ಟನೆಲ್ ಮುರಿಯದೆ ASA ನಲ್ಲಿ IPsec ಪೀರ್ ವಿಳಾಸ ಬದಲಾಯಿಸುವುದು

ಪೀರ್ ವಿಳಾಸದ ಬದಲಾವಣೆ ಒಂದು ಸಾಲಿನ ಕೆಲಸದಂತೆ ಕಾಣುತ್ತದೆ, ಆದರೆ ವಲಸೆಯಂತೆ ವರ್ತಿಸುತ್ತದೆ. ವಾಸ್ತವವಾಗಿ ಚಲಿಸುವುದು ವಸ್ತುಗಳ ಒಂದು ಗುಂಪು: crypto map ನಲ್ಲಿನ ಅಭ್ಯರ್ಥಿ ಪೀರ್ ಪಟ್ಟಿ, ದೂರದ ತುದಿಯನ್ನು ಗುರುತಿಸುವ ಪ್ರೊಫೈಲ್ ಅಥವಾ ದೃಢೀಕರಣ ಮ್ಯಾಪಿಂಗ್,ಅಲ್ಲಿಗೆ ತಲುಪುವ ಅಂಡರ್ಲೇ, ಮತ್ತು ಹಳೆಯ ಮೌಲ್ಯಗಳಿಂದ ನಿರ್ಮಿಸಲಾದ ಸಕ್ರಿಯ ಸಂಬಂಧಗಳು. ಸಂರಚನಾ ಸಂಪಾದನೆಯನ್ನು ಈ ಗುಂಪಿನ ಮೊದಲ ಹಂತವಲ್ಲ, ಕೊನೆಯ ಹಂತ ಎಂದು ಪರಿಗಣಿಸಿ.

1. ಏನನ್ನೂ ಮುಟ್ಟುವ ಮೊದಲು ಪ್ರಸ್ತುತ ಸ್ಥಿತಿಯನ್ನು ದಾಖಲಿಸಿ

ಸಂಬಂಧಿತ crypto-map ನಮೂದಿನ ಸಂಪೂರ್ಣ ಅಭ್ಯರ್ಥಿ ಪಟ್ಟಿಯಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಕ್ರಮದಲ್ಲಿ, ನೀವು ಬಳಕೆಯಲ್ಲಿದೆ ಎಂದು ಭಾವಿಸುವ ವಿಳಾಸದಿಂದ ಮಾತ್ರವಲ್ಲ. ಕ್ರಮ ಮುಖ್ಯ ಏಕೆಂದರೆ ಸಾಧನವು ವಾಸ್ತವವಾಗಿ ಪ್ರಯತ್ನಿಸುವುದು ಅದನ್ನೇ.

ಅದನ್ನುshow run crypto mapಬಳಸಿ ದಾಖಲಿಸಿ ಮತ್ತು ಪರಿಣಾಮಕಾರಿ ನಮೂದನ್ನುshow crypto mapಬಳಸಿ ಓದಿ, ನಂತರ ಎರಡೂ ಔಟ್‌ಪುಟ್‌ಗಳನ್ನು ಯೋಜಿತ ಹೊಸ ಮೌಲ್ಯದ ಪಕ್ಕದಲ್ಲಿ ಉಳಿಸಿ. ಅಲ್ಲಿರುವಾಗ ಪ್ರತಿ ಇರುವ ಸಂಬಂಧವು ಯಾವ ಪೀರ್ ಅನ್ನು ಆಯ್ಕೆ ಮಾಡಿತು ಎಂಬುದನ್ನೂ ಬರೆದಿಡಿ.

ಸೆಷನ್ ಪದರಕ್ಕೂ ಅದೇ ರೀತಿ ಮಾಡಿ,show vpn-sessiondb l2lಮತ್ತುshow crypto ipsec sa peer <old-address>ಬಳಸಿ. ಆ ಎರಡು ಔಟ್‌ಪುಟ್‌ಗಳು 02:10 ಕ್ಕೆ ಟನೆಲ್ ಏಕೆ ಬಿದ್ದಿತು ಎಂದು ಯಾರಾದರೂ ಕೇಳಿದಾಗ ನಿಮ್ಮ ಮೊದಲಿನ ಚಿತ್ರ.

2. ಹೊಸ ಪೀರ್ ಅದೇ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ತಲುಪಬಹುದು ಎಂದು ಸಾಬೀತುಪಡಿಸಿ

ಬದಲಾವಣೆಯನ್ನು ನಿಗದಿಪಡಿಸುವ ಮೊದಲು ತಲುಪುವಿಕೆಯನ್ನು ಸಾಬೀತುಪಡಿಸಿ. ಒಳಗಿನ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಹೊಸ ಪೀರ್‌ನ ರಕ್ಷಿತ ನೆಟ್‌ವರ್ಕ್ ಕಡೆಗೆpacket-tracerಚಲಾಯಿಸಿದರೆ ರೂಟಿಂಗ್, NAT ವಿನಾಯಿತಿ ಮತ್ತು ಪ್ರವೇಶ ನೀತಿ ಹೊಂದಿಕೊಳ್ಳುತ್ತವೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ನಂತರ ಸಾಗಣೆ ಮಾರ್ಗವನ್ನು ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ IKE ಮತ್ತು IPsec ಗೇಟ್‌ವೇಗಳ ನಡುವಿನ ಯಾವುದೇ ಫಿಲ್ಟರ್ ದಾಟಲು UDP 500 ಮತ್ತು 4500 ಬೇಕು. ಯಶಸ್ವಿ ping ತಾನಾಗಿಯೇ ಅದರಲ್ಲಿ ಯಾವುದನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ಅಂಡರ್ಲೇಗೆ ಮಾರ್ಗ ಅಥವಾ ಅನುವಾದ ಬದಲಾವಣೆ ಬೇಕಾದರೆ ಅದು ತನ್ನದೇ ಅಪಾಯವಿರುವ ಎರಡನೇ ಬದಲಾವಣೆ. ಅದನ್ನು ಅದೇ ಕಿಟಕಿಯಲ್ಲಿ ಸೇರಿಸಿ ಅಥವಾ ಪ್ರತ್ಯೇಕವಾಗಿ ನಿಗದಿಪಡಿಸಿ, ಆದರೆ ಬದಲಾವಣೆಯ ಮಧ್ಯದಲ್ಲಿ ಕಂಡುಕೊಳ್ಳುವ ಬದಲು ಯಾವುದು ಎಂದು ಮೊದಲೇ ನಿರ್ಧರಿಸಿ.

3. ವಿಳಾಸ ಮಾತ್ರವಲ್ಲ, ಪ್ರೊಫೈಲ್ ಮ್ಯಾಪಿಂಗ್ ಅನ್ನೂ ಸರಿಸಿ

ಪೀರ್ ಆಯ್ಕೆ ಮತ್ತು ಪ್ರೊಫೈಲ್ ಆಯ್ಕೆ ಬೇರೆ ಬೇರೆ ಹುಡುಕಾಟಗಳು. LAN-to-LAN ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ ಸಾಮಾನ್ಯ ಗುಣಲಕ್ಷಣಗಳನ್ನು ಹೊಂದಿದ್ದು ವಿಳಾಸ, ಪ್ರಮಾಣಪತ್ರ ಗುರುತು ಅಥವಾ ಗುಂಪಿನ ಹೆಸರಿನ ಮೇಲೆ ಹೊಂದಿಕೆಯಾಗಬಹುದು. ಪ್ರೊಫೈಲ್ ಪ್ರಮಾಣಪತ್ರದ ವಿಷಯವನ್ನು ಆಧರಿಸಿದಾಗ IP ಬದಲಿಸುವುದರಿಂದ ಯಾವ ಪ್ರೊಫೈಲ್ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆ ಎಂಬುದು ಬದಲಾಗುವುದಿಲ್ಲ.

ರುಜುವಾತು ಒಪ್ಪಂದವನ್ನು ಹಾಗೆಯೇ ಇರಿಸಿ. ವಿಳಾಸ ಬದಲಾವಣೆ ಗುರುತು ಪರಿಶೀಲನೆಗಳನ್ನು ಸಡಿಲಿಸುವ ಕಾರಣವಲ್ಲ, ಮತ್ತು ಮಾದರಿ ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿಯನ್ನು ಟಿಕೆಟ್‌ಗೆ ಅಂಟಿಸುವ ಕಾರಣವೂ ಅಲ್ಲ.

4. ಎರಡೂ ಅಭ್ಯರ್ಥಿಗಳು ಇರುವಾಗ ಸಕ್ರಿಯ ಸೆಷನ್‌ಗಳನ್ನು ಗಮನಿಸಿ

ಎರಡೂ ವಿಳಾಸಗಳು ಅಭ್ಯರ್ಥಿ ಪಟ್ಟಿಯಲ್ಲಿರುವಾಗ, ಹಳೆಯದು ಬ್ಯಾಕಪ್ ಅಥವಾ ಉಳಿಕೆ ಎಂದು ಲಿಖಿತವಾಗಿ ನಿರ್ಧರಿಸಿ. ಎರಡನ್ನೂ ಹೊಂದಿರುವ ಸಂರಚನೆ ಮಾನ್ಯವಾಗಿದೆ, ಮತ್ತು ಕೊನೆಯ ಸೆಷನ್ ಅನ್ನು ಯಾವ ಪೀರ್ ಒಯ್ದಿತು ಎಂಬುದನ್ನು ಅದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ.

ಹಳೆಯ ಭದ್ರತಾ ಸಂಬಂಧಗಳನ್ನು ನಿಮ್ಮ ಬಿಡುಗಡೆಯ ಪೀರ್-ಸೀಮಿತ ರೂಪದಿಂದ ಮಾತ್ರ ತೆರವುಗೊಳಿಸಿ,clear crypto ipsec sa peer <address>, ಮತ್ತು ಬಾಧಿತ ಟನೆಲ್‌ಗಳು ಮರುಸಂಧಾನ ಮಾಡುತ್ತವೆ ಎಂದು ನಿರೀಕ್ಷಿಸಿ. ಜಾಗತಿಕ ಮರುಹೊಂದಿಕೆ ಸಾಧನದ ಪ್ರತಿ ಸೆಷನ್ ಅನ್ನೂ ಬೀಳಿಸುತ್ತದೆ ಮತ್ತು ಕೆಲಸದ ಸಮಯದಲ್ಲಿ ಕ್ಷಮಿಸಲಾಗುವುದಿಲ್ಲ.

ನಂತರ ರಕ್ಷಿತ ಹೋಸ್ಟ್‌ನಿಂದ ಒಂದು ನೈಜ ಅಪ್ಲಿಕೇಶನ್ ಹರಿವನ್ನು ಹಾದುಹೋಗಿಸಿ ಮತ್ತು ಪ್ರತ್ಯುತ್ತರವು ಉದ್ದೇಶಿತ ಅಂತ್ಯಬಿಂದುವಿನ ಮೂಲಕ ಹಿಂತಿರುಗುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ.show vpn-sessiondb l2lಆ ಸೆಷನ್‌ಗೆ ಹೊಸ ಪೀರ್ ಅನ್ನು ಹೆಸರಿಸಬೇಕು, ಮತ್ತು ಬೈಟ್ ಕೌಂಟರ್‌ಗಳು ಚಲಿಸಬೇಕು.

5. ಮುಗಿಸಿ ಅಥವಾ ಹಿಂತಿರುಗಿಸಿ

ಬದಲಾವಣೆಗೆ ಮೊದಲು ರೋಲ್‌ಬ್ಯಾಕ್ ಬರೆಯಿರಿ: ಹಳೆಯ ಅಭ್ಯರ್ಥಿ ಪಟ್ಟಿ, ಹಳೆಯ ಪ್ರೊಫೈಲ್ ಮ್ಯಾಪಿಂಗ್ ಮತ್ತು ಹಳೆಯ ಅಂಡರ್ಲೇ ನಮೂದು. ASA ಗೆ ಸ್ವತಂತ್ರ ನಿರ್ವಹಣಾ ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ, ಏಕೆಂದರೆ ಪ್ರವೇಶವನ್ನೂ ಕಸಿದುಕೊಳ್ಳುವ ಪೀರ್ ವಿಳಾಸ ಸಂಪಾದನೆ ದೀರ್ಘ ಸಂಜೆ. ಹಳೆಯ ಪೀರ್ ಮತ್ತು ರುಜುವಾತುಗಳನ್ನು ಸ್ವೀಕಾರದ ನಂತರ ಮತ್ತು ಬ್ಯಾಕಪ್ ನಿರ್ಧಾರ ದಾಖಲಾದ ನಂತರವೇ ತೆಗೆಯಿರಿ. ರಕ್ಷಿತ ನೆಟ್‌ವರ್ಕ್‌ಗಳ ಪ್ರವೇಶ ನೀತಿ ಜಾರಿಬಿದ್ದಿಲ್ಲ ಎಂದೂ ದೃಢೀಕರಿಸಿ.

ಉದ್ದೇಶಿತ ಪೀರ್ ದೃಢೀಕರಣ ಪಾಸ್ ಮಾಡಿ ಸಂರಕ್ಷಿತ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಅಗತ್ಯ ಸೇವೆಯನ್ನು ಒಯ್ದಾಗ ವಲಸೆ ಮುಗಿಯುತ್ತದೆ. ಚಾಲನೆಯಲ್ಲಿರುವ ಸಂರಚನೆಯಲ್ಲಿ ಹೊಸ ವಿಳಾಸ ಇರುವುದು ಟೈಪ್ ಮಾಡಿದ್ದಕ್ಕೆ ಸಾಕ್ಷಿ, ಯಶಸ್ಸಿಗೆ ಅಲ್ಲ.