IPsec-társ címének módosítása ASA-n a tunnel megszakítása nélkül

A tárcím módosítása egy sornak látszik, mégis migrációként viselkedik. Valójában objektumok halmaza mozdul el: a crypto map jelölt-társlistája, a távoli véget azonosító profil vagy hitelesítési leképezés, az alaphálózat, amely eléri, és a régi értékekből épült élő kapcsolatok. A konfiguráció szerkesztését ennek a halmaznak az utolsó lépéseként kezelje, nem az elsőként.

1. Rögzítse a jelenlegi állapotot, mielőtt bármihez hozzányúl

Kezdje a vonatkozó crypto-map bejegyzés teljes jelöltlistájával, sorrendben, ne csak azzal a címmel, amelyről azt hiszi, hogy használatban van. A sorrend számít, mert az eszköz valójában azt próbálja.

Rögzítse a show run crypto map paranccsal, és olvassa ki az érvényes bejegyzést a show crypto map paranccsal, majd mentse mindkét kimenetet a tervezett új érték mellé. Jegyezze fel azt is, melyik társat választotta az egyes meglévő kapcsolatok, amíg ott van.

Ugyanezt tegye a munkamenet-réteggel, a show vpn-sessiondb l2l és a show crypto ipsec sa peer <old-address> használatával. Ez a két kimenet az Ön előtte-állapota, amikor valaki megkérdezi, miért esett el egy tunnel 02:10-kor.

2. Bizonyítsa, hogy az új társ ugyanazon szabályzat mellett elérhető

A cutover ütemezése előtt bizonyítsa az elérhetőséget. A packet-tracer futtatása a belső interfészről az új társ védett hálózata felé megmutatja, hogy az útválasztás, a NAT-kivétel és a hozzáférési szabályzat egyetért-e. Utána erősítse meg a szállítási útvonalat, mert az IKE és az IPsec UDP 500 és 4500 portot igényel, hogy bármely szűrőn átjusson az átjárók között. Egy sikeres ping önmagában semmit sem bizonyít ebből.

Ha az alaphálózatnak útvonalra vagy fordítási változtatásra van szüksége, az egy második változtatás, saját kockázattal. Vonja össze ugyanabba az ablakba, vagy ütemezze külön, de döntse el, melyiket, ahelyett hogy a cutover közepén fedezné fel.

3. A profil-leképezést mozgassa, ne csak a címet

A társ kiválasztása és a profil kiválasztása két különböző keresés. A LAN-to-LAN kapcsolati profil általános attribútumokat tartalmaz, és illeszkedhet címre, tanúsítvány-identitásra vagy csoportnévre. Az IP módosítása nem változtatja meg, melyik profil illeszkedik, ha a profil tanúsítvány-tárgyra épül.

Tartsa érintetlenül a hitelesítő adatok szerződését. A címváltozás nem ok az identitásellenőrzések lazítására, és nem ok egy minta pre-shared key jegybe másolására.

4. Figyelje az élő munkameneteket, amíg mindkét jelölt létezik

Amíg mindkét cím a jelöltlistán van, írásban döntse el, hogy a régi tartalék-e vagy maradvány. A mindkettőt tartalmazó konfiguráció érvényes, és semmit sem bizonyít arról, melyik társ vitte az utolsó munkamenetet.

Az elavult biztonsági kapcsolatokat csak a kiadásához tartozó társ-hatókörű formával törölje, clear crypto ipsec sa peer <address>, és számítson rá, hogy az érintett tunnelek újratárgyalnak. A globális visszaállítás minden munkamenetet ledob a készüléken, és munkaidőben nem nézik el.

Ezután engedjen át egy valódi alkalmazásfolyamot egy védett gazdagépről, és erősítse meg, hogy a válasz a tervezett végponton keresztül tér vissza. show vpn-sessiondb l2l a munkamenethez az új társat kell megnevezze, és a bájtszámlálóknak mozdulniuk kell.

5. Zárja le vagy álljon vissza

Írja meg a visszaállítást a változtatás előtt: a régi jelöltlista, a régi profil-leképezés és a régi alaphálózati bejegyzés. Tartson fenn független felügyeleti útvonalat az ASA felé, mert a tárcím-szerkesztés, amely a hozzáférést is elveszi, hosszú estét jelent. Az elavult társat és a hitelesítő adatokat csak az elfogadás és a tartalékdöntés rögzítése után távolítsa el. Azt is erősítse meg, hogy a védett hálózatok hozzáférési szabályzata nem csúszott el.

A migráció akkor kész, amikor a tervezett társ hitelesíti magát, és a megtartott szabályzat mellett hordozza a szükséges szolgáltatást. Az új cím a futó konfigurációban a gépelés bizonyítéka, nem a sikeré.