VPN-flutningur frá IOS yfir í ASA: þýddu samkomulagið, ekki skipanirnar

IOS-stilling sem berst sem viðmið fyrir flutning yfir í ASA lýsir samkomulagi sem er vafið inn í setningafræði eins kerfis. Jafningjafengi, auðkenni og varin svið eru samkomulagið. Lyklahringurinn, sniðið og keðja dulritunarkorta eru hvernig IOS kemur því á framfæri, en ASA kemur sama áformi á framfæri með gönguhópum og eiginleikum þeirra. Að afrita seinni hlutann virkar aldrei, og að afrita aðeins þann fyrri skilur verkið hálfunnið eftir.

Farðu í gegnum fimm skrefin hér að neðan í réttri röð og stöðvaðu hvar sem kerfin tvö lýsa mismunandi hlutum en ekki mismunandi orðum.

Skref 1: aðskildu samkomulagið frá setningafræðinni

Skrifaðu afhendinguna sem kröfur sem báðir stjórnendur eru sammála um. Fjórar línur ná yfir næstum allt: hvar jafninginn er og hvor hliðin byrjar, hvernig hvor hliðin sannar auðkenni sitt, hvaða vernd er ásættanleg og hvaða forrit verða að komast í gegnum göngin. Engin þessara lína nefnir skipun.

Geymdu upprunalega textann sem sönnun en ekki sem fyrirmæli. Lína sem er til á öðru kerfinu en ekki hinu er setningafræðilegur munur þar til þú hefur athugað hvort hægt sé að uppfylla sömu kröfu á annan hátt.

Skref 2: nefndu hlutina á hvoru kerfi

Á IOS XE nærir IKEv2-lyklahringur IKEv2-snið og það snið er fest í gegnum dulritunarkort eða IPsec-snið. Á ASA heldur gönguhópur tengisniðinu og IPsec-eiginleikum þess, og dulritunarkortið bendir á hann, eins og leiðbeiningin um tengisniðið lýsir. Þetta eru mismunandi hlutgrafir með mismunandi arfleifð, og þess vegna gefur línu-fyrir-línu vörpun stillingu sem þáttar sig og tengist ekki.

Byggðu markhlutina út frá kröfulínum en ekki upprunalínum. Ef línurnar eru fullkomnar er markstillingin hönnunarákvörðun. Ef ekki mun enginn magn af skipanaþýðingu veita það áform sem vantar.

Skref 3: fluttu auðkenni, ekki bara netföng

Auðkennið er sá hluti sem brotnar hljóðlega. Jafningi sem auðkennir sig með netfangi hagar sér öðruvísi en sá sem auðkennir sig með viðfangsefni vottorðs eða FQDN, og kerfin tvö skrá þá væntingu á mismunandi stöðum. Varðveittu fyrirhugað auðkenni og traustkeðjuna í stað þess að skipta út sameiginlegum leyndarmáli vegna þess að auðveldara er að prófa það.

Haltu fyrirfram sameiginlega leyndarmálinu fyrir utan samanburðarnótur og miða. Skráðu hver á það og hvernig það fer um samþykktan rás, og mundu að staðgengill úr dæmi í skjölum er ekki skírteini viðskiptavinarins.

Skref 4: samþykktu verndina fyrir skiptin

Flyttu ekki gömul dulritunarstillingar bara af því að þær eru í textanum sem fylgir. Samþykktu skurð mengja sem báðir uppsettu jafningjarnir styðja núna, og staðfestu það við hinn stjórnandann fyrir breytingagluggann. Ef sá skurður er frábrugðinn því sem núverandi jafningi væntir er um samræmda breytingu að ræða en ekki staðbundna breytingu.

Skrifaðu samþykkta mengið niður. Tveir stjórnendur með ólíkar minningar um símtal eru ástæðan fyrir því að skiptin framleiða misræmi í öðru stigi.

Skref 5: sannreyndu þjónustuna, ekki setningafræðina

Athugaðu fyrst virku hlutana í markinu, svo samþykktu samtenginguna, svo raunverulegt forritsflæði og svar þess. Að slá inn skipun án villu sannar setningafræði og ekkert annað. Göng sem koma upp og flytja engan umferð þýða venjulega að varin svið eða afturleiðin stemmi ekki við hina hliðina, sem er vandamál kröfulínu en ekki skipunar. Berðu saman varin svið á báðum hliðum áður en þú snertir dulritunarkortið aftur.

Skráðu hvað þú sannreyndir, með hvaða netföngum og frá hvorri hlið. Sú skráning breytir óljósum fullyrðingum um að VPN sé í gangi í eitthvað sem hinn stjórnandinn getur athugað sjálfstætt.

Hvað á að skila

Sendu kröfufylkið, samantekt á markstillingunni og niðurstöður sannreyningarinnar. Taktu skýrt fram hvaða upprunastillingar þú fluttir ekki og hvers vegna. Sá listi er gagnlegri en þýdda stillingin, því þar byrjar næsti ágreiningur.

Geymdu upprunatextann líka með miðanum. Hann skjalfestir hvað var beðið um, en fylkið skjalfestir hvað var samþykkt.