VPN-ді IOS-тен ASA-ға көшіру: келісімді аударыңыз, командаларды емес
Крипто картасы ASA туннель тобы емес. Келісімнің қай бөліктері ауысады, қайсысын қайта құру керек және қандай тексерулер қызметтің жұмысын дәлелдейді.
ASA-ға көшу үшін анықтама ретінде келетін IOS конфигурациясы бір платформаның синтаксисіне оралған келісімді сипаттайды. Серіктес мекенжайлары, сәйкестіктер және қорғалған ауқымдар — келісімнің өзі. Кілт сақинасы, профиль және крипто карталар тізбегі — IOS оны осылай білдіреді, ал ASA сол ниетті туннель топтары және олардың атрибуттары арқылы білдіреді. Екінші бөлікті көшіру ешқашан жұмыс істемейді, ал тек біріншісін көшіру жұмысты жартылай қалдырады.
Төмендегі бес қадамды ретімен орындаңыз және екі платформа әртүрлі сөздерді емес, әртүрлі нәрселерді сипаттайтын жерде тоқтаңыз.
1-қадам: келісімді синтаксистен бөліңіз
Тапсыруды екі әкімші де келісетін талаптар ретінде жазыңыз. Төрт жол бәрін дерлік қамтиды: серіктес қайда және қай тарап бастайды, әр тарап өз сәйкестігін қалай дәлелдейді, қандай қорғаныс қолайлы және қандай қосымшалар туннельден өтуі керек. Бұл жолдардың ешқайсысы команданы атамайды.
Түпнұсқа мәтінді нұсқаулық емес, дәлел ретінде сақтаңыз. Бір платформада бар, екіншісінде жоқ жол — сол талапты басқа жолмен қанағаттандыруға болатынын тексермейінше, синтаксистік айырмашылық.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
2-қадам: әр платформадағы нысандарды атаңыз
IOS XE-де IKEv2 кілт сақинасы IKEv2 профилін қоректендіреді және бұл профиль крипто карта немесе IPsec профилі арқылы бекітіледі. ASA-да туннель тобы қосылым профилін және оның IPsec атрибуттарын ұстайды, ал крипто карта соған сілтейді, сипаттайтынындай қосылым профилінің нұсқаулығы. Бұл әртүрлі мұрагерлігі бар әртүрлі нысан графиктері, сондықтан жол-жолға сәйкестендіру талданатын, бірақ қосылмайтын конфигурацияны береді.
Мақсатты нысандарды бастапқы жолдардан емес, талап жолдарынан құрастырыңыз. Егер жолдар толық болса, мақсатты конфигурация — дизайн шешімі. Егер болмаса, командаларды аударудың ешбір мөлшері жетіспейтін ниетті бермейді.
3-қадам: тек мекенжайларды емес, сәйкестікті де тасымалдаңыз
Сәйкестік — үнсіз сынатын бөлік. Мекенжай бойынша аутентификацияланатын серіктес сертификат субъектісі немесе FQDN бойынша аутентификацияланатыннан өзгеше әрекет етеді, және екі платформа бұл күтуді әртүрлі жерде жазады. Сынау оңай болғандықтан ортақ құпияны ауыстырудың орнына көзделген сәйкестік пен сенім тізбегін сақтаңыз.
Алдын ала бөлісілген құпияны салыстыру жазбалары мен билеттерден тыс ұстаңыз. Ол кімге тиесілі және бекітілген арна арқылы қалай жүретінін жазыңыз, және құжаттама мысалындағы орынтолтырғыш клиенттің тіркелгі деректері емес екенін ұмытпаңыз.
4-қадам: ауыстыру алдында қорғанысты келісіңіз
Ескі криптографиялық параметрлерді берілген мәтінде бар болғандықтан көшірмеңіз. Екі орналастырылған серіктес қазір қолдайтын жиынтықтардың қиылысуын келісіңіз және өзгеріс терезесіне дейін оны екінші әкімшімен растаңыз. Егер бұл қиылысу қолданыстағы серіктес күтетіннен өзгеше болса, бұл жергілікті өңдеу емес, үйлестірілген өзгеріс.
Келісілген жиынтықты жазып қойыңыз. Телефон қоңырауы туралы естеліктері әртүрлі екі әкімші — ауыстырудың екінші фазада сәйкессіздік тудыруының себебі.
5-қадам: синтаксисті емес, қызметті тексеріңіз
Алдымен мақсаттың тиімді нысандарын, содан кейін қабылданған байланысты, содан кейін нақты қосымша ағынын және оның жауабын тексеріңіз. Команданы қатесіз енгізу синтаксисті дәлелдейді және басқа ештеңе емес. Көтерілген, бірақ трафик тасымалдамайтын туннель әдетте қорғалған ауқымдар немесе қайтару маршруты қарсы тараппен сәйкеспейтінін білдіреді, бұл команда емес, талап жолының мәселесі. Крипто картаны қайта ұстамас бұрын екі жақтағы қорғалған ауқымдарды салыстырыңыз.
Нені, қандай мекенжайлармен, қай тараптан тексергеніңізді жазыңыз. Бұл жазба VPN жұмыс істейді деген күмәнді тұжырымды екінші әкімші дербес тексере алатын нәрсеге айналдырады.
Нені қайтару керек
Талаптар матрицасын, мақсатты конфигурацияның қорытындысын және тексеру нәтижелерін жіберіңіз. Қай бастапқы параметрлерді тасымалдамағаныңызды және неге екенін анық айтыңыз. Бұл тізім аударылған конфигурациядан пайдалырақ, өйткені келесі келіспеушілік содан басталады.
Бастапқы мәтінді де билетпен бірге сақтаңыз. Ол ненің талап етілгенін жазады, ал матрица ненің келісілгенін.