Migrado de VPN de IOS al ASA: traduku la interkonsenton, ne la komandojn
Kriptomapo ne estas ASA-tunelgrupo. Kiuj partoj de la interkonsento transiĝas, kiujn oni devas rekonstrui, kaj la kontroloj kiuj pruvas, ke la servo funkcias.
IOS-agordo, kiu alvenas kiel referenco por migrado al ASA, priskribas interkonsenton envolitan en la sintakso de unu platformo. Adresoj de partneroj, identecoj kaj protektitaj intervaloj estas la interkonsento. La ŝlosilringo, la profilo kaj la ĉeno de kriptomapoj estas kiel IOS esprimas ĝin, dum ASA esprimas la saman intencon per tunelgrupoj kaj iliaj atributoj. Kopii la duan parton neniam funkcias, kaj kopii nur la unuan lasas la laboron duonfarita.
Trairu la kvin paŝojn sube laŭorde, kaj haltu tie, kie la du platformoj priskribas malsamajn aferojn anstataŭ malsamajn vortojn.
Paŝo 1: apartigu la interkonsenton disde la sintakso
Skribu la transdonon kiel postulojn, pri kiuj konsentas ambaŭ administrantoj. Kvar vicoj kovras preskaŭ ĉion: kie estas la partnero kaj kiu flanko iniciatas, kiel ĉiu flanko pruvas sian identecon, kiu protekto estas akceptebla, kaj kiuj aplikaĵoj devas pluvivi tra la tunelo. Neniu el tiuj vicoj mencias komandon.
Konservu la originalan tekston kiel pruvon, ne kiel instrukciojn. Linio, kiu ekzistas en unu platformo kaj ne en la alia, estas sintaksa diferenco ĝis vi kontrolos, ĉu la sama postulo povas esti plenumita alimaniere.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Paŝo 2: nomu la objektojn en ĉiu platformo
En IOS XE ŝlosilringo IKEv2 nutras IKEv2-profilon, kaj tiu profilo estas alkroĉita per kriptomapo aŭ IPsec-profilo. En ASA tunelgrupo tenas la konektaĵprofilo kaj ĝiajn IPsec-atributojn, kaj la kriptomapo montras al ĝi, kiel priskribas la gvidilo pri la konektaĵprofilo tion. Temas pri malsamaj objektgrafeoj kun malsama heredado, kaj tial vic-al-vica mapado donas agordon, kiu analiziĝas kaj ne konektiĝas.
Konstruu la celajn objektojn el la postulvicoj, ne el la fontvicoj. Se la vicoj estas kompletaj, la cela agordo estas dizajna decido. Se ili ne estas, neniom da komanda tradukado provizos la mankantan intencon.
Paŝo 3: transportu identecon, ne nur adresojn
Identeco estas la parto, kiu rompiĝas silente. Partnero, kiu aŭtentikigas per adreso, kondutas alie ol tiu, kiu aŭtentikigas per atestila subjekto aŭ FQDN, kaj la du platformoj registras tiun atendo en malsamaj lokoj. Konservu la celitan identecon kaj fidoĉenon anstataŭ anstataŭigi komunan sekreton ĉar pli facile testeblas.
Tenu la antaŭe dividitan sekreton for de komparaj notoj kaj biletoj. Notu, kiu posedas ĝin kaj kiel ĝi moviĝas tra aprobita kanalo, kaj memoru, ke anstataŭigilo el dokumentara ekzemplo ne estas la akreditaĵo de la kliento.
Paŝo 4: interkonsentu la protekton antaŭ la transŝalto
Ne transportu malnovajn kriptografiajn agordojn ĉar ili aperas en la liverita teksto. Interkonsentu komunan aron da suitoj, kiujn ambaŭ deplojitaj partneroj nuntempe subtenas, kaj konfirmu ĝin kun la alia administranto antaŭ la ŝanĝfenestro. Se tiu komuna aro diferencas de tio, kion atendas la ekzistanta partnero, temas pri kunordigita ŝanĝo, ne pri loka redakto.
Skribu la interkonsentitan aron. Du administrantoj kun malsamaj memoraĵoj pri telefona alvoko estas kiel transŝalto produktas miskongruon de dua fazo.
Paŝo 5: kontrolu la servon, ne la sintakson
Kontrolu unue la efektivajn objektojn de la celo, poste la akceptitan asociiĝon, poste realan aplikaĵfluon kaj ĝian respondon. Enigi komandon sen eraro pruvas la sintakson kaj nenion alian. Tunelo, kiu ekfunkcias kaj portas nenian trafikon, kutime signifas, ke la protektitaj intervaloj aŭ la revena vojo malkongruas kun la alia flanko, kio estas problemo de postulvico, ne de komando. Komparu la protektitajn intervalojn sur ambaŭ flankoj antaŭ ol vi denove tuŝos la kriptomapon.
Registru, kion vi kontrolis, kun kiuj adresoj, de kiu flanko. Tiu registro transformas malprecizan aserton, ke la VPN funkcias, en ion, kion la alia administranto povas sendepende kontroli.
Kion redoni
Sendu la postulmatricon, resumon de la cela agordo kaj la kontrolrezultojn. Klare indiku, kiujn fontajn agordojn vi ne transportis kaj kial. Tiu listo pli utilas ol la tradukita agordo, ĉar ĝuste tie komenciĝos la sekva malkonsento.
Konservu ankaŭ la fonttekston kun la bileto. Ĝi dokumentas, kio estis petita, dum la matrico dokumentas, kio estis interkonsentita.