שינוי כתובת עמית IPsec ב-ASA בלי לשבור את המנהרה
העברת כתובת עמית נוגעת ברשימת המועמדים, בהתאמת הפרופיל, בשכבת התשתית ובסשנים פעילים. עברו על רשימת הבדיקה לפי הסדר.
שינוי כתובת עמית נראה כמו שורה אחת, אבל מתנהג כמו הגירה. מה שבאמת זז הוא קבוצת אובייקטים: רשימת העמיתים המועמדים ב-crypto map, הפרופיל או מיפוי האימות שמזהה את הצד המרוחק, שכבת התשתית שמגיעה אליו, והאגודות הפעילות שנבנו מהערכים הישנים. התייחסו לעריכת התצורה כאל השלב האחרון בקבוצה הזו, לא הראשון.
1. תעדו את המצב הנוכחי לפני שנוגעים במשהו
התחילו ברשימת המועמדים המלאה של רשומת ה-crypto map הרלוונטית, לפי הסדר, ולא רק בכתובת שלדעתכם נמצאת בשימוש. הסדר חשוב כי הוא מה שהמכשיר באמת מנסה.
תעדו אותה עם show run crypto map וקראו את הרשומה האפקטיבית עם show crypto map, ואז שמרו את שתי הפלטים לצד הערך החדש המתוכנן. רשמו גם איזה עמית בחרה כל אגודה קיימת, בזמן שאתם שם.
עשו אותו דבר לשכבת הסשנים, בעזרת show vpn-sessiondb l2l ו-show crypto ipsec sa peer <old-address>. שתי הפלטים האלה הם תמונת המצב שלפניכם כשמישהו שואל למה מנהרה נפלה ב-02:10.
2. הוכיחו שהעמית החדש נגיש תחת אותה מדיניות
הוכיחו נגישות לפני שקובעים את החיתוך. הרצת packet-tracer מממשק הפנים אל הרשת המוגנת של העמית החדש מראה אם הניתוב, פטור ה-NAT ומדיניות הגישה מסכימים. אחר כך אשרו את נתיב התעבורה, כי IKE ו-IPsec זקוקים ל-UDP 500 ו-4500 כדי לעבור כל מסנן בין השערים. ping מוצלח לא מוכיח מזה דבר בעצמו.
אם שכבת התשתית צריכה נתיב או שינוי תרגום, זהו שינוי שני עם סיכון משלו. שלבו אותו באותו חלון או תכננו אותו בנפרד, אבל תחליטו איזה, במקום לגלות אותו באמצע החיתוך.
3. העבירו את מיפוי הפרופיל, לא רק את הכתובת
בחירת עמית ובחירת פרופיל הן שני חיפושים שונים. פרופיל חיבור LAN-to-LAN מחזיק מאפיינים כלליים ועשוי להתאים לכתובת, לזהות תעודה או לשם קבוצה. שינוי ה-IP לא משנה איזה פרופיל מתאים כשהפרופיל נשען על נושא התעודה.
| אובייקט | למה הוא ממופתח | מה כתובת עמית חדשה נוגעת בו |
|---|---|---|
| רשימת המועמדים של ה-crypto map | רשומות עמית מוגדרות והסדר שלהן | לאן ASA שולח את החבילות הראשוניות שלו |
| פרופיל חיבור | כתובת, זהות תעודה או קבוצה | רק הפרופילים הממופתחים לפי כתובת |
| קידומות מוגנות | אובייקטי רשת מקומיים ומרוחקים | כלום, אלא אם גם תשנו אותם |
שמרו על חוזה ההסמכה שלם. שינוי כתובת אינו סיבה לרפות בדיקות זהות, ואינו סיבה להדביק מפתח משותף מראש לדוגמה בכרטיס.
4. עקבו אחר סשנים פעילים כל עוד שני המועמדים קיימים
כל עוד שתי הכתובות נמצאות ברשימת המועמדים, החליטו בכתב אם הישנה היא גיבוי או שאריות. תצורה שמכילה את שתיהן תקפה, והיא לא מוכיחה דבר לגבי איזה עמית נשא את הסשן האחרון.
נקו אגודות אבטחה מיושנות רק בצורה המוגבלת לעמית של הגרסה שלכם, clear crypto ipsec sa peer <address>, וצפו שהמנהרות המושפעות ינהלו משא ומתן מחדש. איפוס גלובלי מפיל כל סשן במכשיר ולא ייסלח בשעות העבודה.
אחר כך העבירו זרימת יישום אמיתית אחת ממארח מוגן ואשרו שהתשובה חוזרת דרך נקודת הקצה המיועדת. show vpn-sessiondb l2l אמור לציין את העמית החדש לאותו סשן, ומוני הבתים אמורים לזוז.
5. סגרו את זה או חזרו אחורה
כתבו את החזרה לאחור לפני השינוי: רשימת המועמדים הישנה, מיפוי הפרופיל הישן ורשומת התשתית הישנה. החזיקו נתיב ניהול בלתי תלוי אל ה-ASA, כי עריכת כתובת עמית שגם עולה לכם בגישה היא ערב ארוך. הסירו את העמית המיושן ואת ההסמכות רק לאחר אישור ולאחר תיעוד החלטת הגיבוי. אשרו גם שמדיניות הגישה ברשתות המוגנות לא סטתה.
ההגירה מסתיימת כשהעמית המיועד מאמת את עצמו ונושא את השירות הנדרש תחת המדיניות השמורה. כתובת חדשה בתצורה הרצה היא הוכחה להקלדה, לא להצלחה.