ટનલ તોડ્યા વિના ASA પર IPsec પીઅર સરનામું બદલવું
પીઅર સરનામું ખસેડવાથી ઉમેદવાર યાદી, પ્રોફાઇલ મેળ, અંતર્ગત નેટવર્ક અને સક્રિય સત્રો પર અસર પડે છે. ચેકલિસ્ટ ક્રમમાં પૂરી કરો.
પીઅર સરનામાનો ફેરફાર એક લાઇન જેવો લાગે છે, પણ વર્તનમાં તે સ્થળાંતર જેવો છે. ખરેખર ખસતો હોય તે વસ્તુઓનો સમૂહ છે: crypto map પરની ઉમેદવાર પીઅર યાદી, દૂરના છેડાને ઓળખતી પ્રોફાઇલ અથવા પ્રમાણીકરણ મેપિંગ, જે અંતર્ગત નેટવર્ક સુધી પહોંચે છે, અને જૂની કિંમતો પરથી બનેલા સક્રિય સંગઠનો. ગોઠવણીના સંપાદનને આ સમૂહનું છેલ્લું પગલું ગણો, પ્રથમ નહીં.
1. કંઈપણ અડકતાં પહેલાં વર્તમાન સ્થિતિ નોંધો
સંબંધિત crypto-map એન્ટ્રીની સંપૂર્ણ ઉમેદવાર યાદીથી શરૂ કરો, ક્રમમાં, ફક્ત એ સરનામાથી નહીં જે તમને લાગે છે કે વપરાય છે. ક્રમ મહત્વનો છે, કારણ કે ઉપકરણ ખરેખર તે જ પ્રયત્ન કરે છે.
તેને show run crypto map થી નોંધો અને અસરકારક એન્ટ્રી show crypto map થી વાંચો, પછી બંને આઉટપુટ ધારેલી નવી કિંમત પાસે સાચવો. ત્યાં હોય ત્યારે દરેક હાલના સંગઠને કયો પીઅર પસંદ કર્યો તે પણ નોંધો.
સત્ર સ્તર માટે પણ એ જ કરો, show vpn-sessiondb l2l અને show crypto ipsec sa peer <old-address> વાપરીને. કોઈ પૂછે કે 02:10 વાગ્યે ટનલ કેમ પડી ગઈ, ત્યારે આ બે આઉટપુટ તમારું પહેલાંનું ચિત્ર છે.
2. સાબિત કરો કે નવો પીઅર એ જ નીતિ હેઠળ પહોંચી શકાય છે
કટઓવર નક્કી કરતાં પહેલાં પહોંચની સાબિતી આપો. અંદરના ઇન્ટરફેસથી નવા પીઅરના સુરક્ષિત નેટવર્ક તરફ packet-tracer ચલાવવાથી દેખાય છે કે રાઉટિંગ, NAT મુક્તિ અને ઍક્સેસ નીતિ સહમત છે કે નહીં. પછી પરિવહન માર્ગની પુષ્ટિ કરો, કારણ કે IKE અને IPsec ને ગેટવે વચ્ચેના કોઈપણ ફિલ્ટરમાંથી પસાર થવા UDP 500 અને 4500 જોઈએ છે. સફળ ping એકલું તેમાંથી કંઈ સાબિત કરતું નથી.
જો અંતર્ગત નેટવર્કને રૂટ અથવા અનુવાદ ફેરફારની જરૂર હોય, તો તે પોતાના જોખમ સાથેનો બીજો ફેરફાર છે. તેને એ જ વિન્ડોમાં ભેગો કરો અથવા અલગથી ગોઠવો, પણ કટઓવરની વચ્ચે શોધવાને બદલે નક્કી કરો કે કયું કરવું.
3. ફક્ત સરનામું નહીં, પ્રોફાઇલ મેપિંગ ખસેડો
પીઅર પસંદગી અને પ્રોફાઇલ પસંદગી બે અલગ શોધ છે. LAN-to-LAN કનેક્શન પ્રોફાઇલમાં સામાન્ય લક્ષણો હોય છે અને તે સરનામું, પ્રમાણપત્ર ઓળખ કે જૂથ નામ પર મેળ ખાઈ શકે છે. પ્રોફાઇલ પ્રમાણપત્ર વિષય પર આધારિત હોય ત્યારે IP બદલવાથી એ બદલાતું નથી કે કઈ પ્રોફાઇલ મેળ ખાય છે.
| ઑબ્જેક્ટ | શેના પર કી કરેલ છે | નવું પીઅર સરનામું શું સ્પર્શે છે |
|---|---|---|
| crypto map ની ઉમેદવાર યાદી | ગોઠવેલી પીઅર એન્ટ્રીઓ અને તેમનો ક્રમ | ASA તેના પ્રારંભિક પેકેટ ક્યાં મોકલે છે |
| કનેક્શન પ્રોફાઇલ | સરનામું, પ્રમાણપત્ર ઓળખ અથવા જૂથ | ફક્ત સરનામા-કીવાળી પ્રોફાઇલો |
| સુરક્ષિત પ્રીફિક્સ | સ્થાનિક અને દૂરસ્થ નેટવર્ક ઑબ્જેક્ટ | કંઈ નહીં, જો તમે પણ તે બદલો નહીં |
ઓળખપત્ર કરાર અકબંધ રાખો. સરનામું બદલવું એ ઓળખ ચકાસણી ઢીલી કરવાનું કારણ નથી, કે નમૂનાની pre-shared key ટિકિટમાં પેસ્ટ કરવાનું કારણ નથી.
4. બંને ઉમેદવારો હાજર હોય ત્યાં સુધી સક્રિય સત્રો પર નજર રાખો
બંને સરનામાં ઉમેદવાર યાદીમાં હોય ત્યાં સુધી લખિત રીતે નક્કી કરો કે જૂનું ફૉલબેક છે કે કચરો. બંને ધરાવતી ગોઠવણી માન્ય છે, અને તે એ વિશે કંઈ સાબિત કરતી નથી કે છેલ્લું સત્ર કયા પીઅરે વહન કર્યું.
જૂના સિક્યોરિટી સંગઠનો ફક્ત તમારી આવૃત્તિ માટે પીઅર-મર્યાદિત સ્વરૂપથી સાફ કરો, clear crypto ipsec sa peer <address>, અને અપેક્ષા રાખો કે અસરગ્રસ્ત ટનલ ફરી વાટાઘાટ કરશે. વૈશ્વિક રીસેટ ઉપકરણ પરનું દરેક સત્ર પાડી નાખે છે અને કાર્ય સમયમાં તે માફ નહીં થાય.
પછી સુરક્ષિત હોસ્ટમાંથી એક વાસ્તવિક ઍપ્લિકેશન પ્રવાહ પસાર કરો અને ખાતરી કરો કે જવાબ ધારેલા અંતિમ બિંદુ દ્વારા પાછો આવે છે. show vpn-sessiondb l2l એ સત્ર માટે નવા પીઅરનું નામ દર્શાવવું જોઈએ, અને બાઇટ કાઉન્ટર ખસવા જોઈએ.
5. તેને પૂર્ણ કરો અથવા પાછું ફેરવો
ફેરફાર પહેલાં રોલબેક લખો: જૂની ઉમેદવાર યાદી, જૂનું પ્રોફાઇલ મેપિંગ અને જૂની અંતર્ગત એન્ટ્રી. ASA સુધી સ્વતંત્ર મેનેજમેન્ટ માર્ગ રાખો, કારણ કે પીઅર સરનામાનું સંપાદન જે તમારી ઍક્સેસ પણ લઈ લે તે લાંબી સાંજ છે. જૂનું પીઅર અને ઓળખપત્રો ફક્ત સ્વીકૃતિ પછી અને ફૉલબેક નિર્ણય નોંધાયા પછી દૂર કરો. એ પણ ખાતરી કરો કે સુરક્ષિત નેટવર્ક પરની ઍક્સેસ નીતિ ખસી નથી.
સ્થળાંતર ત્યારે પૂર્ણ થાય છે જ્યારે ધારેલો પીઅર પ્રમાણીકરણ પસાર કરે છે અને જાળવેલી નીતિ હેઠળ જરૂરી સેવા વહન કરે છે. ચાલુ ગોઠવણીમાં નવું સરનામું ટાઇપ કરવાનો પુરાવો છે, સફળતાનો નહીં.