IPsec peer helbidea ASA batean aldatzea tunela hautsi gabe
Peer helbide bat mugitzeak hautagai zerrenda, profilaren bat-etortzea, azpiko sarea eta sesio aktiboak ukitzen ditu. Egin kontrol zerrenda hurrenkeran.
Peer helbide baten aldaketa lerro bat dirudi, baina migrazio baten gisa jokatzen du. Benetan mugitzen dena objektu multzo bat da: crypto map-eko peer hautagaien zerrenda, urruneko muturra identifikatzen duen profila edo autentifikazio mapaketa, hura lortzen duen azpiko sarea, eta balio zaharretatik eraikitako asoziazio aktiboak. Konfigurazioaren aldaketa multzo horren azken pauso gisa hartu, ez lehena.
1. Erregistratu uneko egoera ezer ukitu aurretik
Hasi dagokion crypto-map sarreraren hautagai zerrenda osoarekin, ordenan, ez uste duzun erabiltzen ari den helbidearekin soilik. Ordena garrantzitsua da, gailuak benetan probatzen duena hori delako.
Hartu ezazu show run crypto map erabiliz eta irakurri sarrera eraginkorra show crypto map erabiliz, eta gorde bi irteerak aurreikusitako balio berriaren ondoan. Idatzi ere zein peer aukeratu zuen lehendik dagoen asoziazio bakoitzak, hor zauden bitartean.
Egin gauza bera sesio geruzarako, show vpn-sessiondb l2l eta show crypto ipsec sa peer <old-address> erabiliz. Bi irteera horiek zure aldaketaren aurreko irudia dira, norbaitek zergatik erori zen tunel bat 02:10etan galdetzen duenean.
2. Egiaztatu peer berria politika beraren pean irisgarria dela
Egiaztatu irisgarritasuna mozketa programatu aurretik. Barne interfazetik peer berriaren sare babestera packet-tracer exekutatzeak erakusten du bideratzea, NAT salbuespena eta sarbide politika bat datozen. Ondoren berretsi garraio bidea, IKE-k eta IPsec-ek UDP 500 eta 4500 behar dituztelako ate artean edozein iragazki zeharkatzeko. Ping arrakastatsu batek ez du horietako ezer frogatzen bere horretan.
Azpiko sareak ibilbide bat edo itzulpen aldaketa bat behar badu, arrisku propioa duen bigarren aldaketa da. Bildu leiho berean edo programatu bereizita, baina erabaki zein, mozketaren erdian aurkitu beharrean.
3. Mugitu profilaren mapaketa, ez soilik helbidea
Peer hautaketa eta profil hautaketa bilaketa desberdinak dira. LAN-to-LAN konexio profilak atributu orokorrak ditu eta helbide, ziurtagiri identitate edo talde izen baten arabera bat etor daiteke. IP-a aldatzeak ez du aldatzen zein profil datorren bat, profila ziurtagiri subjektu batean oinarritzen denean.
| Objektua | Zeren arabera gakotuta dagoen | Peer helbide berri batek zer ukitzen duen |
|---|---|---|
| Crypto map-eko hautagai zerrenda | Konfiguratutako peer sarrerak eta haien ordena | ASA-k bere lehen paketeak norantz bidaltzen dituen |
| Konexio profila | Helbidea, ziurtagiri identitatea edo taldea | Helbidearen arabera gakotutako profilak soilik |
| Prefijo babestuak | Sare lokal eta urruneko objektuak | Ezer ez, zuk ere aldatzen ez badituzu |
Mantendu kredentzialen kontratua osorik. Helbide aldaketa ez da identitate egiaztapenak lasaitzeko arrazoia, ezta pre-shared key eredugarri bat txartel batean itsasteko arrazoia ere.
4. Begiratu sesio aktiboak bi hautagaiak existitzen diren bitartean
Bi helbideak hautagai zerrendan dauden bitartean, erabaki idatziz zaharra erreserba edo hondar den. Biak dituen konfigurazioa baliozkoa da, eta ez du ezer frogatzen azken sesioa zein peer-ek eraman zuen.
Garbitu segurtasun asoziazio zaharkituak zure bertsioaren peer-era mugatutako formarekin soilik, clear crypto ipsec sa peer <address>, eta espero ezazu kaltetutako tunelak berriz negoziatzea. Berrezarpen globalak gailuko sesio guztiak botatzen ditu eta ez da barkatuko lan ordutegian.
Ondoren pasarazi aplikazio fluxu erreal bat host babestu batetik eta berretsi erantzuna aurreikusitako amaierako puntutik itzultzen dela. show vpn-sessiondb l2l -k peer berria izendatu beharko luke sesio horretarako, eta byte kontagailuek mugitu beharko lukete.
5. Itxi edo atzera egin
Idatzi atzera egitea aldaketaren aurretik: hautagai zerrenda zaharra, profil mapaketa zaharra eta azpiko sarearen sarrera zaharra. Mantendu ASA-rako kudeaketa bide independente bat, peer helbidearen aldaketak sarbidea ere kostatzen badizu gau luzea delako. Kendu peer zaharkitua eta kredentzialak onarpenaren ondoren eta erreserba erabakia erregistratu ondoren soilik. Berretsi ere sare babestuen sarbide politika ez dela desbideratu.
Migrazioa amaitzen da aurreikusitako peer-ak autentifikatzen duenean eta mantendutako politika pean behar den zerbitzua eramaten duenean. Exekuzio konfigurazioan helbide berri bat idaztearen froga da, ez arrakastarena.