VPN-siirto IOS:stä ASA:han: käännä sopimus, älä komennot
Kryptokartta ei ole ASA:n tunneliryhmä. Mitkä sopimuksen osat siirtyvät, mitkä on rakennettava uudelleen ja mitkä tarkistukset osoittavat, että palvelu toimii.
IOS-kokoonpano, joka saapuu ASA-siirron viitteeksi, kuvaa sopimuksen, joka on kääritty yhden alustan syntaksiin. Vertaisosoitteet, identiteetit ja suojatut alueet ovat sopimus. Avainrengas, profiili ja kryptokarttaketju ovat tapa, jolla IOS sen ilmaisee, kun taas ASA ilmaisee saman aikomuksen tunneliryhmien ja niiden attribuuttien kautta. Toisen osan kopioiminen ei koskaan toimi, ja vain ensimmäisen kopioiminen jättää työn puoliksi.
Käy alla olevat viisi vaihetta järjestyksessä läpi ja pysähdy aina siihen, missä kaksi alustaa kuvaa eri asioita eikä eri sanoja.
Vaihe 1: erota sopimus syntaksista
Kirjoita luovutus vaatimuksiksi, joista molemmat ylläpitäjät sopivat. Neljä riviä kattaa lähes kaiken: missä vertaiskumppani on ja kumpi puoli aloittaa, miten kumpikin puoli todistaa identiteettinsä, millainen suojaus on hyväksyttävää ja mitkä sovellukset on säilytettävä tunnelin läpi. Yksikään näistä riveistä ei mainitse komentoa.
Säilytä alkuperäinen teksti todisteena, ei ohjeina. Rivi, joka on yhdellä alustalla eikä toisella, on syntaksiero, kunnes olet tarkistanut, voidaanko sama vaatimus täyttää toisella tavalla.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Vaihe 2: nimeä objektit kullakin alustalla
IOS XE:ssä IKEv2-avainrengas ruokkii IKEv2-profiilia, ja se profiili liitetään kryptokartan tai IPsec-profiilin kautta. ASA:ssa tunneliryhmä pitää sisällään yhteysprofiilin ja sen IPsec-attribuutit, ja kryptokartta osoittaa siihen, kuten yhteysprofiilin opas sen kuvaa. Nämä ovat erilaisia objektikaavioita, joilla on erilainen periytyminen, ja siksi rivi riviltä -yhdistäminen tuottaa kokoonpanon, joka jäsennetään mutta joka ei yhdistä.
Rakenna kohdeobjektit vaatimusriveistä, älä lähderiveistä. Jos rivit ovat täydellisiä, kohdekokoonpano on suunnittelupäätös. Jos eivät, mikään komentojen käännösmäärä ei tarjoa puuttuvaa aikomusta.
Vaihe 3: välitä identiteetti, älä vain osoitteita
Identiteetti on se osa, joka rikkoutuu hiljaa. Osoitteella todennettu vertaiskumppani käyttäytyy eri tavalla kuin se, joka todennetaan varmenteen subjektilla tai FQDN:llä, ja molemmat alustat kirjaavat tämän odotuksen eri paikkoihin. Säilytä aiottu identiteetti ja luottamusketju sen sijaan, että korvaisit jaetun salaisuuden, koska sitä on helpompi testata.
Pidä jaettu salaisuus poissa vertailumuistiinpanoista ja tiketeistä. Kirjaa, kuka sen omistaa ja miten se liikkuu hyväksytyn kanavan kautta, ja muista, että dokumentaation esimerkin paikkamerkki ei ole asiakkaan tunnus.
Vaihe 4: sovi suojauksesta ennen vaihtoa
Älä siirrä vanhoja salausasetuksia vain siksi, että ne näkyvät toimitetussa tekstissä. Sovi sellaisten sarjojen leikkauksesta, joita molemmat käyttöön otetut vertaiskumppanit tällä hetkellä tukevat, ja vahvista se toisen ylläpitäjän kanssa ennen muutosikkunaa. Jos tämä leikkaus eroaa siitä, mitä olemassa oleva vertaiskumppani odottaa, se on koordinoitu muutos eikä paikallinen muokkaus.
Kirjoita sovittu joukko muistiin. Kaksi ylläpitäjää, joilla on erilaiset muistikuvat puhelinsoitosta, on syy siihen, miksi vaihto tuottaa toisen vaiheen epäsopivuuden.
Vaihe 5: tarkista palvelu, älä syntaksi
Tarkista ensin kohteen tehokkaat objektit, sitten hyväksytty assosiaatio, sitten todellinen sovellusvirta ja sen vastaus. Komennon virheetön syöttäminen todistaa syntaksin eikä mitään muuta. Tunneli, joka nousee pystyyn eikä kuljeta liikennettä, tarkoittaa yleensä sitä, että suojatut alueet tai paluureitti eivät vastaa toista puolta, mikä on vaatimusrivin eikä komennon ongelma. Vertaa suojattuja alueita molemmilla puolilla ennen kuin kosket kryptokarttaa uudelleen.
Kirjaa, mitä tarkistit, millä osoitteilla ja miltä puolelta. Tämä kirjaus muuttaa epämääräisen väitteen VPN:n toiminnasta joksikin, jonka toinen ylläpitäjä voi tarkistaa itsenäisesti.
Mitä palautetaan
Lähetä vaatimusmatriisi, yhteenveto kohdekokoonpanosta ja tarkistustulokset. Ilmoita selvästi, mitkä lähdeasetukset jätit siirtämättä ja miksi. Tämä luettelo on hyödyllisempi kuin käännetty kokoonpano, koska siitä seuraava erimielisyys alkaa.
Säilytä myös lähdeteksti tiketin mukana. Se dokumentoi, mitä pyydettiin, kun taas matriisi dokumentoi, mitä sovittiin.