Breyta IPsec-jafningjaðri á ASA án þess að brjóta göngin
Að færa jafningjaðrið snertir kandídatalistann, sniðmátssamsvörun, undirlagið og virkar setur. Farðu í gegnum gátlistann í réttri röð.
Breyting á jafningjaðri lítur út eins og ein lína en hagar sér eins og flutningur. Það sem raunverulega færist er safn hluta: kandídatalisti jafningja á crypto map, sniðmátið eða auðkenningarvörpunin sem greinir fjarlæga endann, undirlagið sem nær til þess, og virku tengingarnar sem byggðar eru á gömlu gildunum. Líttu á stillingabreytinguna sem síðasta skref þessa safns, ekki það fyrsta.
1. Skráðu núverandi ástand áður en þú snertir nokkuð
Byrjaðu á öllum kandídatalistanum fyrir viðkomandi crypto-map færslu, í réttri röð, ekki bara á aðrinu sem þú heldur að sé í notkun. Röðin skiptir máli því hún er það sem tækið prófar í raun.
Skráðu hann með show run crypto map og lestu virku færsluna með show crypto map, og geymdu báðar útkomurnar við hlið hins fyrirhugaða nýja gildis. Skráðu líka hvaða jafningja hver núverandi tenging valdi, á meðan þú ert þar.
Gerðu það sama fyrir setulagið, með show vpn-sessiondb l2l og show crypto ipsec sa peer <old-address>. Þessar tvær útkomur eru myndin þín fyrir breytingu þegar einhver spyr hvers vegna göng féllu klukkan 02:10.
2. Sannaðu að nýi jafninginn sé aðgengilegur undir sömu stefnu
Sannaðu aðgengi áður en þú áætlar skurðinn. Að keyra packet-tracer frá innra viðmóti að vernduðu neti nýja jafningsins sýnir hvort leiðsla, NAT-undanþága og aðgangsstefna séu sammála. Staðfestu síðan flutningsleiðina, því IKE og IPsec þurfa UDP 500 og 4500 til að komast í gegnum hvaða sía sem er milli hliðanna. Árangursríkt ping sannar ekkert af þessu eitt og sér.
Ef undirlagið þarf leið eða þýðingarbreytingu er það önnur breyting með eigin áhættu. Sameinaðu hana í sama glugga eða áætlaðu hana sér, en ákveddu hvor, í stað þess að uppgötva það mitt í skurðinum.
3. Færðu sniðmátsvörpunina, ekki bara aðrið
Val jafnings og val sniðmáts eru tvær ólíkar uppflettingar. LAN-to-LAN tengisniðmát heldur almennum eiginleikum og getur passað við aðrið, skírteinisauðkenni eða hópnafn. Að breyta IP breytir ekki hvaða sniðmát passar þegar sniðmátið byggist á skírteinisefni.
| Hlutur | Við hvað hann er lyklaður | Hvað nýtt jafningjaðri snertir |
|---|---|---|
| Kandídatalisti crypto map | Skilgreindar jafningjafærslur og röð þeirra | Hvert ASA sendir fyrstu pakkana sína |
| Tengisniðmát | Aðrið, skírteinisauðkenni eða hópur | Aðeins sniðmátin sem eru lykluð við aðrið |
| Vernduð forskeyti | Hlutir staðbundins og fjarlægs nets | Ekkert, nema þú breytir þeim líka |
Haltu auðkenningarsamningnum ósnortnum. Aðriðsbreyting er ekki ástæða til að slaka á auðkennisprófunum og ekki ástæða til að líma sýnishorn af pre-shared key í miða.
4. Fylgstu með virkum setum meðan báðir kandídatar eru til
Meðan bæði aðrin standa á kandídatalistanum skaltu ákveða skriflega hvort hið gamla sé varaleið eða afgangur. Stilling sem inniheldur bæði er gild og sannar ekkert um hvaða jafningur bar síðustu setu.
Hreinsaðu úreltar öryggistengingar aðeins með þeirri jafningjatakmörkuðu mynd sem á við þína útgáfu, clear crypto ipsec sa peer <address>, og búðu þig við að göngin sem verða fyrir áhrifum semji aftur. Altæk endurstilling fellir hverja setu á tækinu og verður ekki fyrirgefin á skrifstofutíma.
Leyfðu síðan einni raunverulegri forritastreymi frá vernduðum vélinni í gegn og staðfestu að svarið komi til baka um fyrirhugaðan endapunkt. show vpn-sessiondb l2l ætti að nefna nýja jafningann fyrir þá setu og bætateljararnir ættu að hreyfast.
5. Ljúktu þessu eða rúllaðu til baka
Skrifaðu til baka rúlluna fyrir breytinguna: gamli kandídatalistinn, gamla sniðmátsvörpunin og gamla undirlagsfærslan. Haltu sjálfstæðri stjórnunarleið að ASA, því jafningjaðrisbreyting sem kostar þig líka aðgang er langt kvöld. Fjarlægðu úrelta jafningjann og auðkenninguna aðeins eftir samþykkt og eftir að varaleiðarákvörðunin er skráð. Staðfestu líka að aðgangsstefnan á vernduðu netunum hafi ekki rekist til.
Flutningnum er lokið þegar fyrirhugaður jafningi auðkennir sig og ber nauðsynlega þjónustu undir varðveittri stefnu. Nýtt aðrið í keyrandi stillingu er sönnun um innslátt, ekki árangur.