί σε εργάσιμες ώρες.
Μετά περάστε μία πραγματική ροή εφαρμογής από έναν προστατευμένο host και επιβεβαιώστε ότι η απάντηση επιστρέφει από το προβλεπόμενο τελικό σημείο. show vpn-sessiondb l2l θα πρέπει να ονομάζει τον νέο peer για αυτή τη συνεδρία, και οι μετρητές byte θα πρέπει να κινούνται.
5. Κλείστε το ή κάντε επαναφορά
Γράψτε την επαναφορά πριν από την αλλαγή: την παλιά λίστα υποψηφίων, την παλιά αντιστοίχιση προφίλ και την παλιά καταχώριση underlay. Κρατήστε μια ανεξάρτητη διαδρομή διαχείρισης προς το ASA, γιατί μια επεξεργασία διεύθυνσης peer που σας κοστίζει και την πρόσβαση είναι ένα μεγάλο βράδυ. Αφαιρέστε τον παρωχημένο peer και τα διαπιστευτήρια μόνο μετά την αποδοχή και αφού καταγραφεί η απόφαση εφεδρείας. Επιβεβαιώστε επίσης ότι η πολιτική πρόσβασης στα προστατευμένα δίκτυα δεν μετατοπίστηκε.
Η μετεγκατάσταση ολοκληρώνεται όταν ο προβλεπόμενος peer πιστοποιείται και μεταφέρει την απαιτούμενη υπηρεσία υπό τη διατηρημένη πολιτική. Μια νέα διεύθυνση στη διαμόρφωση λειτουργίας είναι απόδειξη πληκτρολόγησης, όχι επιτυχίας.