터널을 끊지 않고 ASA의 IPsec 피어 주소 변경하기

피어 주소 변경은 한 줄짜리 편집처럼 보이지만 실제로는 마이그레이션처럼 동작합니다. 정말로 움직이는 것은 객체들의 집합입니다. crypto map의 후보 피어 목록, 원격 끝을 식별하는 프로필 또는 인증 매핑,그곳에 도달하는 언더레이, 그리고 옛 값으로 만들어진 활성 연결입니다. 설정 편집은 이 집합의 첫 단계가 아니라 마지막 단계로 다루십시오.

1. 무엇이든 건드리기 전에 현재 상태를 기록하십시오

해당 crypto-map 항목의 후보 목록 전체를 순서대로 적으십시오. 사용 중이라고 생각하는 주소만 적으면 안 됩니다. 순서가 중요한 이유는 장비가 실제로 시도하는 것이 그 순서이기 때문입니다.

먼저show run crypto map명령으로 기록하고, 유효 항목은show crypto map명령으로 읽은 뒤 두 출력을 계획된 새 값 옆에 저장하십시오. 그 자리에서 기존 연결 각각이 어떤 피어를 선택했는지도 적어 두십시오.

세션 계층도show vpn-sessiondb l2l와show crypto ipsec sa peer <old-address>명령으로 같은 방식으로 기록하십시오. 이 두 출력은 누군가 02:10에 왜 터널이 끊겼는지 물을 때 보여 줄 변경 전 그림입니다.

2. 새 피어가 같은 정책 아래에서 도달 가능한지 증명하십시오

전환을 예약하기 전에 도달 가능성을 증명하십시오. 내부 인터페이스에서 새 피어의 보호 네트워크를 향해packet-tracer를 실행하면 라우팅, NAT 예외, 접근 정책이 서로 맞는지 보여 줍니다. 그다음 전송 경로를 확인하십시오. IKE와 IPsec은 게이트웨이 사이의 어떤 필터든 통과하려면 UDP 500과 4500이 필요하기 때문입니다. ping이 성공했다고 해서 그것만으로 증명되는 것은 아닙니다.

언더레이에 경로나 변환 변경이 필요하다면 그것은 자체 위험을 가진 두 번째 변경입니다. 같은 작업 창에 묶거나 따로 예약하되, 전환 도중에 발견하는 대신 어느 쪽으로 할지 미리 정하십시오.

3. 주소만이 아니라 프로필 매핑을 옮기십시오

피어 선택과 프로필 선택은 서로 다른 조회입니다. LAN-to-LAN 연결 프로필은 일반 속성을 담고 있으며 주소, 인증서 ID, 또는 그룹 이름으로 일치할 수 있습니다. 프로필이 인증서 주체를 기준으로 삼는다면 IP를 바꿔도 일치하는 프로필은 바뀌지 않습니다.

자격 증명 계약은 그대로 유지하십시오. 주소 변경은 신원 확인을 느슨하게 할 이유도, 예시용 사전 공유 키를 티켓에 붙여 넣을 이유도 아닙니다.

4. 두 후보가 모두 존재하는 동안 활성 세션을 관찰하십시오

두 주소가 모두 후보 목록에 있는 동안 옛 주소가 대체 경로인지 잔재인지 문서로 정하십시오. 둘 다 담은 설정은 유효하며, 마지막 세션을 어느 피어가 실어 날랐는지는 전혀 증명하지 않습니다.

오래된 보안 연결은 해당 릴리스의 피어 범위 형식으로만 정리하십시오.clear crypto ipsec sa peer <address>를 사용하고, 영향을 받는 터널은 다시 협상될 것으로 예상하십시오. 전역 리셋은 장비의 모든 세션을 끊으며 업무 시간에는 용서되지 않습니다.

그다음 보호된 호스트에서 실제 애플리케이션 흐름 하나를 통과시키고 응답이 의도한 끝점을 통해 돌아오는지 확인하십시오.show vpn-sessiondb l2l가 해당 세션의 새 피어를 지목해야 하고, 바이트 카운터가 움직여야 합니다.

5. 마무리하거나 되돌리십시오

변경 전에 롤백을 작성하십시오. 옛 후보 목록, 옛 프로필 매핑, 옛 언더레이 항목입니다. ASA로 가는 독립적인 관리 경로를 유지하십시오. 피어 주소 편집이 접근 권한까지 앗아 가면 긴 저녁이 되기 때문입니다. 오래된 피어와 자격 증명은 승인을 받고 대체 경로 결정을 기록한 뒤에만 제거하십시오. 보호 네트워크의 접근 정책이 흘러가지 않았는지도 확인하십시오.

의도한 피어가 인증을 통과하고 유지된 정책 아래에서 필요한 서비스를 실어 나르면 마이그레이션은 끝납니다. 실행 중인 설정에 새 주소가 있다는 것은 입력의 증거일 뿐 성공의 증거는 아닙니다.