Changer l'adresse de pair IPsec sur un ASA sans casser le tunnel
Déplacer une adresse de pair touche la liste des candidats, la correspondance de profil, le sous-jacent et les sessions actives. Suivez la liste de contrôle dans l'ordre.
Un changement d'adresse de pair ressemble à une ligne et se comporte comme une migration. Ce qui bouge réellement est un ensemble d'objets : la liste des pairs candidats sur la crypto map, le profil ou le mappage d'authentification qui identifie l'extrémité distante, le sous-jacent qui l'atteint, et les associations actives construites à partir des anciennes valeurs. Traitez la modification de configuration comme la dernière étape de cet ensemble, non la première.
1. Relevez l'état actuel avant de toucher à quoi que ce soit
Commencez par la liste complète des candidats de l'entrée de crypto map concernée, dans l'ordre, et pas seulement par l'adresse que vous croyez utilisée. L'ordre compte, car c'est ce que l'équipement essaie réellement.
Capturez-la avec show run crypto map et lisez l'entrée effective avec show crypto map, puis conservez les deux sorties à côté de la nouvelle valeur prévue. Notez aussi quel pair chaque association existante a choisi, tant que vous y êtes.
Faites de même pour la couche session, avec show vpn-sessiondb l2l et show crypto ipsec sa peer <old-address>. Ces deux sorties constituent votre image d'avant quand quelqu'un demande pourquoi un tunnel est tombé à 02:10.
2. Prouvez que le nouveau pair est joignable sous la même politique
Prouvez la joignabilité avant de programmer la bascule. Une exécution de packet-tracer depuis l'interface interne vers le réseau protégé du nouveau pair montre si le routage, l'exemption NAT et la politique d'accès sont d'accord. Confirmez ensuite le chemin de transport, car IKE et IPsec ont besoin d'UDP 500 et 4500 pour franchir n'importe quel filtre entre les passerelles. Un ping réussi ne prouve rien de tout cela à lui seul.
Si le sous-jacent a besoin d'une route ou d'un changement de traduction, c'est un second changement avec son propre risque. Regroupez-le dans la même fenêtre ou planifiez-le séparément, mais décidez lequel plutôt que de le découvrir en pleine bascule.
3. Déplacez le mappage du profil, pas seulement l'adresse
La sélection du pair et la sélection du profil sont deux recherches différentes. Un profil de connexion LAN-to-LAN porte des attributs généraux et peut correspondre à une adresse, à une identité de certificat ou à un nom de groupe. Changer l'IP ne change pas quel profil correspond lorsque le profil repose sur le sujet d'un certificat.
| Objet | Sur quoi il est indexé | Ce qu'une nouvelle adresse de pair touche |
|---|---|---|
| Liste des candidats de la crypto map | Entrées de pair configurées et leur ordre | Où l'ASA envoie ses paquets initiaux |
| Profil de connexion | Adresse, identité de certificat ou groupe | Uniquement les profils indexés sur l'adresse |
| Préfixes protégés | Objets de réseau locaux et distants | Rien, sauf si vous les changez aussi |
Gardez le contrat d'identification intact. Un changement d'adresse n'est pas une raison d'assouplir les contrôles d'identité, ni de coller une clé pré-partagée d'exemple dans un ticket.
4. Surveillez les sessions actives tant que les deux candidats existent
Tant que les deux adresses figurent dans la liste des candidats, décidez par écrit si l'ancienne est un secours ou un résidu. Une configuration contenant les deux est valide, et elle ne prouve rien sur le pair qui a porté la dernière session.
Effacez les associations de sécurité obsolètes uniquement avec la forme limitée au pair de votre version, clear crypto ipsec sa peer <address>, et attendez-vous à ce que les tunnels concernés renégocient. Une réinitialisation globale fait tomber toutes les sessions de l'appliance et ne sera pas pardonnée pendant les heures ouvrées.
Faites ensuite passer un flux applicatif réel depuis un hôte protégé et confirmez que la réponse revient par le point de terminaison prévu. show vpn-sessiondb l2l doit nommer le nouveau pair pour cette session, et les compteurs d'octets doivent bouger.
5. Clôturez ou revenez en arrière
Écrivez le retour arrière avant le changement : l'ancienne liste de candidats, l'ancien mappage de profil et l'ancienne entrée de sous-jacent. Conservez un chemin de gestion indépendant vers l'ASA, car une modification d'adresse de pair qui vous coûte aussi l'accès fait une longue soirée. Ne retirez le pair obsolète et les identifiants qu'après l'acceptation et après avoir consigné la décision de secours. Vérifiez aussi que la politique d'accès sur les réseaux protégés n'a pas dérivé.
La migration est terminée quand le pair prévu s'authentifie et porte le service requis sous la politique conservée. Une nouvelle adresse dans la configuration en cours est la preuve d'une saisie, pas d'un succès.