VPN-ის მიგრაცია IOS-იდან ASA-ზე: თარგმნეთ შეთანხმება და არა ბრძანებები
კრიპტო რუკა ASA-ის გვირაბის ჯგუფი არ არის. შეთანხმების რომელი ნაწილები გადადის, რომელი უნდა აშენდეს ხელახლა და რომელი შემოწმებები ამტკიცებს, რომ სერვისი მუშაობს.
IOS-ის კონფიგურაცია, რომელიც ASA-ზე მიგრაციისთვის საცნობაროდ მოდის, აღწერს შეთანხმებას, რომელიც ერთი პლატფორმის სინტაქსშია გახვეული. პირების მისამართები, იდენტობები და დაცული დიაპაზონები სწორედ შეთანხმებაა. გასაღების რგოლი, პროფილი და კრიპტო რუკების ჯაჭვი არის ის, როგორც IOS გამოხატავს ამას, ხოლო ASA იმავე განზრახვას გვირაბის ჯგუფებითა და მათი ატრიბუტებით გამოხატავს. მეორე ნაწილის კოპირება არასდროს მუშაობს, ხოლო მხოლოდ პირველის კოპირება საქმეს ნახევრად ტოვებს.
გაიარეთ ქვემოთ მოცემული ხუთი ნაბიჯი თანმიმდევრობით და გაჩერდით ყველგან, სადაც ორი პლატფორმა სხვადასხვა სიტყვებს კი არა, სხვადასხვა რამეს აღწერს.
ნაბიჯი 1: გამოყავით შეთანხმება სინტაქსისგან
ჩაწერეთ გადაცემა როგორც მოთხოვნები, რომლებზეც ორივე ადმინისტრატორი თანხმდება. ოთხი სტრიქონი თითქმის ყველაფერს მოიცავს: სად არის პირი და რომელი მხარე იწყებს, როგორ ამტკიცებს თითოეული მხარე საკუთარ იდენტობას, რომელი დაცვაა მისაღები და რომელი აპლიკაციები უნდა გადარჩეს გვირაბში. ამ სტრიქონებიდან არც ერთი არ იხსენიებს ბრძანებას.
შეინახეთ ორიგინალური ტექსტი მტკიცებულებად და არა ინსტრუქციად. სტრიქონი, რომელიც ერთ პლატფორმაზეა და მეორეზე არა, სინტაქსური განსხვავებაა, სანამ არ შეამოწმებთ, შეიძლება თუ არა იგივე მოთხოვნის სხვაგვარად დაკმაყოფილება.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
ნაბიჯი 2: დაასახელეთ ობიექტები თითოეულ პლატფორმაზე
IOS XE-ში IKEv2 გასაღების რგოლი კვებავს IKEv2 პროფილს და ეს პროფილი მიმაგრებულია კრიპტო რუკის ან IPsec პროფილის მეშვეობით. ASA-ში გვირაბის ჯგუფი ინახავს კავშირის პროფილს და მის IPsec ატრიბუტებს, ხოლო კრიპტო რუკა მასზე მიუთითებს, როგორც აღწერს კავშირის პროფილის სახელმძღვანელო. ეს სხვადასხვა ობიექტური გრაფებია სხვადასხვა მემკვიდრეობით, ამიტომ სტრიქონ-სტრიქონ შედარება იძლევა კონფიგურაციას, რომელიც ირჩევა და არ უკავშირდება.
ააგეთ სამიზნე ობიექტები მოთხოვნების სტრიქონებიდან და არა წყაროს სტრიქონებიდან. თუ სტრიქონები სრულია, სამიზნე კონფიგურაცია დიზაინის გადაწყვეტილებაა. თუ არა, ბრძანებების არც ერთი რაოდენობა არ მოგვცემს დაკარგულ განზრახვას.
ნაბიჯი 3: გადაიტანეთ იდენტობა, და არა მხოლოდ მისამართები
იდენტობა ის ნაწილია, რომელიც ჩუმად ტყდება. მისამართით ავთენტიფიცირებადი პირი სხვაგვარად იქცევა, ვიდრე სერტიფიკატის სუბიექტით ან FQDN-ით ავთენტიფიცირებადი, და ორივე პლატფორმა ამ მოლოდინს სხვადასხვა ადგილას აღრიცხავს. შეინარჩუნეთ განზრახული იდენტობა და ნდობის ჯაჭვი იმის ნაცვლად, რომ საერთო საიდუმლო ჩაანაცვლოთ იმიტომ, რომ მისი გამოცდა უფრო ადვილია.
წინასწარ გაზიარებული საიდუმლო შეინახეთ შედარების ჩანაწერებისა და ბილეთებისგან მოშორებით. ჩაწერეთ, ვის ეკუთვნის ის და როგორ მოძრაობს დამტკიცებული არხით, და გახსოვდეთ, რომ დოკუმენტაციის მაგალითიდან აღებული დამცავი ადგილი კლიენტის სერტიფიკატი არ არის.
ნაბიჯი 4: შეთანხმდით დაცვაზე გადართვამდე
ნუ გადაიტანთ ძველ კრიპტოგრაფიულ პარამეტრებს მხოლოდ იმიტომ, რომ ისინი მოწოდებულ ტექსტშია. შეთანხმდით იმ კრებულების გადაკვეთაზე, რომლებსაც ამჟამად ორივე განლაგებული პირი მხარს უჭერს, და დაადასტურეთ ის მეორე ადმინისტრატორთან ცვლილების ფანჯრამდე. თუ ეს გადაკვეთა განსხვავდება იმისგან, რასაც არსებული პირი ელის, ეს კოორდინირებული ცვლილებაა და არა ლოკალური რედაქტირება.
ჩაწერეთ შეთანხმებული ნაკრები. ორი ადმინისტრატორი, რომელთაც ტელეფონის ზარის სხვადასხვა მოგონება აქვთ, იმის მიზეზია, რომ გადართვა მეორე ფაზაში შეუთანხმებლობას ქმნის.
ნაბიჯი 5: შეამოწმეთ სერვისი და არა სინტაქსი
ჯერ შეამოწმეთ სამიზნის ეფექტური ობიექტები, შემდეგ მიღებული ასოციაცია, შემდეგ რეალური აპლიკაციის ნაკადი და მისი პასუხი. ბრძანების შეცდომის გარეშე შეყვანა ამტკიცებს სინტაქსს და სხვა არაფერს. გვირაბი, რომელიც ადის და ტრაფიკს არ ატარებს, ჩვეულებრივ ნიშნავს, რომ დაცული დიაპაზონები ან დაბრუნების მარშრუტი მეორე მხარეს არ ემთხვევა, რაც მოთხოვნის სტრიქონის პრობლემაა და არა ბრძანების. შეადარეთ დაცული დიაპაზონები ორივე მხარეს, სანამ კრიპტო რუკას კვლავ შეეხებით.
ჩაწერეთ, რა შეამოწმეთ, რომელი მისამართებით და რომელი მხრიდან. ეს ჩანაწერი VPN-ის მუშაობის შესახებ ბუნდოვან მტკიცებას აქცევს იმად, რისი დამოუკიდებლად შემოწმებაც მეორე ადმინისტრატორს შეუძლია.
რა უნდა დააბრუნოთ
გაგზავნეთ მოთხოვნების მატრიცა, სამიზნე კონფიგურაციის შეჯამება და შემოწმების შედეგები. ცალსახად მიუთითეთ, რომელი წყაროს პარამეტრები არ გადაიტანეთ და რატომ. ეს სია უფრო სასარგებლოა, ვიდრე თარგმნილი კონფიგურაცია, რადგან შემდეგი უთანხმოება სწორედ იქიდან დაიწყება.
წყაროს ტექსტიც შეინახეთ ბილეთთან. ის აღრიცხავს, რა მოითხოვეს, ხოლო მატრიცა — რაზე შეთანხმდნენ.