トンネルを壊さずに ASA の IPsec ピアアドレスを変更する

ピアアドレスの変更は一行の作業に見えますが、実際には移行のように振る舞います。本当に動くのは一群のオブジェクトです。crypto map 上の候補ピアリスト、遠端を識別するプロファイルまたは認証マッピング、そこへ到達するアンダーレイ、そして古い値から作られた稼働中のアソシエーションです。設定変更はこの一群の最初ではなく最後の手順として扱ってください。

1. 何かに触れる前に現在の状態を記録する

対象の crypto-map エントリの候補リスト全体を、順序どおりに書き出します。使用中だと思っているアドレスだけでは足りません。順序が重要なのは、装置が実際に試すのがその順序だからです。

まず show run crypto map で記録し、show crypto map で有効なエントリを読み、両方の出力を予定している新しい値の隣に保存します。その場で、既存の各アソシエーションがどのピアを選んだかも書き留めてください。

セッション層についても同じことを、show vpn-sessiondb l2l と show crypto ipsec sa peer <old-address> を使って行います。この二つの出力が、02:10 にトンネルが落ちた理由を誰かに聞かれたときの変更前の姿になります。

2. 新しいピアが同じポリシーの下で到達可能であることを示す

切り替えを予定する前に到達性を証明します。内側インターフェースから新しいピアの保護ネットワークへ向けて packet-tracer を実行すると、ルーティング、NAT 除外、アクセスポリシーが一致しているかが分かります。次に転送経路を確認します。IKE と IPsec は、ゲートウェイ間のどんなフィルタも通過するために UDP 500 と 4500 を必要とするからです。ping が通ったからといって、それが何かを証明するわけではありません。

アンダーレイにルートや変換の変更が必要なら、それは独自のリスクを持つ二つ目の変更です。同じ作業枠にまとめるか別に予定するか、切り替えの途中で気づくのではなく、どちらにするかを決めてください。

3. アドレスだけでなくプロファイルのマッピングを動かす

ピアの選択とプロファイルの選択は別の検索です。LAN-to-LAN 接続プロファイルは一般的な属性を持ち、アドレス、証明書の識別情報、またはグループ名で一致することがあります。プロファイルが証明書のサブジェクトを基準にしている場合、IP を変えても一致するプロファイルは変わりません。

資格情報の契約はそのまま保ちます。アドレス変更は、識別情報の確認を緩める理由にも、サンプルの事前共有鍵をチケットに貼る理由にもなりません。

4. 両方の候補が存在する間、稼働中のセッションを監視する

両方のアドレスが候補リストにある間、古いほうがフォールバックなのか残骸なのかを文書で決めます。両方を含む設定は有効であり、最後のセッションをどちらのピアが運んだかは何も証明しません。

古いセキュリティアソシエーションの削除は、お使いのリリースのピア限定の形式でのみ行います。clear crypto ipsec sa peer <address>。影響を受けるトンネルは再ネゴシエーションすると見込んでください。全体リセットは装置上のすべてのセッションを落とし、業務時間中には許されません。

次に、保護されたホストから実際のアプリケーションフローを一つ通し、応答が意図した端点から戻ることを確認します。show vpn-sessiondb l2l がそのセッションの新しいピアを示し、バイトカウンタが動いているはずです。

5. 終了するかロールバックする

変更の前にロールバックを書きます。古い候補リスト、古いプロファイルマッピング、古いアンダーレイのエントリです。ASA への独立した管理経路を確保してください。ピアアドレスの変更でアクセスまで失うのは長い夜になります。不要になったピアと資格情報を削除するのは、受け入れ後、フォールバックの判断を記録した後だけです。保護ネットワークのアクセスポリシーがずれていないことも確認してください。

意図したピアが認証を通り、維持されたポリシーの下で必要なサービスを運べば、移行は完了です。実行中の設定に新しいアドレスがあることは、入力した証拠ではあっても、成功の証拠ではありません。