VPNди IOS'тон ASA'га өткөрүү: келишимди которуңуз, буйруктарды эмес
Крипто карта ASA туннель тобу эмес. Келишимдин кайсы бөлүктөрү өтөт, кайсылары кайра курулушу керек жана кайсы текшерүүлөр кызматтын иштешин далилдейт.
ASA'га өтүү үчүн маалымдама катары келген IOS конфигурациясы бир платформанын синтаксисине оролгон келишимди сүрөттөйт. Өнөктөштүн дареги, идентификаторлор жана корголгон диапазондор — келишимдин өзү. Ачкыч шакеги, профиль жана крипто карталардын чынжыры — IOS аны ушинтип билдирет, ал эми ASA ошол эле ниетти туннель топтору жана алардын атрибуттары аркылуу билдирет. Экинчи бөлүгүн көчүрүү эч качан иштебейт, биринчисин гана көчүрүү ишти жарым жолдо калтырат.
Төмөнкү беш кадамды ирети менен аткарыңыз жана эки платформа ар кандай сөздөрдү эмес, ар кандай нерселерди сүрөттөгөн жерде токтоңуз.
1-кадам: келишимди синтаксистен бөлүңүз
Өткөрүп берүүнү эки администратор тең макул болгон талаптар катары жазыңыз. Төрт сап дээрлик баарын камтыйт: өнөктөш кайда жана кайсы тарап баштайт, ар тарап өз идентификаторун кантип далилдейт, кандай коргоо жарактуу жана кайсы колдонмолор туннелден өтүшү керек. Бул саптардын бири да буйрукту эскеришпейт.
Түпнуска текстти нускама катары эмес, далил катары сактаңыз. Бир платформада бар, экинчисинде жок сап — ошол эле талапты башка жол менен аткарууга болобу, текшермейинче синтаксистик айырма.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
2-кадам: ар платформадагы объектилерди атаңыз
IOS XE'де IKEv2 ачкыч шакеги IKEv2 профилин азыктандырат жана ал профиль крипто карта же IPsec профили аркылуу бекитилет. ASA'да туннель тобу туташуу профилин жана анын IPsec атрибуттарын кармайт, ал эми крипто карта ага шилтейт, эскерткендей туташуу профили боюнча колдонмо. Бул ар башка мураскорлугу бар ар башка объект графтары, ошондуктан сап-сап дал келтирүү талданган, бирок туташпаган конфигурацияны берет.
Максаттуу объектилерди баштапкы саптардан эмес, талап саптарынан куруңуз. Эгер саптар толук болсо, максаттуу конфигурация — долбоордук чечим. Эгер болбосо, буйруктарды которуунун эч кандай көлөмү жетишпеген ниетти бербейт.
3-кадам: даректерди гана эмес, идентификаторду да алып өтүңүз
Идентификатор — унчукпай сынган бөлүк. Дарек аркылуу аутентификацияланган өнөктөш сертификаттын субъектиси же FQDN аркылуу аутентификациялангандан башкача жүрөт, жана эки платформа бул күтүүнү ар башка жерде жазат. Сыноо жеңил болгондуктан жалпы сырды алмаштыруунун ордуна көздөлгөн идентификаторду жана ишеним чынжырын сактаңыз.
Алдын ала бөлүшүлгөн сырды салыштыруу жазууларынан жана билеттерден сырткары кармаңыз. Ал кимге таандык жана бекитилген канал аркылуу кантип өтөрүн жазыңыз, жана документтин мисалындагы орун толтургуч кардардын эсептик маалыматы эмес экенин унутпаңыз.
4-кадам: которуу алдында коргоону макулдашыңыз
Эски криптографиялык жөндөөлөрдү берилген текстте бар болгондуктан гана которбойсуз. Эки жайгаштырылган өнөктөш азыр колдогон топтомдордун кесилишин макулдашыңыз жана өзгөртүү терезесине чейин аны экинчи администратор менен ырастаңыз. Эгер бул кесилиш учурдагы өнөктөш күткөндөн башкача болсо, бул жергиликтүү түзөтүү эмес, координацияланган өзгөртүү.
Макулдашылган топтомду жазып коюңуз. Телефон чалуусу тууралуу эскерүүлөрү ар башка эки администратор — которуунун экинчи фазада дал келбестигинин себеби.
5-кадам: синтаксисти эмес, кызматты текшериңиз
Алгач максаттын натыйжалуу объектилерин, андан кийин кабыл алынган байланышты, андан кийин реалдуу колдонмо агымын жана анын жообун текшериңиз. Буйрукту катасыз киргизүү синтаксисти далилдейт жана башка эч нерсени. Көтөрүлгөн, бирок трафик ташыбаган туннель адатта корголгон диапазондор же кайтаруу маршруту каршы тарапка дал келбей жатканын билдирет, бул буйруктун эмес, талап сабынын маселеси. Крипто картаны кайра кармаардан мурун эки тараптагы корголгон диапазондорду салыштырыңыз.
Эмнени, кайсы даректер менен, кайсы тараптан текшергениңизди жазыңыз. Бул жазуу VPN иштеп жатат деген бүдөмүк ырастоону экинчи администратор өз алдынча текшере ала турган нерсеге айландырат.
Эмнени кайтаруу керек
Талаптар матрицасын, максаттуу конфигурациянын кыскача баяндамасын жана текшерүү жыйынтыктарын жөнөтүңүз. Кайсы баштапкы жөндөөлөрдү которбогонуңузду жана эмне үчүн экенин так айтыңыз. Бул тизме которулган конфигурациядан пайдалуураак, анткени кийинки келишпестик ошондон башталат.
Баштапкы текстти да билет менен бирге сактаңыз. Ал эмне талап кылынганын жазат, ал эми матрица эмнеге макулдашылганын.