IPsec-peeradres op in ASA feroarje sûnder de tunnel te brekken
It ferpleatsen fan in peeradres rekket de kandidaatlist, de profylmatch, de ûnderlizzende laach en aktive sesjes. Wurkje de checklist yn oarder ôf.
In feroaring fan peeradres liket ien rigel en hâldt him as in migraasje. Wat echt ferpleatst, is in set objekten: de kandidaat-peerlist op de crypto map, it profyl of de autentikaasjemapping dat de fiere kant identifisearret, de ûnderlizzende laach dy't dêr komt, en de aktive assosjaasjes boud fan de âlde wearden. Behandel de konfiguraasjewizing as de lêste stap fan dy set, net de earste.
1. Skriuw de hjoeddeistige tastân op foardat jo eat oanreitsje
Begjin mei de folsleine kandidaatlist foar de oangeande crypto-map-yngong, yn oarder, net allinnich mei it adres dat jo tinke dat brûkt wurdt. Oarder is wichtich, want dat is wat it apparaat wier besiket.
Fetsje it mei show run crypto map en lês de effektive yngong mei show crypto map, en bewarje beide útfieringen njonken de bedoelde nije wearde. Notearje ek hokker peer elke besteande assosjaasje keas, wylst jo der binne.
Doch itselde foar de sesjelaach, mei show vpn-sessiondb l2l en show crypto ipsec sa peer <old-address>. Dy twa útfieringen binne jo byld fan foarôf as immen freget wêrom't in tunnel om 02:10 del foel.
2. Bewiis dat de nije peer berikber is ûnder itselde belied
Bewiis berikberens foardat jo de omskeakeling plenne. In packet-tracer fan 'e ynterne ynterface nei it beskerme netwurk fan 'e nije peer lit sjen oft routing, NAT-útsûndering en it tagongsbelied oerienkomme. Befêstigje dêrnei it transportpaad, want IKE en IPsec hawwe UDP 500 en 4500 nedich om elk filter tusken de gateways te passearjen. In slagge ping bewiist dêrfan op himsels neat.
As de ûnderlizzende laach in rûte of in oersettingswizing nedich hat, is dat in twadde wizing mei eigen risiko. Bondelje it yn itselde finster of plan it apart, mar beslute hokker, ynstee fan it midden yn 'e omskeakeling te ûntdekken.
3. Ferpleats de profylmapping, net allinnich it adres
Peerkar en profylkar binne ferskate sykopdrachten. In LAN-to-LAN-ferbiningsprofyl hâldt algemiene attributen en kin matche op in adres, in sertifikaatidentiteit of in groepsnamme. It feroarjen fan it IP feroaret net hokker profyl matchet as it profyl op in sertifikaatsubjekt basearre is.
| Objekt | Wêrop't it kaai is | Wat in nij peeradres rekket |
|---|---|---|
| Kandidaatlist fan 'e crypto map | Konfigurearre peer-yngongen en har oarder | Wêr't de ASA syn earste pakketten hinne stjoert |
| Ferbiningsprofyl | Adres, sertifikaatidentiteit of groep | Allinnich de adreskaaide profylen |
| Beskerme prefiksen | Lokale en fiere netwurkobjekten | Neat, útsein as jo se ek feroarje |
Hâld it credential-kontrakt yntakt. In adreswizing is gjin reden om identiteitskontrôles te fersêftsjen en gjin reden om in foarbyld fan in pre-shared key yn in ticket te plakken.
4. Hâld aktive sesjes yn 'e gaten salang't beide kandidaten bestean
Salang't beide adressen yn 'e kandidaatlist steane, beslute skriftlik oft de âlde in fallback of residu is. In konfiguraasje mei beide is jildich, en it bewiist neat oer hokker peer de lêste sesje droech.
Wiskje ferâldere befeiligingsassosjaasjes allinnich mei de peer-beheinde foarm foar jo ferzje, clear crypto ipsec sa peer <address>, en ferwachtsje dat de rekke tunnels opnij ûnderhannelje. In globale reset smyt elke sesje op it apparaat del en sil net ferjûn wurde ûnder kantoaroeren.
Lit dan ien echte applikaasjefleis fan in beskerme host troch en befêstigje dat it antwurd weromkomt fia it bedoelde einpunt. show vpn-sessiondb l2l soe de nije peer foar dy sesje neame moatte, en de byte-tellers soene bewege moatte.
5. Slut it ôf of rol werom
Skriuw de rollback foar de wizing: de âlde kandidaatlist, de âlde profylmapping en de âlde yngong fan 'e ûnderlizzende laach. Hâld in ûnôfhinklik behearpaad nei de ASA, want in peeradreswizing dy't jo ek tagong kostet, is in lange jûn. Ferwiderje de ferâldere peer en de credentials pas nei akseptaasje en nei't de fallback-beslissing fêstlein is. Befêstigje ek dat it tagongsbelied op 'e beskerme netwurken net ôfdreaun is.
De migraasje is dien as de bedoelde peer him autentisearret en de fereaske tsjinst ûnder it behâlde belied draacht. In nij adres yn 'e rinnende konfiguraasje is bewiis fan typen, net fan súkses.