Туннельді бұзбай ASA-да IPsec серіктес мекенжайын өзгерту
Серіктес мекенжайын жылжыту кандидаттар тізіміне, профиль сәйкестігіне, негізгі желіге және белсенді сессияларға әсер етеді. Бақылау тізімін ретімен орындаңыз.
Серіктес мекенжайын өзгерту бір жолдай көрінеді, бірақ көшіру сияқты әрекет етеді. Шын мәнінде орын ауыстыратын нәрсе — объектілер жиынтығы: crypto map-тағы кандидат серіктестер тізімі, алыс жақты анықтайтын профиль немесе аутентификация картасы, оған жететін негізгі желі, және ескі мәндерден құрылған белсенді ассоциациялар. Конфигурацияны өңдеуді осы жиынтықтың бірінші емес, соңғы қадамы ретінде қарастырыңыз.
1. Бірдеңеге тиіспес бұрын ағымдағы күйді жазып алыңыз
Тиісті crypto-map жазбасының толық кандидаттар тізімінен бастаңыз, ретімен, тек сіз пайдаланылады деп ойлайтын мекенжаймен ғана емес. Рет маңызды, өйткені құрылғы шын мәнінде соны сынап көреді.
Оны show run crypto map арқылы жазып алыңыз және әрекетті жазбаны show crypto map арқылы оқыңыз, содан кейін екі шығысты да жоспарланған жаңа мәннің қасына сақтаңыз. Сол жерде болғанда әрбір бар ассоциация қай серіктесті таңдағанын да белгілеңіз.
Сессия қабаты үшін де солай жасаңыз, show vpn-sessiondb l2l және show crypto ipsec sa peer <old-address> қолданып. Бұл екі шығыс — біреу туннель неге 02:10-да құлады деп сұрағандағы сіздің алдыңғы суретіңіз.
2. Жаңа серіктестің сол саясат аясында қолжетімді екенін дәлелдеңіз
Ауысуды жоспарламас бұрын қолжетімділікті дәлелдеңіз. Ішкі интерфейстен жаңа серіктестің қорғалған желісіне қарай packet-tracer іске қосу маршруттау, NAT ерекшелігі және қатынау саясатының сәйкестігін көрсетеді. Содан кейін тасымал жолын растаңыз, өйткені IKE мен IPsec шлюздер арасындағы кез келген сүзгіден өту үшін UDP 500 және 4500 қажет. Сәтті ping өздігінен мұның ешқайсысын дәлелдемейді.
Егер негізгі желіге маршрут немесе трансляция өзгерісі қажет болса, бұл өз тәуекелі бар екінші өзгеріс. Оны сол терезеге қосыңыз немесе бөлек жоспарлаңыз, бірақ ауысу ортасында анықтаудың орнына қайсысын таңдайтыныңызды шешіңіз.
3. Тек мекенжайды емес, профиль картасын да жылжытыңыз
Серіктесті таңдау мен профильді таңдау — екі түрлі іздеу. LAN-to-LAN қосылым профилі жалпы атрибуттарды ұстайды және мекенжайға, сертификат сәйкестігіне немесе топ атауына сәйкес келуі мүмкін. Профиль сертификат субъектісіне сүйенсе, IP-ны өзгерту қай профиль сәйкес келетінін өзгертпейді.
| Объект | Неге кілттелген | Жаңа серіктес мекенжайы неге тиеді |
|---|---|---|
| crypto map кандидаттар тізімі | Конфигурацияланған серіктес жазбалары және олардың реті | ASA алғашқы пакеттерін қайда жібереді |
| Қосылым профилі | Мекенжай, сертификат сәйкестігі немесе топ | Тек мекенжайға кілттелген профильдер |
| Қорғалған префикстер | Жергілікті және алыс желі объектілері | Ештеңе, егер сіз де оларды өзгертпесеңіз |
Тіркелгі деректерінің шартын бұзбай сақтаңыз. Мекенжайды өзгерту сәйкестікті тексеруді әлсіретуге себеп емес және үлгілік pre-shared key-ді тикетке жапсыруға себеп емес.
4. Екі кандидат та бар кезде белсенді сессияларды бақылаңыз
Екі мекенжай да кандидаттар тізімінде тұрғанда, ескісі қосалқы ма әлде қалдық па — жазбаша шешіңіз. Екеуін де қамтитын конфигурация жарамды және соңғы сессияны қай серіктес тасымалдағанын дәлелдемейді.
Ескірген қауіпсіздік ассоциацияларын тек өз нұсқаңызға арналған серіктеспен шектелген түрде тазалаңыз, clear crypto ipsec sa peer <address>, және әсер еткен туннельдер қайта келіссөз жүргізеді деп күтіңіз. Жаһандық қалпына келтіру құрылғыдағы барлық сессияны құлатады және жұмыс уақытында кешірілмейді.
Содан кейін қорғалған хосттан бір нақты қолданба ағынын өткізіп, жауаптың жоспарланған соңғы нүкте арқылы қайтатынын растаңыз. show vpn-sessiondb l2l сол сессия үшін жаңа серіктесті атауы керек, ал байт санауыштары қозғалуы керек.
5. Оны жабыңыз немесе кері қайтарыңыз
Өзгеріске дейін кері қайтаруды жазыңыз: ескі кандидаттар тізімі, ескі профиль картасы және ескі негізгі желі жазбасы. ASA-ға тәуелсіз басқару жолын ұстаңыз, өйткені қатынауыңызды да алатын серіктес мекенжайын өңдеу — ұзақ кеш. Ескірген серіктесті және тіркелгі деректерін тек қабылдаудан және қосалқы шешім жазылғаннан кейін ғана жойыңыз. Сондай-ақ қорғалған желілердегі қатынау саясатының жылжымағанын растаңыз.
Көшіру жоспарланған серіктес аутентификациядан өтіп, сақталған саясат аясында қажетті қызметті тасымалдаған кезде аяқталады. Жұмыс істеп тұрған конфигурациядағы жаңа мекенжай — теру дәлелі, табыс емес.