VPN-ի միգրացիա IOS-ից ASA՝ թարգմանեք համաձայնությունը, ոչ թե հրամանները
Գաղտնագրային քարտեզը ASA-ի թունելային խումբ չէ։ Համաձայնության որ մասերն են փոխանցվում, որոնք պետք է նորից կառուցվեն, և որ ստուգումներն են ապացուցում, որ ծառայությունը աշխատում է։
ASA-ի միգրացիայի համար որպես հղում եկող IOS-ի կազմաձևումը նկարագրում է համաձայնություն, որը փաթաթված է մեկ հարթակի շարահյուսության մեջ։ Համընկերների հասցեները, ինքնությունները և պաշտպանված միջակայքերը հենց համաձայնությունն են։ Բանալու օղակը, պրոֆիլը և գաղտնագրային քարտեզների շղթան այն ձևն է, որով IOS-ը դա արտահայտում է, մինչդեռ ASA-ն նույն մտադրությունն արտահայտում է թունելային խմբերի և դրանց հատկանիշների միջոցով։ Երկրորդ մասը պատճենելը երբեք չի աշխատում, իսկ միայն առաջինը պատճենելը աշխատանքը թողնում է կիսատ։
Անցեք ստորև բերված հինգ քայլերը հերթականությամբ և կանգ առեք այնտեղ, որտեղ երկու հարթակները նկարագրում են տարբեր բաներ, այլ ոչ թե տարբեր բառեր։
Քայլ 1՝ առանձնացրեք համաձայնությունը շարահյուսությունից
Գրեք փոխանցումը որպես պահանջներ, որոնց համաձայն են երկու ադմինիստրատորները։ Չորս տող ընդգրկում են գրեթե ամեն ինչ՝ որտեղ է համընկերը և որ կողմն է սկսում, ինչպես է յուրաքանչյուր կողմ ապացուցում իր ինքնությունը, ինչ պաշտպանություն է ընդունելի, և որ հավելվածները պետք է անցնեն թունելով։ Այս տողերից ոչ մեկը հրաման չի հիշատակում։
Պահեք բնօրինակ տեքստը որպես ապացույց, ոչ թե հրահանգ։ Տողը, որը կա մեկ հարթակում և չկա մյուսում, շարահյուսության տարբերություն է, քանի դեռ չեք ստուգել՝ արդյոք նույն պահանջը կարելի է կատարել այլ կերպ։
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Քայլ 2՝ անվանեք օբյեկտները յուրաքանչյուր հարթակում
IOS XE-ում IKEv2 բանալու օղակը սնուցում է IKEv2 պրոֆիլ, և այդ պրոֆիլը կցվում է գաղտնագրային քարտեզի կամ IPsec պրոֆիլի միջոցով։ ASA-ում թունելային խումբը պարունակում է միացման պրոֆիլը և դրա IPsec հատկանիշները, և գաղտնագրային քարտեզը ցույց է տալիս դրա վրա, ինչպես նկարագրում է միացման պրոֆիլի ուղեցույցը։ Սրանք տարբեր օբյեկտային գրաֆներ են՝ տարբեր ժառանգությամբ, և այդ պատճառով տող առ տող համապատասխանեցումը տալիս է կազմաձևում, որը վերլուծվում է և չի միանում։
Կառուցեք նպատակային օբյեկտները պահանջների տողերից, ոչ թե աղբյուրի տողերից։ Եթե տողերը ամբողջական են, նպատակային կազմաձևումը նախագծային որոշում է։ Եթե ոչ, ապա հրամանների թարգմանության ոչ մի քանակություն չի տա բացակայող մտադրությունը։
Քայլ 3՝ տեղափոխեք ինքնությունը, ոչ միայն հասցեները
Ինքնությունը այն մասն է, որը լուռ կոտրվում է։ Հասցեով նույնականացվող համընկերը այլ կերպ է վարվում, քան վկայագրի սուբյեկտով կամ FQDN-ով նույնականացվողը, և երկու հարթակները այդ սպասումը գրանցում են տարբեր տեղերում։ Պահպանեք նախատեսված ինքնությունը և վստահության շղթան՝ փոխարենը չփոխարինելով ընդհանուր գաղտնիքը, որովհետև այն ավելի հեշտ է փորձարկել։
Նախապես համօգտագործված գաղտնիքը հեռու պահեք համեմատության նշումներից և տոմսերից։ Գրանցեք, թե ով է այն տիրապետում և ինչպես է այն շարժվում հաստատված ալիքով, և հիշեք, որ փաստաթղթային օրինակի փոխարինիչը հաճախորդի հավատարմագրերը չեն։
Քայլ 4՝ համաձայնեցրեք պաշտպանությունը անցումից առաջ
Չտեղափոխեք հին գաղտնագրային կարգավորումները միայն այն պատճառով, որ դրանք կան տրված տեքստում։ Համաձայնեցրեք այն հավաքածուների հատումը, որոնք ներկայումս աջակցում են երկու տեղակայված համընկերները, և հաստատեք այն մյուս ադմինիստրատորի հետ մինչև փոփոխության պատուհանը։ Եթե այդ հատումը տարբերվում է գործող համընկերի սպասելիքից, դա համակարգված փոփոխություն է, ոչ թե տեղական խմբագրում։
Գրեք համաձայնեցված հավաքածուն։ Երկու ադմինիստրատոր, որոնք տարբեր հիշողություններ ունեն հեռախոսազանգի մասին, այն պատճառն են, թե ինչու անցումը երկրորդ փուլում անհամապատասխանություն է առաջացնում։
Քայլ 5՝ ստուգեք ծառայությունը, ոչ թե շարահյուսությունը
Նախ ստուգեք նպատակի արդյունավետ օբյեկտները, ապա ընդունված կապակցումը, ապա իրական հավելվածային հոսքը և դրա պատասխանը։ Առանց սխալի հրաման մուտքագրելը ապացուցում է շարահյուսությունը և ուրիշ ոչինչ։ Թունելը, որը բարձրանում է և երթևեկություն չի կրում, սովորաբար նշանակում է, որ պաշտպանված միջակայքերը կամ վերադարձի ուղին չեն համընկնում մյուս կողմի հետ, ինչը պահանջի տողի խնդիր է, ոչ թե հրամանի։ Համեմատեք պաշտպանված միջակայքերը երկու կողմերում նախքան գաղտնագրային քարտեզին նորից դիպչելը։
Գրանցեք, թե ինչ եք ստուգել, որ հասցեներով և որ կողմից։ Այդ գրառումը VPN-ի աշխատելու մասին անորոշ պնդումը դարձնում է մի բան, որը մյուս ադմինիստրատորը կարող է ինքնուրույն ստուգել։
Ինչ վերադարձնել
Ուղարկեք պահանջների մատրիցը, նպատակային կազմաձևման ամփոփումը և ստուգման արդյունքները։ Հստակ նշեք, թե որ աղբյուրի կարգավորումները չեք տեղափոխել և ինչու։ Այդ ցանկն ավելի օգտակար է, քան թարգմանված կազմաձևումը, որովհետև հաջորդ տարաձայնությունն այնտեղից կսկսվի։
Աղբյուր տեքստը նույնպես պահեք տոմսի հետ։ Այն փաստագրում է, թե ինչ է պահանջվել, մինչդեռ մատրիցը՝ թե ինչ է համաձայնեցվել։