टनल तोड़े बिना ASA पर IPsec पीयर पता बदलें

पीयर पता बदलना एक पंक्ति का काम लगता है, पर व्यवहार में यह माइग्रेशन जैसा है। वास्तव में वस्तुओं का एक समूह हिलता है: crypto map पर उम्मीदवार पीयर सूची, दूर के सिरे को पहचानने वाली प्रोफ़ाइल या प्रमाणीकरण मैपिंग, वह अंतर्निहित नेटवर्क जो वहाँ पहुँचता है, और पुराने मानों से बने सक्रिय संबंध। कॉन्फ़िगरेशन संपादन को इस समूह का आख़िरी कदम मानें, पहला नहीं।

1. कुछ भी छूने से पहले मौजूदा स्थिति दर्ज करें

संबंधित crypto-map प्रविष्टि की पूरी उम्मीदवार सूची से शुरू करें, क्रम में, न कि केवल उस पते से जो आपको लगता है इस्तेमाल में है। क्रम मायने रखता है, क्योंकि डिवाइस वास्तव में उसी को आज़माता है।

इसे show run crypto map से दर्ज करें और प्रभावी प्रविष्टि show crypto map से पढ़ें, फिर दोनों आउटपुट इच्छित नए मान के पास सहेजें। वहाँ रहते हुए यह भी नोट करें कि हर मौजूदा संबंध ने कौन-सा पीयर चुना।

सत्र परत के लिए भी वही करें, show vpn-sessiondb l2l और show crypto ipsec sa peer <old-address> का उपयोग करके। जब कोई पूछे कि 02:10 पर एक टनल क्यों गिरी, तब ये दोनों आउटपुट आपकी पहले की तस्वीर हैं।

2. साबित करें कि नया पीयर उसी नीति के तहत पहुँच योग्य है

कटओवर तय करने से पहले पहुँच साबित करें। भीतरी इंटरफ़ेस से नए पीयर के संरक्षित नेटवर्क की ओर packet-tracer चलाना दिखाता है कि रूटिंग, NAT छूट और एक्सेस नीति सहमत हैं या नहीं। फिर परिवहन पथ की पुष्टि करें, क्योंकि IKE और IPsec को गेटवे के बीच किसी भी फ़िल्टर को पार करने के लिए UDP 500 और 4500 चाहिए। सफल ping अपने आप में इनमें से कुछ साबित नहीं करता।

यदि अंतर्निहित नेटवर्क को रूट या अनुवाद बदलाव चाहिए, तो वह अपने जोखिम वाला दूसरा बदलाव है। उसे उसी विंडो में शामिल करें या अलग से निर्धारित करें, पर तय करें कौन-सा, बजाय कटओवर के बीच में पता चलने के।

3. केवल पता नहीं, प्रोफ़ाइल मैपिंग भी बदलें

पीयर चयन और प्रोफ़ाइल चयन दो अलग खोजें हैं। LAN-to-LAN कनेक्शन प्रोफ़ाइल सामान्य विशेषताएँ रखती है और पते, प्रमाणपत्र पहचान या समूह नाम पर मेल खा सकती है। जब प्रोफ़ाइल प्रमाणपत्र विषय पर आधारित हो, तब IP बदलने से यह नहीं बदलता कि कौन-सी प्रोफ़ाइल मेल खाती है।

क्रेडेंशियल अनुबंध अटूट रखें। पता बदलना पहचान जाँच ढीली करने का कारण नहीं है, और नमूना pre-shared key टिकट में चिपकाने का कारण भी नहीं।

4. जब तक दोनों उम्मीदवार मौजूद हैं, सक्रिय सत्रों पर नज़र रखें

जब तक दोनों पते उम्मीदवार सूची में हैं, लिखित रूप से तय करें कि पुराना फ़ॉलबैक है या अवशेष। दोनों वाला कॉन्फ़िगरेशन वैध है, और यह कुछ साबित नहीं करता कि पिछला सत्र किस पीयर ने ढोया।

पुराने सुरक्षा संबंध केवल अपनी आवृत्ति के पीयर-सीमित रूप से साफ़ करें, clear crypto ipsec sa peer <address>, और अपेक्षा करें कि प्रभावित टनल फिर से बातचीत करेंगी। वैश्विक रीसेट उपकरण पर हर सत्र गिरा देता है और कार्य समय में यह माफ़ नहीं किया जाएगा।

फिर संरक्षित होस्ट से एक वास्तविक अनुप्रयोग प्रवाह गुज़ारें और पुष्टि करें कि उत्तर इच्छित एंडपॉइंट से लौटता है। show vpn-sessiondb l2l को उस सत्र के लिए नया पीयर बताना चाहिए, और बाइट काउंटर हिलने चाहिए।

5. इसे बंद करें या वापस लौटें

बदलाव से पहले रोलबैक लिखें: पुरानी उम्मीदवार सूची, पुरानी प्रोफ़ाइल मैपिंग और पुरानी अंतर्निहित प्रविष्टि। ASA तक स्वतंत्र प्रबंधन पथ रखें, क्योंकि पीयर पते का संपादन जो पहुँच भी छीन ले, एक लंबी शाम है। पुराने पीयर और क्रेडेंशियल केवल स्वीकृति के बाद और फ़ॉलबैक निर्णय दर्ज होने के बाद हटाएँ। यह भी पुष्टि करें कि संरक्षित नेटवर्क पर एक्सेस नीति नहीं खिसकी।

माइग्रेशन तब पूरा होता है जब इच्छित पीयर प्रमाणीकरण पास करता है और संरक्षित नीति के तहत आवश्यक सेवा ढोता है। चालू कॉन्फ़िगरेशन में नया पता टाइप करने का प्रमाण है, सफलता का नहीं।