IPsec პარტნიორის მისამართის შეცვლა ASA-ზე გვირაბის დაშლის გარეშე

პარტნიორის მისამართის შეცვლა ერთი სტრიქონივით გამოიყურება, მაგრამ მიგრაციასავით იქცევა. სინამდვილეში მოძრაობს ობიექტების ნაკრები: crypto map-ზე კანდიდატი პარტნიორების სია, შორეულ მხარეს იდენტიფიცირებელი პროფილი ან ავთენტიფიკაციის ასახვა, საბაზისო ქსელი, რომელიც იქ აღწევს, და ძველი მნიშვნელობებიდან აგებული აქტიური ასოციაციები. კონფიგურაციის რედაქტირებას განიხილეთ ამ ნაკრების ბოლო ნაბიჯად და არა პირველად.

1. ჩაწერეთ მიმდინარე მდგომარეობა, სანამ რამეს შეეხებით

დაიწყეთ შესაბამისი crypto-map ჩანაწერის სრული კანდიდატების სიით, თანმიმდევრობით, და არა მხოლოდ იმ მისამართით, რომელიც გგონიათ, რომ გამოიყენება. თანმიმდევრობა მნიშვნელოვანია, რადგან სწორედ მას ცდის მოწყობილობა რეალურად.

ჩაწერეთ ის show run crypto map ბრძანებით და წაიკითხეთ მოქმედი ჩანაწერი show crypto map ბრძანებით, შემდეგ შეინახეთ ორივე გამომავალი განზრახული ახალი მნიშვნელობის გვერდით. აქვე აღნიშნეთ, რომელი პარტნიორი აირჩია თითოეულმა არსებულმა ასოციაციამ, სანამ იქ ხართ.

იგივე გააკეთეთ სესიების დონისთვის, show vpn-sessiondb l2l და show crypto ipsec sa peer <old-address> ბრძანებების გამოყენებით. ეს ორი გამომავალი თქვენი ადრინდელი სურათია, როცა ვინმე იკითხავს, რატომ ჩამოვარდა გვირაბი 02:10-ზე.

2. დაამტკიცეთ, რომ ახალი პარტნიორი ხელმისაწვდომია იმავე პოლიტიკით

დაამტკიცეთ ხელმისაწვდომობა გადართვის დაგეგმვამდე. packet-tracer გაშვება შიდა ინტერფეისიდან ახალი პარტნიორის დაცულ ქსელამდე აჩვენებს, ეთანხმება თუ არა მარშრუტიზაცია, NAT გამონაკლისი და წვდომის პოლიტიკა. შემდეგ დაადასტურეთ ტრანსპორტის გზა, რადგან IKE-ს და IPsec-ს სჭირდება UDP 500 და 4500, რომ გაიაროს ნებისმიერი ფილტრი კარიბჭეებს შორის. წარმატებული ping თავისთავად არაფერს ამტკიცებს.

თუ საბაზისო ქსელს სჭირდება მარშრუტი ან თარგმანის ცვლილება, ეს მეორე ცვლილებაა თავისი რისკით. გააერთიანეთ იმავე ფანჯარაში ან დაგეგმეთ ცალკე, მაგრამ გადაწყვიტეთ რომელი, ნაცვლად იმისა, რომ გადართვის შუაში აღმოაჩინოთ.

3. გადაიტანეთ პროფილის ასახვა და არა მხოლოდ მისამართი

პარტნიორის არჩევა და პროფილის არჩევა სხვადასხვა ძიებაა. LAN-to-LAN კავშირის პროფილი ინახავს ზოგად ატრიბუტებს და შეიძლება შეესაბამებოდეს მისამართს, სერტიფიკატის იდენტობას ან ჯგუფის სახელს. IP-ის შეცვლა არ ცვლის, რომელი პროფილი ემთხვევა, როცა პროფილი სერტიფიკატის სუბიექტს ეყრდნობა.

შეინარჩუნეთ ტიკეტების ხელშეკრულება უცვლელად. მისამართის შეცვლა იდენტობის შემოწმების შესუსტების მიზეზი არ არის და წინასწარ გაზიარებული გასაღების ნიმუშის ბილეთში ჩასმის მიზეზიც არ არის.

4. აკონტროლეთ აქტიური სესიები, სანამ ორივე კანდიდატი არსებობს

სანამ ორივე მისამართი კანდიდატების სიაშია, წერილობით გადაწყვიტეთ, ძველი სარეზერვოა თუ ნარჩენი. კონფიგურაცია, რომელიც ორივეს შეიცავს, ვალიდურია და არაფერს ამტკიცებს იმის შესახებ, რომელმა პარტნიორმა გადაიტანა ბოლო სესია.

გაასუფთავეთ მოძველებული უსაფრთხოების ასოციაციები მხოლოდ თქვენი ვერსიისთვის პარტნიორით შეზღუდული ფორმით, clear crypto ipsec sa peer <address>, და მოელოდეთ, რომ დაზარალებული გვირაბები ხელახლა მოილაპარაკებენ. გლობალური გადატვირთვა აგდებს ყველა სესიას მოწყობილობაზე და სამუშაო საათებში არ აპატიებენ.

შემდეგ გაატარეთ ერთი რეალური აპლიკაციის ნაკადი დაცული ჰოსტიდან და დაადასტურეთ, რომ პასუხი ბრუნდება განზრახული ბოლო წერტილით. show vpn-sessiondb l2l უნდა მიუთითოს ახალი პარტნიორი ამ სესიისთვის და ბაიტების მთვლელები უნდა მოძრაობდეს.

5. დაასრულეთ ან უკან დაბრუნდით

დაწერეთ უკუქცევა ცვლილებამდე: ძველი კანდიდატების სია, ძველი პროფილის ასახვა და ძველი საბაზისო ქსელის ჩანაწერი. შეინახეთ დამოუკიდებელი მართვის გზა ASA-მდე, რადგან პარტნიორის მისამართის რედაქტირება, რომელიც წვდომასაც გართმევთ, გრძელი საღამოა. წაშალეთ მოძველებული პარტნიორი და სერტიფიკატები მხოლოდ მიღების შემდეგ და სარეზერვო გადაწყვეტილების ჩაწერის შემდეგ. ასევე დაადასტურეთ, რომ დაცულ ქსელებზე წვდომის პოლიტიკა არ გადაუხვია.

მიგრაცია დასრულებულია, როცა განზრახული პარტნიორი ავთენტიფიცირდება და შენარჩუნებული პოლიტიკის ქვეშ ატარებს საჭირო სერვისს. ახალი მისამართი მოქმედ კონფიგურაციაში აკრეფის მტკიცებულებაა და არა წარმატების.