VPN-migraasje fan IOS nei ASA: fertaal de oerienkomst, net de opdrachten
In kryptokaart is gjin ASA-tunnelgroep. Hokker dielen fan 'e oerienkomst oerdroegen wurde, hokker opnij boud wurde moatte, en de kontrôles dy't bewize dat de tsjinst wurket.
In IOS-konfiguraasje dy't as referinsje foar in ASA-migraasje binnenkomt, beskriuwt in oerienkomst dy't yn 'e syntaksis fan ien platfoarm ferpakt is. Peer-adressen, identiteiten en beskerme berikken binne de oerienkomst. De kaairing, it profyl en de kryptokaartkeatling binne hoe't IOS it útdrukt, wylst de ASA deselde bedoeling útdrukt fia tunnelgroepen en har attributen. It twadde part kopiearje wurket nea, en allinnich it earste kopiearje lit it wurk heal ôf.
Wurkje de fiif stappen hjirûnder yn folchoarder troch, en stop oeral dêr't de twa platfoarms oare dingen beskriuwe ynstee fan oare wurden.
Stap 1: skied de oerienkomst fan 'e syntaksis
Skriuw de oerdracht as easken dêr't beide behearders it oer iens binne. Fjouwer rigen dekke hast alles: wêr't de peer is en hokker kant begjint, hoe't elk kant syn identiteit bewissiget, hokker beskerming akseptabel is, en hokker applikaasjes troch de tunnel moatte oerlibje. Gjin fan dy rigen neamt in opdracht.
Hâld de orizjinele tekst as bewiis ynstee fan as ynstruksjes. In rigel dy't op ien platfoarm bestiet en net op it oare, is in syntaksisferskil oant jo neigongen binne oft deselde eask op in oare manier foldien wurde kin.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Stap 2: beneam de objekten op elk platfoarm
Op IOS XE fiedt in IKEv2-kaairing in IKEv2-profyl, en dat profyl wurdt fêstmakke fia in kryptokaart of in IPsec-profyl. Op de ASA hâldt in tunnelgroep it ferbiningsprofyl en syn IPsec-attributen, en de kryptokaart wiist dêrop, sa't de hantlieding foar it ferbiningsprofyl it beskriuwt. Dat binne oare objektsgrafen mei oare erfskip, en dêrom jout in rigel-foar-rigel-map in konfiguraasje dy't parsearre wurdt en net ferbynt.
Bou de doelobjekten út 'e easkenrigen, net út 'e boarnerigen. As de rigen folslein binne, is de doelkonfiguraasje in ûntwerpbeslissing. As se dat net binne, sil gjin hoemannichte opdrachtoersetting de ûntbrekkende bedoeling leverje.
Stap 3: drage identiteit, net allinnich adressen
Identiteit is it part dat stil brekt. In peer dy't him troch adres autentisearret, hâldt him oars as ien dy't him troch it sertifikaatsûnderwerp of FQDN autentisearret, en de twa platfoarms lizze dy ferwachting op ferskillende plakken fêst. Behâld de bedoelde identiteit en fertrouwenskeatling ynstee fan in dield geheim te ferfangen om't it makliker te testen is.
Hâld it foarôf dielde geheim bûten fergelikingnotysjes en tickets. Skriuw op wa't it besit en hoe't it troch in goedkarde kanaal beweecht, en tink derom dat in plakhâlder út in dokumintaasjefoarbyld net de legitimaaasje fan 'e klant is.
Stap 4: kommenearje de beskerming ôf foar de omskeakeling
Drage gjin âlde kryptografyske ynstellingen oer om't se yn 'e oanlevere tekst steane. Kommenearje in oerlaping ôf fan sets dy't beide ynsette peers op dit stuit stypje, en befêstigje dat mei de oare behearder foar it feroaringsfinster. As dy oerlaping ferskilt fan wat de besteande peer ferwachtet, is it in koördinearre feroaring en net in lokale bewurking.
Skriuw de ôfpraat set op. Twa behearders mei ferskillende oantinkens oan in telefoantsje is hoe't in omskeakeling in mismatch yn 'e twadde faze produsearret.
Stap 5: ferifiearje de tsjinst, net de syntaksis
Kontrolearje earst de effektive objekten fan it doel, dan de akseptearre assosjaasje, dan in echte applikaasjestream en syn antwurd. In opdracht sûnder flater ynfiere bewissiget de syntaksis en neat oars. In tunnel dy't omheech komt en gjin ferkear draacht, betsjut meast dat de beskerme berikken of de weromrûte net mei de oare kant oerienkomme, wat in probleem fan 'e easkenrige is en net fan 'e opdracht. Fergelykje de beskerme berikken oan beide kanten foar't jo de kryptokaart wer oanreitsje.
Skriuw op wat jo ferifisearre hawwe, mei hokker adressen, fan hokker kant. Dat ferslach makket fan in ûndúdlike bewearing dat de VPN omheech is, eat dat de oare behearder selsstannich kontrolearje kin.
Wat werom te jaan
Stjoer de easkenmatriks, in gearfetting fan 'e doelkonfiguraasje en de ferifikaasjeresultaten. Jaan eksplisyt oan hokker boarnynstellingen jo net oerdroegen hawwe en wêrom. Dy list is nuttiger as de oersette konfiguraasje, want dêr sil it folgjende meningsferskil begjinne.
Hâld de boarnetekst ek by it ticket. It dokumintearret wat frege waard, wylst de matriks dokumintearret wat ôfpraat is.