Μετάβαση VPN από IOS σε ASA: μεταφράστε τη συμφωνία, όχι τις εντολές

Μια διαμόρφωση IOS που φτάνει ως αναφορά για μετάβαση σε ASA περιγράφει μια συμφωνία τυλιγμένη στη σύνταξη μιας πλατφόρμας. Οι διευθύνσεις ομοτίμων, οι ταυτότητες και οι προστατευμένες περιοχές είναι η συμφωνία. Ο δακτύλιος κλειδιών, το προφίλ και η αλυσίδα κρυπτογραφικών χαρτών είναι ο τρόπος με τον οποίο το IOS την εκφράζει, ενώ το ASA εκφράζει την ίδια πρόθεση μέσω ομάδων σήραγγας και των χαρακτηριστικών τους. Η αντιγραφή του δεύτερου μέρους δεν λειτουργεί ποτέ, και η αντιγραφή μόνο του πρώτου αφήνει τη δουλειά μισή.

Περάστε τα πέντε βήματα παρακάτω με τη σειρά και σταματήστε όπου οι δύο πλατφόρμες περιγράφουν διαφορετικά πράγματα και όχι διαφορετικές λέξεις.

Βήμα 1: χωρίστε τη συμφωνία από τη σύνταξη

Γράψτε την παράδοση ως απαιτήσεις στις οποίες συμφωνούν και οι δύο διαχειριστές. Τέσσερις γραμμές καλύπτουν σχεδόν τα πάντα: πού βρίσκεται ο ομότιμος και ποια πλευρά ξεκινά, πώς κάθε πλευρά αποδεικνύει την ταυτότητά της, ποια προστασία είναι αποδεκτή και ποιες εφαρμογές πρέπει να επιβιώσουν μέσα από τη σήραγγα. Καμία από αυτές τις γραμμές δεν αναφέρει εντολή.

Κρατήστε το αρχικό κείμενο ως απόδειξη και όχι ως οδηγίες. Μια γραμμή που υπάρχει στη μία πλατφόρμα και όχι στην άλλη είναι διαφορά σύνταξης, μέχρι να ελέγξετε αν η ίδια απαίτηση μπορεί να ικανοποιηθεί με άλλο τρόπο.

Βήμα 2: ονομάστε τα αντικείμενα σε κάθε πλατφόρμα

Στο IOS XE ένας δακτύλιος κλειδιών IKEv2 τροφοδοτεί ένα προφίλ IKEv2, και αυτό το προφίλ συνδέεται μέσω κρυπτογραφικού χάρτη ή προφίλ IPsec. Στο ASA μια ομάδα σήραγγας κρατά το προφίλ σύνδεσης και τα χαρακτηριστικά IPsec του, και ο κρυπτογραφικός χάρτης δείχνει σε αυτήν, όπως περιγράφει ο οδηγός προφίλ σύνδεσης αυτό. Πρόκειται για διαφορετικά γραφήματα αντικειμένων με διαφορετική κληρονομικότητα, γι' αυτό η αντιστοίχιση γραμμή προς γραμμή δίνει διαμόρφωση που αναλύεται και δεν συνδέεται.

Χτίστε τα αντικείμενα προορισμού από τις γραμμές απαιτήσεων και όχι από τις γραμμές πηγής. Αν οι γραμμές είναι πλήρεις, η διαμόρφωση προορισμού είναι σχεδιαστική απόφαση. Αν δεν είναι, καμία ποσότητα μετάφρασης εντολών δεν θα παράσχει την πρόθεση που λείπει.

Βήμα 3: μεταφέρετε ταυτότητα, όχι μόνο διευθύνσεις

Η ταυτότητα είναι το μέρος που σπάει σιωπηλά. Ένας ομότιμος που πιστοποιείται με διεύθυνση συμπεριφέρεται διαφορετικά από έναν που πιστοποιείται με υποκείμενο πιστοποιητικού ή FQDN, και οι δύο πλατφόρμες καταγράφουν αυτή την προσδοκία σε διαφορετικά σημεία. Διατηρήστε την προβλεπόμενη ταυτότητα και την αλυσίδα εμπιστοσύνης αντί να αντικαταστήσετε ένα κοινόχρηστο μυστικό επειδή είναι ευκολότερο να δοκιμαστεί.

Κρατήστε το προκοινοποιημένο μυστικό έξω από σημειώσεις σύγκρισης και δελτία. Καταγράψτε ποιος το κατέχει και πώς κινείται μέσω εγκεκριμένου καναλιού, και θυμηθείτε ότι ένα σύμβολο κράτησης θέσης από παράδειγμα τεκμηρίωσης δεν είναι τα διαπιστευτήρια του πελάτη.

Βήμα 4: συμφωνήστε την προστασία πριν από τη μετάβαση

Μην μεταφέρετε παλιές κρυπτογραφικές ρυθμίσεις επειδή εμφανίζονται στο παρεχόμενο κείμενο. Συμφωνήστε μια τομή συνόλων που υποστηρίζουν τώρα και οι δύο αναπτυγμένοι ομότιμοι, και επιβεβαιώστε την με τον άλλο διαχειριστή πριν από το παράθυρο αλλαγής. Αν αυτή η τομή διαφέρει από αυτό που περιμένει ο υπάρχων ομότιμος, πρόκειται για συντονισμένη αλλαγή και όχι για τοπική επεξεργασία.

Γράψτε το συμφωνημένο σύνολο. Δύο διαχειριστές με διαφορετικές αναμνήσεις από ένα τηλεφώνημα είναι ο τρόπος με τον οποίο μια μετάβαση παράγει αναντιστοιχία δεύτερης φάσης.

Βήμα 5: επαληθεύστε την υπηρεσία, όχι τη σύνταξη

Ελέγξτε πρώτα τα ενεργά αντικείμενα του προορισμού, μετά τη συσχέτιση που έγινε δεκτή, μετά μια πραγματική ροή εφαρμογής και την απάντησή της. Η εισαγωγή μιας εντολής χωρίς σφάλμα αποδεικνύει τη σύνταξη και τίποτε άλλο. Μια σήραγγα που ανεβαίνει και δεν μεταφέρει κίνηση συνήθως σημαίνει ότι οι προστατευμένες περιοχές ή η διαδρομή επιστροφής διαφωνούν με την άλλη πλευρά, που είναι πρόβλημα γραμμής απαιτήσεων και όχι εντολής. Συγκρίνετε τις προστατευμένες περιοχές και στις δύο πλευρές πριν αγγίξετε ξανά τον κρυπτογραφικό χάρτη.

Καταγράψτε τι επαληθεύσατε, με ποιες διευθύνσεις και από ποια πλευρά. Αυτή η καταγραφή μετατρέπει έναν ασαφή ισχυρισμό ότι το VPN είναι ενεργό σε κάτι που ο άλλος διαχειριστής μπορεί να ελέγξει ανεξάρτητα.

Τι να επιστρέψετε

Στείλτε τον πίνακα απαιτήσεων, μια σύνοψη της διαμόρφωσης προορισμού και τα αποτελέσματα επαλήθευσης. Δηλώστε ρητά ποιες ρυθμίσεις πηγής δεν μεταφέρατε και γιατί. Αυτή η λίστα είναι πιο χρήσιμη από τη μεταφρασμένη διαμόρφωση, γιατί εκεί θα ξεκινήσει η επόμενη διαφωνία.

Κρατήστε και το κείμενο πηγής μαζί με το δελτίο. Τεκμηριώνει τι ζητήθηκε, ενώ ο πίνακας τεκμηριώνει τι συμφωνήθηκε.