IPsec-peeri aadressi muutmine ASA-l ilma tunnelit katki tegemata
Peeri aadressi liigutamine puudutab kandidaatide nimekirja, profiili vastendust, alusvõrku ja aktiivseid sessioone. Käige kontrollnimekiri järjekorras läbi.
Peeri aadressi muutmine näeb välja nagu üks rida, kuid käitub nagu migratsioon. Tegelikult liigub hulk objekte: crypto mapi kandidaatide nimekiri, profiil või autentimise vastendus, mis tuvastab kaugema poole, alusvõrk, mis sinna jõuab, ja vanadest väärtustest ehitatud aktiivsed assotsiatsioonid. Käsitlege konfiguratsiooni muutmist selle hulga viimase sammuna, mitte esimesena.
1. Kirjutage praegune olek üles enne, kui millegi puutute
Alustage asjaomase crypto-mapi kirje täielikust kandidaatide nimekirjast, järjekorras, mitte ainult aadressist, mis teie arvates kasutusel on. Järjekord on oluline, sest just seda seade tegelikult proovib.
Jäädvustage see käsuga show run crypto map ja lugege kehtivat kirjet käsuga show crypto map, seejärel salvestage mõlemad väljundid kavandatud uue väärtuse kõrvale. Märkige ka, millise peeri iga olemasolev assotsiatsioon valis, kuni te seal olete.
Tehke sama sessioonikihiga, kasutades show vpn-sessiondb l2l ja show crypto ipsec sa peer <old-address>. Need kaks väljundit on teie enne-pilt, kui keegi küsib, miks tunnel kell 02:10 maha kukkus.
2. Tõestage, et uus peer on sama poliitika all kättesaadav
Tõestage kättesaadavus enne lülituse planeerimist. packet-tracer käivitamine sisemisest liidesest uue peeri kaitstud võrgu suunas näitab, kas marsruutimine, NAT-i erand ja juurdepääsupoliitika on kooskõlas. Seejärel kinnitage transporditee, sest IKE ja IPsec vajavad UDP 500 ja 4500, et läbida mis tahes filtrit lüüside vahel. Õnnestunud ping ei tõesta sellest üksi midagi.
Kui alusvõrk vajab marsruuti või tõlke muutust, on see teine muudatus oma riskiga. Koondage see samasse aknasse või planeerige eraldi, kuid otsustage, milline, selle asemel et see lülituse keskel avastada.
3. Liigutage profiili vastendust, mitte ainult aadressi
Peeri valik ja profiili valik on erinevad otsingud. LAN-to-LAN ühenduse profiil hoiab üldisi atribuute ja võib sobida aadressi, sertifikaadi identiteedi või rühma nime järgi. IP muutmine ei muuda seda, milline profiil sobib, kui profiil põhineb sertifikaadi subjektil.
| Objekt | Mille järgi see on võtmestatud | Mida uus peeri aadress puudutab |
|---|---|---|
| Crypto mapi kandidaatide nimekiri | Konfigureeritud peeri kirjed ja nende järjekord | Kuhu ASA oma esimesed paketid saadab |
| Ühenduse profiil | Aadress, sertifikaadi identiteet või rühm | Ainult aadressi järgi võtmestatud profiilid |
| Kaitstud prefiksid | Kohalikud ja kaugvõrgu objektid | Mitte midagi, kui te neid ka ei muuda |
Hoidke volituste leping puutumatuna. Aadressi muutmine ei ole põhjus identiteedikontrolli lõdvendada ega põhjus kleepida näidis pre-shared key piletisse.
4. Jälgige aktiivseid sessioone, kuni mõlemad kandidaadid on olemas
Kuni mõlemad aadressid on kandidaatide nimekirjas, otsustage kirjalikult, kas vana on varuvariant või praht. Mõlemat sisaldav konfiguratsioon on kehtiv ja ei tõesta midagi selle kohta, milline peer viimast sessiooni kandis.
Kustutage aegunud turvaassotsiatsioonid ainult teie versiooni peer-põhises vormis, clear crypto ipsec sa peer <address>, ja oodake, et mõjutatud tunnelid uuesti läbi räägivad. Globaalne lähtestamine viskab maha iga sessiooni seadmes ja seda ei andestata tööajal.
Seejärel laske üks tõeline rakendusevoog kaitstud hostist läbi ja kinnitage, et vastus tuleb tagasi kavandatud lõpp-punkti kaudu. show vpn-sessiondb l2l peaks selle sessiooni jaoks nimetama uue peeri ja baidiloendurid peaksid liikuma.
5. Lõpetage see või pöörake tagasi
Kirjutage tagasipööramine enne muudatust: vana kandidaatide nimekiri, vana profiili vastendus ja vana alusvõrgu kirje. Hoidke ASA juurde sõltumatu haldustee, sest peeri aadressi muudatus, mis võtab lisaks juurdepääsu, on pikk õhtu. Eemaldage vananenud peer ja volitused alles pärast vastuvõttu ja pärast varuotsuse kirjapanekut. Kinnitage ka, et kaitstud võrkude juurdepääsupoliitika ei ole triivinud.
Migratsioon on valmis, kui kavandatud peer autendib end ja kannab säilitatud poliitika all nõutud teenust. Uus aadress jooksevas konfiguratsioonis on tõestus tippimisest, mitte edust.