Vertaisosoitteen vaihto ASA:ssa IPsec-tunnelia rikkomatta
Vertaisosoitteen siirtäminen koskee ehdokasluetteloa, profiilin täsmäytystä, alla olevaa verkkoa ja aktiivisia istuntoja. Käy tarkistuslista järjestyksessä läpi.
Vertaisosoitteen vaihto näyttää yhdeltä riviltä mutta käyttäytyy kuin migraatio. Todella siirtyy joukko objekteja: crypto mapin ehdokasvertaisluettelo, profiili tai todennuksen mappaus, joka tunnistaa vastapuolen, alla oleva verkko, joka ulottuu sinne, ja vanhoista arvoista rakennetut aktiiviset assosiaatiot. Käsittele kokoonpanon muutos tuon joukon viimeisenä vaiheena, älä ensimmäisenä.
1. Kirjaa nykytila ennen kuin kosket mihinkään
Aloita kyseisen crypto map -merkinnän koko ehdokasluettelosta, järjestyksessä, älä vain osoitteesta, jonka luulet olevan käytössä. Järjestys on tärkeä, koska juuri sitä laite todella kokeilee.
Tallenna se komennolla show run crypto map ja lue voimassa oleva merkintä komennolla show crypto map, ja tallenna molemmat tulosteet suunnitellun uuden arvon viereen. Kirjaa myös, minkä vertaisen kukin olemassa oleva assosiaatio valitsi, kun olet siellä.
Tee sama istuntokerrokselle komennoilla show vpn-sessiondb l2l ja show crypto ipsec sa peer <old-address>. Nämä kaksi tulostetta ovat ennen-kuvasi, kun joku kysyy, miksi tunneli putosi kello 02:10.
2. Todista, että uusi vertainen on tavoitettavissa samalla käytännöllä
Todista tavoitettavuus ennen kuin ajoitat katkon. packet-tracer sisärajapinnasta uuden vertaisen suojattuun verkkoon näyttää, ovatko reititys, NAT-poikkeus ja käyttöoikeuskäytäntö yhtä mieltä. Vahvista sitten siirtotie, koska IKE ja IPsec tarvitsevat UDP 500 ja 4500 päästäkseen minkä tahansa suodattimen läpi yhdyskäytävien välillä. Onnistunut ping ei todista siitä mitään yksinään.
Jos alla oleva verkko tarvitsee reitin tai käännösmuutoksen, se on toinen muutos omalla riskillään. Kytke se samaan ikkunaan tai ajoita erikseen, mutta päätä kumpi, sen sijaan että löydät sen kesken katkon.
3. Siirrä profiilin mappaus, älä vain osoitetta
Vertaisen valinta ja profiilin valinta ovat eri hakuja. LAN-to-LAN-yhteysprofiili sisältää yleisiä attribuutteja ja voi täsmätä osoitteeseen, varmenneidentiteettiin tai ryhmän nimeen. IP:n vaihtaminen ei muuta sitä, mikä profiili täsmää, kun profiili perustuu varmenteen subjektiin.
| Objekti | Mihin se on avaimistettu | Mitä uusi vertaisosoite koskee |
|---|---|---|
| Crypto mapin ehdokasluettelo | Määritetyt vertainmerkinnät ja niiden järjestys | Minne ASA lähettää ensimmäiset pakettinsa |
| Yhteysprofiili | Osoite, varmenneidentiteetti tai ryhmä | Vain osoitteeseen avaimistetut profiilit |
| Suojatut etuliitteet | Paikalliset ja etäverkon objektit | Ei mitään, ellet myös muuta niitä |
Pidä tunnistetietosopimus ehjänä. Osoitteen vaihto ei ole syy löysätä identiteettitarkistuksia eikä syy liittää malliesimerkkiä jaetusta avaimesta tikettiin.
4. Tarkkaile aktiivisia istuntoja, kun molemmat ehdokkaat ovat olemassa
Kun molemmat osoitteet ovat ehdokasluettelossa, päätä kirjallisesti, onko vanha varareitti vai jäänne. Molemmat sisältävä kokoonpano on kelvollinen, eikä se todista mitään siitä, mikä vertainen kantoi viimeisen istunnon.
Tyhjennä vanhentuneet suoja-assosiaatiot vain versionsi vertaiskohtaisella muodolla, clear crypto ipsec sa peer <address>, ja odota, että kärsineet tunnelit neuvottelevat uudelleen. Globaali nollaus pudottaa jokaisen istunnon laitteesta, eikä sitä anneta anteeksi virka-aikana.
Päästä sitten yksi todellinen sovellusvirta suojatusta isännästä ja vahvista, että vastaus palaa aiottua päätepistettä pitkin. show vpn-sessiondb l2l pitäisi nimetä uusi vertainen kyseiselle istunnolle, ja tavulaskureiden pitäisi liikkua.
5. Sulje se tai peruuta
Kirjoita peruutus ennen muutosta: vanha ehdokasluettelo, vanha profiilin mappaus ja vanha alla olevan verkon merkintä. Pidä riippumaton hallintapolku ASA:han, koska vertaisosoitteen muutos, joka vie myös pääsyn, on pitkä ilta. Poista vanhentunut vertainen ja tunnistetiedot vasta hyväksynnän ja varapäätöksen kirjaamisen jälkeen. Varmista myös, että suojattujen verkkojen käyttöoikeuskäytäntö ei ole ajautunut.
Migraatio on valmis, kun aiottu vertainen todennetaan ja kantaa vaaditun palvelun säilytetyn käytännön alla. Uusi osoite käynnissä olevassa kokoonpanossa on todiste kirjoittamisesta, ei onnistumisesta.