VPN-i migreerimine IOS-ilt ASA-le: tõlkige kokkulepe, mitte käsud
Krüptokaart ei ole ASA tunneligrupp. Millised kokkuleppe osad kanduvad üle, millised tuleb uuesti üles ehitada ja millised kontrollid tõestavad, et teenus töötab.
IOS-i konfiguratsioon, mis saabub ASA migratsiooni võrdlusalusena, kirjeldab kokkulepet, mis on pakitud ühe platvormi süntaksisse. Partneri aadressid, identiteedid ja kaitstud vahemikud on kokkulepe. Võtmerõngas, profiil ja krüptokaartide ahel on see, kuidas IOS seda väljendab, samas kui ASA väljendab sama kavatsust tunneligruppide ja nende atribuutide kaudu. Teise osa kopeerimine ei tööta kunagi ning ainult esimese kopeerimine jätab töö pooleli.
Minge allolevad viis sammu järjekorras läbi ja peatuge seal, kus kaks platvormi kirjeldavad erinevaid asju, mitte erinevaid sõnu.
Samm 1: eraldage kokkulepe süntaksist
Kirjutage üleandmine nõuetena, millega mõlemad administraatorid nõustuvad. Neli rida katavad peaaegu kõik: kus partner asub ja milline pool algatab, kuidas kumbki pool oma identiteeti tõestab, milline kaitse on vastuvõetav ja millised rakendused peavad tunnelist läbi minema. Ükski neist ridadest ei maini käsku.
Hoidke originaalteksti tõendina, mitte juhistena. Rida, mis on ühel platvormil olemas ja teisel mitte, on süntaksi erinevus seni, kuni olete kontrollinud, kas sama nõuet saab muul viisil täita.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Samm 2: nimetage objektid igal platvormil
IOS XE-s toidab IKEv2 võtmerõngas IKEv2 profiili ja see profiil kinnitatakse krüptokaardi või IPsec profiili kaudu. ASA-s hoiab tunneligrupp ühenduse profiili ja selle IPsec atribuute ning krüptokaart osutab sellele, nagu kirjeldab ühenduse profiili juhend. Need on erinevad objektigraafid erineva pärimisega, mistõttu rida-realt vastendamine annab konfiguratsiooni, mis parsitakse ja ei ühendu.
Ehitage sihtobjektid nõueteridadest, mitte lähtiridadest. Kui read on täielikud, on sihtkonfiguratsioon disainiotsus. Kui ei ole, ei anna ükski käsu tõlkimise kogus puuduvat kavatsust.
Samm 3: kandke identiteeti, mitte ainult aadresse
Identiteet on see osa, mis läheb vaikselt katki. Aadressi järgi autentiv partner käitub teisiti kui sertifikaadi subjekti või FQDN-i järgi autentiv, ja kaks platvormi registreerivad selle ootuse erinevates kohtades. Säilitage kavandatud identiteet ja usaldusahel, selle asemel et asendada jagatud saladus, sest seda on lihtsam testida.
Hoidke eeljagatud saladus võrdlusmärkmetest ja piletitest eemal. Kirjutage üles, kellele see kuulub ja kuidas see liigub heakskiidetud kanali kaudu, ning pidage meeles, et dokumentatsiooni näite kohatäide ei ole kliendi mandaat.
Samm 4: leppige kaitse kokku enne üleminekut
Ärge kandke vanu krüptograafilisi seadeid edasi ainult seetõttu, et need on esitatud tekstis. Leppige kokku nende komplektide ühisosa, mida mõlemad juurutatud partnerid praegu toetavad, ja kinnitage see teise administraatoriga enne muudatuste akent. Kui see ühisosa erineb sellest, mida olemasolev partner eeldab, on tegemist koordineeritud muudatusega, mitte kohaliku redigeerimisega.
Kirjutage kokkulepitud komplekt üles. Kaks administraatorit, kelle mälestused telefonikõnest erinevad, on põhjus, miks üleminek tekitab teise faasi mittevastavuse.
Samm 5: kontrollige teenust, mitte süntaksit
Kontrollige kõigepealt sihtkoha kehtivaid objekte, seejärel aktsepteeritud assotsiatsiooni, seejärel tegelikku rakendusevoogu ja selle vastust. Käsu vigadeta sisestamine tõestab süntaksit ja mitte midagi muud. Tunnel, mis tõuseb püsti ja ei kanna liiklust, tähendab tavaliselt seda, et kaitstud vahemikud või tagasitee ei ühti teise poolega, mis on nõuerea, mitte käsu probleem. Võrrelge kaitstud vahemikke mõlemal poolel, enne kui krüptokaarti uuesti puudutate.
Registreerige, mida kontrollisite, milliste aadressidega ja milliselt poolelt. See kirje muudab ebamäärase väite, et VPN on üleval, millekski, mida teine administraator saab iseseisvalt kontrollida.
Mida tagasi anda
Saatke nõuete maatriks, sihtkonfiguratsiooni kokkuvõte ja kontrollitulemused. Öelge selgesõnaliselt, milliseid lähteseadeid te ei kandnud edasi ja miks. See nimekiri on kasulikum kui tõlgitud konfiguratsioon, sest just sealt algab järgmine lahkarvamus.
Hoidke ka lähtetekst pileti juures. See dokumenteerib, mida küsiti, samas kui maatriks dokumenteerib, milles kokku lepiti.