IPsec գործընկերոջ հասցեի փոփոխություն ASA-ում առանց թունելը կտրելու

Գործընկերոջ հասցեի փոփոխությունը մեկ տողի տեսք ունի, բայց վարվում է որպես միգրացիա։ Իրականում տեղաշարժվում է օբյեկտների մի շարք՝ crypto map-ի թեկնածու գործընկերների ցանկը, հեռավոր ծայրը նույնականացնող պրոֆիլը կամ վավերացման քարտեզագրումը, հիմքային ցանցը, որը հասնում է այնտեղ, և հին արժեքներից կառուցված ակտիվ ասոցիացիաները։ Կոնֆիգուրացիայի խմբագրումը դիտեք որպես այդ շարքի վերջին քայլ, ոչ առաջին։

1. Գրանցեք ընթացիկ վիճակը նախքան որևէ բանի դիպչելը

Սկսեք համապատասխան crypto-map գրառման ամբողջ թեկնածուների ցանկով, հերթականությամբ, ոչ միայն այն հասցեով, որը կարծում եք՝ օգտագործվում է։ Հերթականությունը կարևոր է, քանի որ հենց այն է, ինչ սարքը իրականում փորձում է։

Գրանցեք այն show run crypto map հրամանով և կարդացեք գործող գրառումը show crypto map հրամանով, ապա պահպանեք երկու ելքերը նախատեսված նոր արժեքի կողքին։ Այնտեղ եղած ժամանակ նշեք նաև, թե որ գործընկերոջն է ընտրել յուրաքանչյուր գոյություն ունեցող ասոցիացիա։

Նույնը արեք սեսիաների շերտի համար՝ օգտագործելով show vpn-sessiondb l2l և show crypto ipsec sa peer <old-address> հրամանները։ Այս երկու ելքերը ձեր «մինչև» պատկերն են, երբ ինչ-որ մեկը հարցնի, թե ինչու թունելը ընկավ 02:10-ին։

2. Ապացուցեք, որ նոր գործընկերը հասանելի է նույն քաղաքականության ներքո

Ապացուցեք հասանելիությունը նախքան անցումը պլանավորելը։ packet-tracer գործարկումը ներքին ինտերֆեյսից դեպի նոր գործընկերոջ պաշտպանված ցանց ցույց է տալիս՝ արդյոք երթուղումը, NAT բացառությունը և մուտքի քաղաքականությունը համաձայն են։ Ապա հաստատեք տրանսպորտային ուղին, քանի որ IKE-ը և IPsec-ը պահանջում են UDP 500 և 4500՝ դարպասների միջև ցանկացած զտիչ անցնելու համար։ Հաջող ping-ն ինքնին ոչինչ չի ապացուցում։

Եթե հիմքային ցանցին անհրաժեշտ է երթուղի կամ թարգմանության փոփոխություն, դա երկրորդ փոփոխությունն է՝ իր ռիսկով։ Միավորեք այն նույն պատուհանում կամ պլանավորեք առանձին, բայց որոշեք, թե որն է, փոխարենը՝ անցման կեսին հայտնաբերելու։

3. Տեղափոխեք պրոֆիլի քարտեզագրումը, ոչ միայն հասցեն

Գործընկերոջ ընտրությունը և պրոֆիլի ընտրությունը տարբեր որոնումներ են։ LAN-to-LAN կապի պրոֆիլը պահում է ընդհանուր ատրիբուտներ և կարող է համապատասխանել հասցեով, վկայագրի ինքնությամբ կամ խմբի անվամբ։ IP-ն փոխելը չի փոխում, թե որ պրոֆիլն է համապատասխանում, երբ պրոֆիլը հիմնված է վկայագրի սուբյեկտի վրա։

Պահեք վավերագրերի պայմանագիրն անփոփոխ։ Հասցեի փոփոխությունը ինքնության ստուգումները թուլացնելու պատճառ չէ, և օրինակելի pre-shared key-ը տոմսի մեջ փակցնելու պատճառ էլ չէ։

4. Հետևեք ակտիվ սեսիաներին, քանի դեռ երկու թեկնածուներն էլ կան

Քանի դեռ երկու հասցեներն էլ թեկնածուների ցանկում են, գրավոր որոշեք՝ հինը պահուստ է, թե մնացորդ։ Երկուսն էլ պարունակող կոնֆիգուրացիան վավեր է, և ոչինչ չի ապացուցում, թե որ գործընկերն է կրել վերջին սեսիան։

Մաքրեք հնացած անվտանգության ասոցիացիաները միայն ձեր տարբերակի գործընկերով սահմանափակ ձևով՝ clear crypto ipsec sa peer <address>, և սպասեք, որ տուժած թունելները նորից բանակցեն։ Գլոբալ վերակայումը գցում է սարքի բոլոր սեսիաները և աշխատանքային ժամերին չի ներվի։

Ապա բաց թողեք մեկ իրական հավելվածային հոսք պաշտպանված հոսթից և հաստատեք, որ պատասխանը վերադառնում է նախատեսված վերջնակետով։ show vpn-sessiondb l2l պետք է նշի նոր գործընկերոջը այդ սեսիայի համար, և բայթի հաշվիչները պետք է շարժվեն։

5. Փակեք այն կամ հետ գլորեք

Գրեք հետգլորումը մինչև փոփոխությունը՝ հին թեկնածուների ցանկը, հին պրոֆիլի քարտեզագրումը և հին հիմքային ցանցի գրառումը։ Պահեք անկախ կառավարման ուղի դեպի ASA, քանի որ գործընկերոջ հասցեի խմբագրումը, որը նաև ձեզնից խլում է հասանելիությունը, երկար երեկո է։ Հեռացրեք հնացած գործընկերոջն ու վավերագրերը միայն ընդունումից և պահուստային որոշումը գրանցելուց հետո։ Հաստատեք նաև, որ պաշտպանված ցանցերի մուտքի քաղաքականությունը չի շեղվել։

Միգրացիան ավարտված է, երբ նախատեսված գործընկերը վավերացնում է իրեն և պահպանված քաղաքականության ներքո կրում է պահանջվող ծառայությունը։ Գործող կոնֆիգուրացիայի նոր հասցեն մուտքագրելու ապացույց է, ոչ թե հաջողության։