تغییر آدرس همتای IPsec روی ASA بدون شکستن تونل
جابه‌جایی آدرس همتا فهرست نامزدها، تطبیق پروفایل، شبکه زیرین و نشست‌های فعال را تحت تأثیر قرار می‌دهد. چک‌لیست را به ترتیب انجام دهید.
تغییر آدرس همتا مثل یک خط به نظر می‌رسد، اما مانند یک مهاجرت رفتار میکند. آنچه واقعاً جابه‌جا می‌شود مجموعه‌ای از اشیاست: فهرست همتاهای نامزد روی crypto map، پروفایل یا نگاشت احراز هویتی که طرف دور را شناسایی میکند، شبکه زیرینی که به آن می‌رسد، و ارتباطات فعالی که از مقادیر قدیمی ساخته شده‌اند. ویرایش پیکربندی را آخرین گام این مجموعه بدانید، نه اولین گام.
1. وضعیت فعلی را پیش از دست زدن به هر چیزی ثبت کنید
با فهرست کامل نامزدهای ورودی مربوط در crypto map شروع کنید، به ترتیب، نه فقط آدرسی که فکر می‌کنید در استفاده است. ترتیب مهم است، چون همان چیزی است که دستگاه واقعاً امتحان میکند.
آن را با show run crypto map ثبت کنید و ورودی مؤثر را با show crypto map بخوانید، سپس هر دو خروجی را کنار مقدار جدید موردنظر ذخیره کنید. همین‌جا ثبت کنید که هر ارتباط موجود کدام همتا را انتخاب کرده است.
همین کار را برای لایه نشست انجام دهید، با show vpn-sessiondb l2l و show crypto ipsec sa peer <old-address>. این دو خروجی تصویر قبل از تغییر شما هستند وقتی کسی می‌پرسد چرا یک تونل در 02:10 قطع شد.
2. ثابت کنید همتای جدید تحت همان سیاست قابل دسترسی است
پیش از برنامه‌ریزی قطع، دسترسی‌پذیری را ثابت کنید. اجرای packet-tracer از رابط داخلی به سمت شبکه محافظت‌شده همتای جدید نشان می‌دهد آیا مسیریابی، معافیت NAT و سیاست دسترسی هم‌راستا هستند. سپس مسیر انتقال را تأیید کنید، چون IKE و IPsec به UDP 500 و 4500 نیاز دارند تا از هر فیلتری بین دروازه‌ها عبور کنند. یک ping موفق به‌تنهایی هیچ‌یک از این‌ها را ثابت نمی‌کند.
اگر شبکه زیرین به مسیر یا تغییر ترجمه نیاز دارد، آن تغییر دومی با ریسک خودش است. آن را در همان پنجره بگنجانید یا جداگانه زمان‌بندی کنید، اما تصمیم بگیرید کدام، به‌جای اینکه وسط قطع متوجه شوید.
3. نگاشت پروفایل را جابه‌جا کنید، نه فقط آدرس را
انتخاب همتا و انتخاب پروفایل دو جستجوی متفاوت‌اند. پروفایل اتصال LAN-to-LAN ویژگی‌های عمومی دارد و ممکن است بر اساس آدرس، هویت گواهی یا نام گروه تطبیق یابد. تغییر IP تغییر نمی‌دهد کدام پروفایل تطبیق می‌یابد وقتی پروفایل بر موضوع گواهی تکیه دارد.
| شیء | بر چه چیزی کلید خورده است | آدرس همتای جدید چه چیزی را تحت تأثیر می‌گذارد |
|---|---|---|
| فهرست نامزدهای crypto map | ورودی‌های همتای پیکربندی‌شده و ترتیب آن‌ها | ASA بسته‌های اولیه خود را کجا می‌فرستد |
| پروفایل اتصال | آدرس، هویت گواهی یا گروه | فقط پروفایل‌های کلیدخورده به آدرس |
| پیشوندهای محافظت‌شده | اشیای شبکه محلی و دور | هیچ چیز، مگر اینکه شما هم آن‌ها را تغییر دهید |
قرارداد اعتبارنامه را دست‌نخورده نگه دارید. تغییر آدرس دلیلی برای سست کردن بررسی‌های هویت نیست و دلیلی برای چسباندن یک کلید از پیش اشتراکی نمونه در تیکت هم نیست.
4. تا زمانی که هر دو نامزد وجود دارند نشست‌های زنده را زیر نظر بگیرید
تا وقتی هر دو آدرس در فهرست نامزدها هستند، کتباً تصمیم بگیرید آدرس قدیمی پشتیبان است یا بازمانده. پیکربندی شامل هر دو معتبر است و هیچ چیزی درباره اینکه کدام همتا آخرین نشست را حمل کرده ثابت نمی‌کند.
ارتباطات امنیتی کهنه را فقط با شکل محدود به همتا برای نسخه خود پاک کنید، clear crypto ipsec sa peer <address>، و انتظار داشته باشید تونل‌های متأثر دوباره مذاکره کنند. بازنشانی سراسری هر نشست روی دستگاه را می‌اندازد و در ساعات کاری بخشیده نمی‌شود.
سپس یک جریان واقعی برنامه را از یک میزبان محافظت‌شده عبور دهید و تأیید کنید پاسخ از طریق نقطه پایانی موردنظر بازمی‌گردد. show vpn-sessiondb l2l باید همتای جدید را برای آن نشست نام ببرد و شمارنده‌های بایت باید حرکت کنند.
5. کار را ببندید یا عقب‌گرد کنید
پیش از تغییر، عقب‌گرد را بنویسید: فهرست نامزدهای قدیمی، نگاشت پروفایل قدیمی و ورودی قدیمی شبکه زیرین. یک مسیر مدیریت مستقل به ASA نگه دارید، چون ویرایش آدرس همتا که دسترسی شما را هم بگیرد یک شب طولانی است. همتای منسوخ و اعتبارنامه‌ها را فقط پس از پذیرش و پس از ثبت تصمیم پشتیبان حذف کنید. همچنین تأیید کنید سیاست دسترسی روی شبکه‌های محافظت‌شده منحرف نشده است.
مهاجرت زمانی تمام است که همتای موردنظر احراز هویت شود و سرویس لازم را تحت سیاست حفظ‌شده حمل کند. یک آدرس جدید در پیکربندی در حال اجرا نشانه تایپ کردن است، نه موفقیت.