VPN migrazioa IOSetik ASAra: itzuli akordioa, ez komandoak
Kripto mapa bat ez da ASA tunel-talde bat. Akordioaren zein zati transferitzen diren, zein berreraiki behar diren eta zerbitzuak funtzionatzen duela frogatzen duten egiaztapenak.
ASA migraziorako erreferentzia gisa iristen den IOS konfigurazio batek plataforma baten sintaxian bildutako akordio bat deskribatzen du. Pareen helbideak, identitateak eta babestutako tarteak akordioa dira. Gako-eraztunak, profilak eta kripto mapen kateak IOSek nola adierazten duen erakusten du, eta ASAk asmo bera tunel-taldeen eta haien atributuen bidez adierazten du. Bigarren zatia kopiatzeak ez du inoiz funtzionatzen, eta lehenengoa soilik kopiatzeak lana erdizka uzten du.
Jarraitu beheko bost urratsak ordenan, eta gelditu bi plataformek gauza desberdinak deskribatzen dituzten tokian, hitz desberdinak ez ezik.
Urratsa 1: bereizi akordioa sintaxitik
Idatzi eskualdaketa bi administratzaileek adostutako baldintza gisa. Lau errenkadek ia dena estaltzen dute: non dagoen parekoa eta zein alde hasten den, nola frogatzen duen alde bakoitzak bere identitatea, zein babes den onargarria eta zein aplikaziok gainditu behar duten tunela. Errenkada horietako batek ere ez du komandorik aipatzen.
Gorde jatorrizko testua froga gisa, ez argibide gisa. Plataforma batean dagoen eta bestean ez dagoen lerroa sintaxi-desberdintasuna da, baldintza bera beste modu batera bete daitekeen egiaztatu arte.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Urratsa 2: izendatu objektuak plataforma bakoitzean
IOS XEn IKEv2 gako-eraztun batek IKEv2 profil bat elikatzen du, eta profil hori kripto mapa edo IPsec profil baten bidez erantsita dago. ASAn tunel-talde batek konexio-profila eta haren IPsec atributuak gordetzen ditu, eta kripto mapak hura seinalatzen du, honela deskribatzen duen bezala: konexio-profilaren gida. Objektu-grafo desberdinak dira, oinordetza desberdinekoak, eta horregatik lerroz lerroko mapaketak konfigurazio bat ematen du, analizatzen dena eta konektatzen ez dena.
Eraiki helburuko objektuak baldintza-errenkadetatik, ez iturri-lerroetatik. Errenkadak osoak badira, helburuko konfigurazioa diseinu-erabakia da. Ez badira, komandoen itzulpen-kantitateak ez du falta den asmoa emango.
Urratsa 3: eraman identitatea, ez soilik helbideak
Identitatea isilka hausten den zatia da. Helbidearen bidez autentifikatzen den pareak beste modu batera jokatzen du ziurtagiriaren subjektuaren edo FQDNaren bidez autentifikatzen duenak baino, eta bi plataformek itxaropen hori leku desberdinetan erregistratzen dute. Gorde aurreikusitako identitatea eta konfiantza-katea, sekretu partekatua ordezkatu beharrean probatzeko errazagoa delako.
Eduki ezazu aldez aurretik partekatutako sekretua konparazio-oharretatik eta tiketetatik kanpo. Idatzi noren jabetzakoa den eta nola mugitzen den onartutako kanal batetik, eta gogoratu dokumentazio-adibide bateko lekutxo bat ez dela bezeroaren kredentziala.
Urratsa 4: adostu babesa aldaketaren aurretik
Ez eraman kriptografia-ezarpen zaharrak emandako testuan agertzen direlako. Adostu bi pareek orain onartzen dituzten multzoen ebakidura bat, eta berretsi beste administratzailearekin aldaketa-leihoaren aurretik. Ebakidura hori lehendik dagoen pareak espero duenetik desberdina bada, koordinatutako aldaketa da, ez tokiko edizioa.
Idatzi adostutako multzoa. Telefono-dei bati buruz oroitzapen desberdinak dituzten bi administratzaile dira aldaketak bigarren faseko desadostasuna sortzeko modua.
Urratsa 5: egiaztatu zerbitzua, ez sintaxia
Egiaztatu lehenik helburuaren objektu eraginkorrak, gero onartutako elkarketak, gero benetako aplikazio-fluxu bat eta haren erantzuna. Komando bat errore gabe sartzeak sintaxia frogatzen du eta besterik ez. Sortzen den eta trafikorik eramaten ez duen tunel batek esan nahi du normalean babestutako tarteek edo itzulerako bideak ez diotela beste aldearekin bat egiten, eta hori baldintza-errenkadaren arazoa da, ez komandoarena. Konparatu bi aldeetako babestutako tarteak kripto mapara berriro jo baino lehen.
Erregistratu zer egiaztatu duzun, zein helbideekin eta zein aldetatik. Erregistro horrek VPNa martxan dagoelako baieztapen anbiguoa beste administratzaileak modu independentean egiaztatu dezakeen zerbait bihurtzen du.
Zer itzuli
Bidali baldintza-matrizea, helburuko konfigurazioaren laburpena eta egiaztapen-emaitzak. Adierazi berariaz zein iturburu-ezarpen ez dituzun eraman eta zergatik. Zerrenda hori konfigurazio itzulia baino erabilgarriagoa da, hurrengo desadostasuna han hasiko baita.
Gorde iturburu-testua tiketearekin batera ere. Zer eskatu zen dokumentatzen du, eta matrizeak zer adostu zen.