Cambiar o enderezo de peer de IPsec nun ASA sen romper o túnel
Mover un enderezo de peer afecta a lista de candidatos, a coincidencia de perfil, a rede subxacente e as sesións activas. Percorra a lista de comprobación en orde.
Un cambio de enderezo de peer parece unha liña e compórtase como unha migración. O que realmente se move é un conxunto de obxectos: a lista de peers candidatos do crypto map, o perfil ou a asignación de autenticación que identifica o extremo remoto, a rede subxacente que chega ata el, e as asociacións activas construídas cos valores antigos. Trate a edición da configuración como o último paso dese conxunto, non o primeiro.
1. Rexistre o estado actual antes de tocar nada
Comece pola lista completa de candidatos da entrada de crypto map correspondente, en orde, non só polo enderezo que cre está en uso. A orde importa porque é o que o dispositivo proba realmente.
Captúrea con show run crypto map e lea a entrada efectiva con show crypto map, e garde ambas as saídas xunto ao novo valor previsto. Anote tamén que peer escolleu cada asociación existente mentres está alí.
Faga o mesmo coa capa de sesións, usando show vpn-sessiondb l2l e show crypto ipsec sa peer <old-address>. Esas dúas saídas son a súa imaxe previa cando alguén pregunte por que caeu un túnel ás 02:10.
2. Demostre que o novo peer é alcanzable coa mesma política
Demostre a alcanzabilidade antes de programar o corte. Unha execución de packet-tracer desde a interface interna cara á rede protexida do novo peer mostra se o encamiñamento, a exención de NAT e a política de acceso coinciden. Despois confirme a ruta de transporte, porque IKE e IPsec necesitan UDP 500 e 4500 para atravesar calquera filtro entre as pasarelas. Un ping correcto non demostra nada diso por si só.
Se a rede subxacente necesita unha ruta ou un cambio de tradución, ese é un segundo cambio co seu propio risco. Agrúpeo na mesma xanela ou prógrameo por separado, pero decida cal en vez de descubrilo a metade do corte.
3. Mova a asignación do perfil, non só o enderezo
A selección de peer e a selección de perfil son buscas distintas. Un perfil de conexión LAN-to-LAN contén atributos xerais e pode coincidir por enderezo, por identidade de certificado ou por nome de grupo. Cambiar o IP non cambia que perfil coincide cando o perfil se basea no suxeito dun certificado.
| Obxecto | Sobre que está indexado | Que toca un novo enderezo de peer |
|---|---|---|
| Lista de candidatos do crypto map | Entradas de peer configuradas e a súa orde | A onde envía o ASA os seus paquetes iniciais |
| Perfil de conexión | Enderezo, identidade de certificado ou grupo | Só os perfís indexados por enderezo |
| Prefixos protexidos | Obxectos de rede locais e remotos | Nada, salvo que tamén os cambie |
Manteña intacto o contrato de credenciais. Un cambio de enderezo non é motivo para relaxar as comprobacións de identidade nin para pegar unha clave precompartida de exemplo nun ticket.
4. Observe as sesións activas mentres existen ambos candidatos
Mentres ambos os enderezos están na lista de candidatos, decida por escrito se o antigo é un respaldo ou un resto. Unha configuración que contén ambos é válida e non demostra nada sobre que peer levou a última sesión.
Borrar as asociacións de seguridade obsoletas só coa forma limitada ao peer da súa versión, clear crypto ipsec sa peer <address>, e espere que os túneles afectados renegocien. Un reinicio global bota todas as sesións do dispositivo e non se perdoará en horario laboral.
Despois pase un fluxo de aplicación real desde un host protexido e confirme que a resposta volve polo punto final previsto. show vpn-sessiondb l2l debería nomear o novo peer para esa sesión, e os contadores de bytes deberían moverse.
5. Pécheo ou reverta
Escriba a reversión antes do cambio: a lista de candidatos antiga, a asignación de perfil antiga e a entrada antiga da rede subxacente. Manteña unha ruta de xestión independente cara ao ASA, porque unha edición de enderezo de peer que ademais lle custa o acceso é unha noite longa. Quite o peer obsoleto e as credenciais só despois da aceptación e de rexistrar a decisión de respaldo. Confirme tamén que a política de acceso nas redes protexidas non se desviou.
A migración remata cando o peer previsto se autentica e transporta o servizo requirido baixo a política conservada. Un enderezo novo na configuración en execución é proba de ter tecleado, non de éxito.