Mengubah alamat peer IPsec di ASA tanpa memutus tunnel
Memindahkan alamat peer menyentuh daftar kandidat, pencocokan profil, underlay, dan sesi aktif. Kerjakan daftar periksa secara berurutan.
Perubahan alamat peer terlihat seperti satu baris, tetapi berperilaku seperti migrasi. Yang benar-benar berpindah adalah sekumpulan objek: daftar peer kandidat pada crypto map, profil atau pemetaan autentikasi yang mengidentifikasi ujung jauh, underlay yang menjangkaunya, dan asosiasi aktif yang dibangun dari nilai lama. Perlakukan penyuntingan konfigurasi sebagai langkah terakhir dari himpunan itu, bukan yang pertama.
1. Catat keadaan saat ini sebelum menyentuh apa pun
Mulailah dari seluruh daftar kandidat untuk entri crypto map terkait, sesuai urutan, bukan hanya alamat yang Anda anggap sedang dipakai. Urutan penting karena itulah yang benar-benar dicoba perangkat.
Rekam dengan show run crypto map dan baca entri efektif dengan show crypto map, lalu simpan kedua keluaran di samping nilai baru yang direncanakan. Catat juga peer mana yang dipilih setiap asosiasi yang ada, selagi Anda di sana.
Lakukan hal yang sama untuk lapisan sesi, dengan show vpn-sessiondb l2l dan show crypto ipsec sa peer <old-address>. Kedua keluaran itu adalah gambaran sebelum Anda ketika seseorang bertanya mengapa sebuah tunnel putus pada 02:10.
2. Buktikan peer baru dapat dijangkau di bawah kebijakan yang sama
Buktikan keterjangkauan sebelum menjadwalkan pemotongan. Menjalankan packet-tracer dari antarmuka dalam menuju jaringan terlindungi peer baru menunjukkan apakah perutean, pengecualian NAT, dan kebijakan akses sejalan. Lalu pastikan jalur transportasi, karena IKE dan IPsec memerlukan UDP 500 dan 4500 untuk melewati filter apa pun di antara gateway. Ping yang berhasil tidak membuktikan satu pun dari itu sendiri.
Jika underlay memerlukan rute atau perubahan terjemahan, itu perubahan kedua dengan risikonya sendiri. Gabungkan dalam jendela yang sama atau jadwalkan terpisah, tetapi putuskan yang mana, bukan menemukannya di tengah pemotongan.
3. Pindahkan pemetaan profil, bukan hanya alamatnya
Pemilihan peer dan pemilihan profil adalah dua pencarian berbeda. Profil koneksi LAN-to-LAN memuat atribut umum dan dapat cocok berdasarkan alamat, identitas sertifikat, atau nama grup. Mengubah IP tidak mengubah profil mana yang cocok ketika profil berpatokan pada subjek sertifikat.
| Objek | Apa yang menjadi kuncinya | Apa yang disentuh alamat peer baru |
|---|---|---|
| Daftar kandidat crypto map | Entri peer yang dikonfigurasi dan urutannya | Ke mana ASA mengirim paket awalnya |
| Profil koneksi | Alamat, identitas sertifikat, atau grup | Hanya profil yang dikunci alamat |
| Prefiks terlindungi | Objek jaringan lokal dan jarak jauh | Tidak ada, kecuali Anda juga mengubahnya |
Jaga kontrak kredensial tetap utuh. Perubahan alamat bukan alasan melonggarkan pemeriksaan identitas, dan bukan alasan menempelkan pre-shared key contoh ke dalam tiket.
4. Pantau sesi aktif selama kedua kandidat ada
Selama kedua alamat berada di daftar kandidat, putuskan secara tertulis apakah yang lama cadangan atau sisa. Konfigurasi yang memuat keduanya sah, dan itu tidak membuktikan apa pun tentang peer mana yang membawa sesi terakhir.
Hapus asosiasi keamanan yang usang hanya dengan bentuk yang dibatasi peer untuk rilis Anda, clear crypto ipsec sa peer <address>, dan perkirakan tunnel yang terdampak akan bernegosiasi ulang. Reset global menjatuhkan setiap sesi pada perangkat dan tidak akan dimaafkan pada jam kerja.
Lalu lewatkan satu aliran aplikasi nyata dari host terlindungi dan pastikan balasannya kembali melalui titik akhir yang dimaksud. show vpn-sessiondb l2l seharusnya menyebut peer baru untuk sesi itu, dan penghitung byte seharusnya bergerak.
5. Tutup atau kembalikan
Tulis rencana pengembalian sebelum perubahan: daftar kandidat lama, pemetaan profil lama, dan entri underlay lama. Pertahankan jalur manajemen independen ke ASA, karena penyuntingan alamat peer yang juga menghabiskan akses Anda adalah malam yang panjang. Hapus peer usang dan kredensial hanya setelah penerimaan dan setelah keputusan cadangan dicatat. Pastikan juga kebijakan akses pada jaringan terlindungi tidak bergeser.
Migrasi selesai ketika peer yang dimaksud melakukan autentikasi dan membawa layanan yang dibutuhkan di bawah kebijakan yang dipertahankan. Alamat baru dalam konfigurasi berjalan adalah bukti pengetikan, bukan bukti keberhasilan.