IOS से ASA तक VPN माइग्रेशन: अनुबंध का अनुवाद करें, कमांड का नहीं
क्रिप्टो मैप ASA टनल-ग्रुप नहीं है। अनुबंध के कौन-से हिस्से स्थानांतरित होते हैं, किन्हें फिर से बनाना पड़ता है, और कौन-सी जाँच साबित करती है कि सेवा काम कर रही है।
ASA माइग्रेशन के संदर्भ के रूप में आने वाला IOS कॉन्फ़िगरेशन एक ऐसे अनुबंध का वर्णन करता है जो एक प्लेटफ़ॉर्म के सिंटैक्स में लपेटा हुआ है। पीयर पते, पहचान और संरक्षित श्रेणियाँ ही अनुबंध हैं। की रिंग, प्रोफ़ाइल और क्रिप्टो मैप की श्रृंखला वह तरीका है जिससे IOS इसे व्यक्त करता है, जबकि ASA वही मंशा टनल समूहों और उनके गुणों के माध्यम से व्यक्त करता है। दूसरे हिस्से की नकल कभी काम नहीं करती, और केवल पहले की नकल करने से काम आधा रह जाता है।
नीचे दिए पाँच चरणों को क्रम से पूरा करें, और वहाँ रुकें जहाँ दोनों प्लेटफ़ॉर्म अलग शब्दों के बजाय अलग चीज़ों का वर्णन करते हैं।
चरण 1: अनुबंध को सिंटैक्स से अलग करें
हस्तांतरण को ऐसी आवश्यकताओं के रूप में लिखें जिन पर दोनों प्रशासक सहमत हों। चार पंक्तियाँ लगभग सब कुछ कवर करती हैं: पीयर कहाँ है और कौन-सा पक्ष शुरू करता है, हर पक्ष अपनी पहचान कैसे साबित करता है, कौन-सी सुरक्षा स्वीकार्य है, और किन अनुप्रयोगों को टनल से गुज़रना है। इनमें से कोई भी पंक्ति कमांड का उल्लेख नहीं करती।
मूल पाठ को निर्देशों के बजाय प्रमाण के रूप में रखें। एक प्लेटफ़ॉर्म पर मौजूद और दूसरे पर न मौजूद पंक्ति सिंटैक्स का अंतर है, जब तक आप जाँच न कर लें कि वही आवश्यकता किसी और तरीके से पूरी हो सकती है।
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
चरण 2: हर प्लेटफ़ॉर्म पर ऑब्जेक्ट के नाम दें
IOS XE में IKEv2 की रिंग IKEv2 प्रोफ़ाइल को पोषण देती है, और वह प्रोफ़ाइल क्रिप्टो मैप या IPsec प्रोफ़ाइल के ज़रिए जुड़ती है। ASA में टनल समूह कनेक्शन प्रोफ़ाइल और उसके IPsec गुण रखता है, और क्रिप्टो मैप उसकी ओर संकेत करता है, जैसा वर्णन करती है कनेक्शन प्रोफ़ाइल मार्गदर्शिका। ये अलग-अलग वंशानुक्रम वाले अलग ऑब्जेक्ट ग्राफ़ हैं, इसलिए पंक्ति-दर-पंक्ति मैपिंग ऐसा कॉन्फ़िगरेशन देती है जो पार्स होता है और जुड़ता नहीं।
लक्ष्य ऑब्जेक्ट आवश्यकता की पंक्तियों से बनाएँ, स्रोत पंक्तियों से नहीं। यदि पंक्तियाँ पूरी हैं, तो लक्ष्य कॉन्फ़िगरेशन एक डिज़ाइन निर्णय है। यदि नहीं, तो कमांड अनुवाद की कोई भी मात्रा छूटी हुई मंशा नहीं देगी।
चरण 3: केवल पते नहीं, पहचान भी ले जाएँ
पहचान वह हिस्सा है जो चुपचाप टूटता है। पते से प्रमाणित होने वाला पीयर प्रमाणपत्र के विषय या FQDN से प्रमाणित होने वाले से अलग व्यवहार करता है, और दोनों प्लेटफ़ॉर्म उस अपेक्षा को अलग-अलग जगह दर्ज करते हैं। परीक्षण आसान है इसलिए साझा रहस्य बदलने के बजाय इच्छित पहचान और विश्वास श्रृंखला को सुरक्षित रखें।
पूर्व-साझा रहस्य को तुलना नोट्स और टिकटों से दूर रखें। दर्ज करें कि उसका स्वामी कौन है और वह स्वीकृत चैनल से कैसे गुज़रता है, और याद रखें कि दस्तावेज़ीकरण के उदाहरण का प्लेसहोल्डर ग्राहक का क्रेडेंशियल नहीं है।
चरण 4: स्विचओवर से पहले सुरक्षा पर सहमति बनाएँ
पुरानी क्रिप्टोग्राफ़िक सेटिंग्स को केवल इसलिए न ले जाएँ कि वे दिए गए पाठ में दिखती हैं। उन सूटों का प्रतिच्छेद तय करें जिन्हें दोनों तैनात पीयर अभी समर्थन देते हैं, और परिवर्तन विंडो से पहले दूसरे प्रशासक के साथ उसकी पुष्टि करें। यदि वह प्रतिच्छेद मौजूदा पीयर की अपेक्षा से अलग है, तो यह स्थानीय संपादन नहीं बल्कि समन्वित परिवर्तन है।
सहमत सेट लिख लें। फ़ोन कॉल के बारे में अलग यादें रखने वाले दो प्रशासक ही इस बात का कारण हैं कि स्विचओवर दूसरे चरण में बेमेल पैदा करता है।
चरण 5: सिंटैक्स नहीं, सेवा सत्यापित करें
पहले लक्ष्य के प्रभावी ऑब्जेक्ट जाँचें, फिर स्वीकृत संबंध, फिर वास्तविक अनुप्रयोग प्रवाह और उसका उत्तर। बिना त्रुटि कमांड दर्ज करना सिंटैक्स साबित करता है और कुछ नहीं। जो टनल ऊपर आता है और कोई ट्रैफ़िक नहीं ले जाता, उसका अर्थ आमतौर पर यह होता है कि संरक्षित श्रेणियाँ या वापसी मार्ग दूसरे पक्ष से मेल नहीं खाते, जो कमांड की नहीं बल्कि आवश्यकता-पंक्ति की समस्या है। क्रिप्टो मैप को फिर छूने से पहले दोनों ओर की संरक्षित श्रेणियों की तुलना करें।
दर्ज करें कि आपने क्या सत्यापित किया, किन पतों के साथ, किस पक्ष से। वह रिकॉर्ड VPN के चालू होने के अस्पष्ट दावे को ऐसी चीज़ में बदल देता है जिसे दूसरा प्रशासक स्वतंत्र रूप से जाँच सके।
क्या वापस देना है
आवश्यकता मैट्रिक्स, लक्ष्य कॉन्फ़िगरेशन का सारांश और सत्यापन परिणाम भेजें। स्पष्ट रूप से बताएँ कि कौन-सी स्रोत सेटिंग्स आपने नहीं लीं और क्यों। वह सूची अनुवादित कॉन्फ़िगरेशन से अधिक उपयोगी है, क्योंकि अगला मतभेद वहीं से शुरू होगा।
स्रोत पाठ भी टिकट के साथ रखें। यह दर्ज करता है कि क्या माँगा गया, जबकि मैट्रिक्स दर्ज करता है कि किस पर सहमति बनी।