Ŝanĝi IPsec-peer-adreson sur ASA sen rompi la tunelon
Translokigi peer-adreson tuŝas la kandidatan liston, la profilan kongruon, la suban reton kaj aktivajn sesiojn. Trapasu la kontrolliston laŭorde.
Ŝanĝo de peer-adreso aspektas kiel unu linio, sed kondutas kiel migrado. Tio, kio efektive moviĝas, estas aro de objektoj: la kandidata peer-listo sur la crypto map, la profilo aŭ la aŭtentiga mapado, kiu identigas la malproksiman flankon, la suba reto, kiu atingas ĝin, kaj la vivaj asocioj konstruitaj el la malnovaj valoroj. Traktu la redakton de la agordo kiel la lastan paŝon de tiu aro, ne la unuan.
1. Registru la nunan staton antaŭ ol tuŝi ion ajn
Komencu per la tuta kandidata listo por la koncerna crypto-map-ero, laŭorde, ne nur per la adreso, kiun vi pensas esti uzata. La ordo gravas, ĉar ĝi estas tio, kion la aparato efektive provas.
Kaptu ĝin per show run crypto map kaj legu la efikan eron per show crypto map, poste konservu ambaŭ elirojn apud la celata nova valoro. Notu ankaŭ, kiun peer ĉiu ekzistanta asocio elektis, dum vi estas tie.
Faru same por la sesia tavolo, uzante show vpn-sessiondb l2l kaj show crypto ipsec sa peer <old-address>. Tiuj du eliroj estas via bildo antaŭ la ŝanĝo, kiam iu demandos, kial tunelo falis je 02:10.
2. Pruvu, ke la nova peer estas atingebla sub la sama politiko
Pruvu atingeblon antaŭ ol plani la tranĉon. Ruli packet-tracer de la interna interfaco al la protektita reto de la nova peer montras, ĉu enkursigado, NAT-escepto kaj la alirpolitiko kongruas. Poste konfirmu la transportan vojon, ĉar IKE kaj IPsec bezonas UDP 500 kaj 4500 por pasi ajnan filtrilon inter la pordegoj. Sukcesa ping pruvas nenion el tio sole.
Se la suba reto bezonas itineron aŭ tradukan ŝanĝon, tio estas dua ŝanĝo kun propra risko. Kunigu ĝin en la sama fenestro aŭ planu ĝin aparte, sed decidu kiun, anstataŭ malkovri ĝin meze de la tranĉo.
3. Movu la profilan mapadon, ne nur la adreson
Elekti peer kaj elekti profilon estas malsamaj serĉoj. LAN-al-LAN-konekta profilo tenas ĝeneralajn atributojn kaj povas kongrui laŭ adreso, laŭ atestila identeco aŭ laŭ grupa nomo. Ŝanĝi la IP ne ŝanĝas, kiu profilo kongruas, kiam la profilo baziĝas sur atestila subjekto.
| Objekto | Sur kio ĝi estas ŝlosita | Kion tuŝas nova peer-adreso |
|---|---|---|
| Kandidata listo de la crypto map | Agorditaj peer-eroj kaj ilia ordo | Kien la ASA sendas siajn unuajn pakaĵojn |
| Konekta profilo | Adreso, atestila identeco aŭ grupo | Nur la laŭadresaj profiloj |
| Protektitaj prefiksoj | Lokaj kaj malproksimaj retaj objektoj | Nenio, se vi ankaŭ ne ŝanĝos ilin |
Konservu la akreditilan kontrakton sendifekta. Adresa ŝanĝo ne estas kialo malstreĉi identecajn kontrolojn, nek kialo glui specimenan pre-shared key en bileton.
4. Observu vivajn sesiojn dum ambaŭ kandidatoj ekzistas
Dum ambaŭ adresoj staras en la kandidata listo, decidu skribe, ĉu la malnova estas rezervo aŭ rubo. Agordo enhavanta ambaŭ validas, kaj ĝi pruvas nenion pri tio, kiu peer portis la lastan sesion.
Forviŝu malnoviĝintajn sekurecajn asociojn nur per la peer-limigita formo por via eldono, clear crypto ipsec sa peer <address>, kaj atendu, ke la trafitaj tuneloj denove intertraktos. Tutmonda restarigo faligas ĉiun sesion sur la aparato kaj ne estos pardonita dum labortempo.
Poste pasigu unu realan aplikaĵfluon de protektita gastiganto kaj konfirmu, ke la respondo revenas tra la celata finpunkto. show vpn-sessiondb l2l devus nomi la novan peer por tiu sesio, kaj la bajtoklaviloj devus moviĝi.
5. Fermu ĝin aŭ malfaru
Skribu la malfaron antaŭ la ŝanĝo: la malnova kandidata listo, la malnova profila mapado kaj la malnova suba ero. Tenadu sendependan administran vojon al la ASA, ĉar peer-adresa redakto, kiu ankaŭ kostas al vi aliron, estas longa vespero. Forigu la malnoviĝintan peer kaj la akreditilojn nur post akcepto kaj post kiam la rezerva decido estas registrita. Konfirmu ankaŭ, ke la alirpolitiko sur la protektitaj retoj ne drivis.
La migrado finiĝas, kiam la celata peer aŭtentikiĝas kaj portas la postulatan servon sub la konservita politiko. Nova adreso en la kuranta agordo estas pruvo de tajpado, ne de sukceso.