ASA'дагы IPsec өнөктөш дарегин туннелди бузбай өзгөртүү
Өнөктөш дарегин жылдыруу талапкерлер тизмесине, профилдин дал келишине, негизги тармакка жана активдүү сессияларга тиет. Текшерүү тизмесин ирети менен аткарыңыз.
Өнөктөш дарегин өзгөртүү бир сап сыяктуу көрүнөт, бирок көчүрүү сыяктуу аракет кылат. Чынында жылып жаткан нерсе — объектилердин жыйындысы: crypto map'дагы талапкер өнөктөштөрдүн тизмеси, алыскы учту аныктаган профиль же аутентификация картасы,ага жеткен негизги тармак, жана эски маанилерден курулган активдүү ассоциациялар. Конфигурацияны оңдоону ушул жыйындынын акыркы кадамы катары караңыз, биринчиси катары эмес.
1. Бир нерсеге тийүүдөн мурун азыркы абалды жазып алыңыз
Тиешелүү crypto-map жазуусунун толук талапкерлер тизмесинен баштаңыз, ирети менен, сиз колдонулуп жатат деп ойлогон даректен гана эмес. Ирет маанилүү, анткени түзмөк чындыгында ушуну сынап көрөт.
Аныshow run crypto mapаркылуу жазып алыңыз жана натыйжалуу жазуунуshow crypto mapаркылуу окуп, андан кийин эки чыгышты тең пландалган жаңы маанинин жанына сактаңыз. Ошол жерде ар бир учурдагы ассоциация кайсы өнөктөштү тандаганын белгилеп коюңуз.
Сессия катмары үчүн да ушундай кылыңыз,show vpn-sessiondb l2lжанаshow crypto ipsec sa peer <old-address>колдонуп. Бул эки чыгыш — 02:10'до туннел эмне үчүн кулаганын кимдир бирөө сураганда сиздин мурунку сүрөтүңүз.
2. Жаңы өнөктөш ошол эле саясаттын алдында жеткиликтүү экенин далилдеңиз
Которууну пландаштыруудан мурун жеткиликтүүлүктү далилдеңиз. Ички интерфейстен жаңы өнөктөштүн корголгон тармагына карайpacket-tracerиштетүү маршруттоо, NAT өзгөчөлүгү жана кирүү саясаты дал келерин көрсөтөт. Андан кийин транспорт жолун ырастаңыз, анткени IKE жана IPsec шлюздардын ортосундагы ар кандай чыпкадан өтүү үчүн UDP 500 жана 4500 керек. Ийгиликтүү ping өзү эч нерсени далилдебейт.
Эгер негизги тармакка маршрут же которуу өзгөрүүсү керек болсо, бул өз тобокелдиги бар экинчи өзгөртүү. Аны ошол эле терезеге кошуңуз же өзүнчө пландаштырыңыз, бирок которуунун ортосунда таап калбай, кайсынысын экенин чечиңиз.
3. Даректи гана эмес, профиль картасын да жылдырыңыз
Өнөктөштү тандоо жана профилди тандоо — эки башка издөө. LAN-to-LAN байланыш профили жалпы атрибуттарды кармайт жана дарек, сертификат идентификатору же топтун аты боюнча дал келиши мүмкүн. Эгер профиль сертификаттын субъектисине таянса, IP'ни өзгөртүү кайсы профиль дал келерин өзгөртпөйт.
| Объект | Эмнеге ачкычталган | Жаңы өнөктөш дареги эмнеге тиет |
|---|---|---|
| crypto map талапкерлер тизмеси | Конфигурацияланган өнөктөш жазуулары жана алардын ирети | ASA алгачкы пакеттерин кайда жиберет |
| Байланыш профили | Дарек, сертификат идентификатору же топ | Дарекке ачкычталган профилдер гана |
| Корголгон префикстер | Жергиликтүү жана алыскы тармак объектилери | Эч нерсе, эгер сиз да аларды өзгөртпөсөңүз |
Эсептик маалымат келишимин бүзбөй сактаңыз. Даректи өзгөртүү идентификация текшерүүлөрүн алсыратууга себеп эмес жана үлгүлүү pre-shared key'ди билетке жабыштырууга себеп эмес.
4. Эки талапкер тең бар кезде активдүү сессияларды байкаңыз
Эки дарек тең талапкерлер тизмесинде турганда, эскиси камдыкпы же калдыкпы — жазуу түрүндө чечиңиз. Экеөнү тең камтыган конфигурация жарактуу жана акыркы сессияны кайсы өнөктөш ташыганын далилдебейт.
Эскирген коопсуздук ассоциацияларын өз чыгарылышыңыз үчүн өнөктөш менен чектелген формада гана тазалаңыз,clear crypto ipsec sa peer <address>, жана жабыркаган туннелдер кайра сүйлөшүүгө кирерин күтүңүз. Глобалдык баштапкы абалга келтирүү түзмөктөгү ар бир сессияны кулатат жана иш убактысында кечирилбейт.
Андан кийин корголгон хосттон бир реалдуу колдонмо агымын өткөрүп, жооп пландалган акыркы чекит аркылуу кайтып келерин ырастаңыз.show vpn-sessiondb l2lошол сессия үчүн жаңы өнөктөштү аташы керек, ал эми байт эсептегичтери кыймылдашы керек.
5. Жабыңыз же артка кайтарыңыз
Өзгөртүүдөн мурун артка кайтарууну жазыңыз: эски талапкерлер тизмеси, эски профиль картасы жана эски негизги тармак жазуусу. ASA'га көз карандысыз башкаруу жолун кармаңыз, анткени кирүү мүмкүнчүлүгүңүздү да ала турган өнөктөш дарегин оңдоо — узак кеч. Эскирген өнөктөштү жана эсептик маалыматтарды кабыл алуудан жана камдык чечим жазылгандан кийин гана алып салыңыз. Корголгон тармактардагы кирүү саясаты жылган эмесин да ырастаңыз.
Көчүрүү пландалган өнөктөш аутентификациядан өтүп, сакталган саясаттын алдында керектүү кызматты ташыганда бүтөт. Иштеп жаткан конфигурациядагы жаңы дарек — теруу далили, ийгилик эмес.