Migrasi VPN dari IOS ke ASA: terjemahkan kesepakatannya, bukan perintahnya
Peta kripto bukan grup tunnel ASA. Bagian mana dari kesepakatan yang ikut berpindah, mana yang harus dibangun ulang, dan pemeriksaan apa yang membuktikan layanan berfungsi.
Konfigurasi IOS yang datang sebagai acuan migrasi ke ASA menggambarkan kesepakatan yang terbungkus dalam sintaksis satu platform. Alamat peer, identitas, dan rentang yang dilindungi adalah kesepakatannya. Ring kunci, profil, dan rangkaian peta kripto adalah cara IOS menyatakannya, sedangkan ASA menyatakan maksud yang sama melalui grup tunnel dan atributnya. Menyalin bagian kedua tidak pernah berhasil, dan menyalin bagian pertama saja membuat pekerjaan setengah jadi.
Jalani lima langkah di bawah secara berurutan, dan berhentilah di mana pun kedua platform menjelaskan hal yang berbeda, bukan kata yang berbeda.
Langkah 1: pisahkan kesepakatan dari sintaksis
Tuliskan serah terima sebagai persyaratan yang disepakati kedua administrator. Empat baris mencakup hampir semuanya: di mana peer berada dan sisi mana yang memulai, bagaimana setiap sisi membuktikan identitasnya, perlindungan apa yang dapat diterima, dan aplikasi apa yang harus bertahan melewati tunnel. Tidak satu pun baris itu menyebut perintah.
Simpan teks asli sebagai bukti, bukan sebagai instruksi. Baris yang ada di satu platform dan tidak ada di platform lain adalah perbedaan sintaksis sampai Anda memeriksa apakah persyaratan yang sama dapat dipenuhi dengan cara lain.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Langkah 2: beri nama objek di setiap platform
Di IOS XE, ring kunci IKEv2 memberi masukan ke profil IKEv2, dan profil itu dipasang melalui peta kripto atau profil IPsec. Di ASA, grup tunnel menyimpan profil koneksi dan atribut IPsec-nya, dan peta kripto menunjuk ke sana, seperti yang dijelaskan panduan profil koneksi. Ini adalah graf objek yang berbeda dengan pewarisan yang berbeda, karena itu pemetaan baris demi baris menghasilkan konfigurasi yang terurai dan tidak tersambung.
Bangun objek tujuan dari baris persyaratan, bukan dari baris sumber. Jika barisnya lengkap, konfigurasi tujuan adalah keputusan desain. Jika tidak, tidak ada jumlah penerjemahan perintah yang akan memasok maksud yang hilang.
Langkah 3: bawa identitas, bukan hanya alamat
Identitas adalah bagian yang rusak diam-diam. Peer yang mengautentikasi dengan alamat berperilaku berbeda dari yang mengautentikasi dengan subjek sertifikat atau FQDN, dan kedua platform mencatat harapan itu di tempat berbeda. Pertahankan identitas yang dimaksud dan rantai kepercayaan alih-alih mengganti rahasia bersama karena lebih mudah diuji.
Jauhkan rahasia yang dibagikan sebelumnya dari catatan perbandingan dan tiket. Catat siapa pemiliknya dan bagaimana ia berpindah melalui saluran yang disetujui, dan ingat bahwa pengganti dari contoh dokumentasi bukan kredensial pelanggan.
Langkah 4: sepakati perlindungan sebelum peralihan
Jangan bawa pengaturan kriptografi lama hanya karena muncul di teks yang diberikan. Sepakati irisan suite yang saat ini didukung kedua peer yang terpasang, dan konfirmasikan dengan administrator lain sebelum jendela perubahan. Jika irisan itu berbeda dari yang diharapkan peer yang ada, itu perubahan terkoordinasi, bukan penyuntingan lokal.
Tuliskan himpunan yang disepakati. Dua administrator dengan ingatan berbeda tentang satu panggilan telepon adalah cara peralihan menghasilkan ketidakcocokan fase dua.
Langkah 5: verifikasi layanannya, bukan sintaksisnya
Periksa dulu objek efektif tujuan, lalu asosiasi yang diterima, lalu alur aplikasi nyata dan balasannya. Memasukkan perintah tanpa galat membuktikan sintaksis dan tidak lebih. Tunnel yang naik dan tidak membawa lalu lintas biasanya berarti rentang yang dilindungi atau rute balik tidak sesuai dengan sisi lain, yang merupakan masalah baris persyaratan, bukan perintah. Bandingkan rentang yang dilindungi di kedua sisi sebelum Anda menyentuh peta kripto lagi.
Catat apa yang Anda verifikasi, dengan alamat mana, dari sisi mana. Catatan itu mengubah klaim ambigu bahwa VPN menyala menjadi sesuatu yang dapat diperiksa administrator lain secara mandiri.
Apa yang dikembalikan
Kirim matriks persyaratan, ringkasan konfigurasi tujuan, dan hasil verifikasi. Nyatakan dengan jelas pengaturan sumber mana yang tidak Anda bawa dan mengapa. Daftar itu lebih berguna daripada konfigurasi terjemahan, karena di situlah ketidaksepakatan berikutnya akan dimulai.
Simpan teks sumber bersama tiket juga. Itu mendokumentasikan apa yang diminta, sedangkan matriks mendokumentasikan apa yang disepakati.