D'IPsec-Peer-Adress vun engem ASA änneren, ouni den Tunnel ze briechen
D'Peer-Adress verréckelen beréiert d'Kandidatelëscht, de Profil-Match, den Underlay an d'aktiv Sessiounen. Schafft d'Checklëscht an der Rei of.
Eng Peer-Adress änneren gesäit aus wéi eng Zeil, awer et verhält sech wéi eng Migratioun. Wat sech tatsächlech beweegt, ass eng Rei vun Objeten: d'Kandidatelëscht vun de Peers op der crypto map, de Profil oder d'Authentifikatiouns-Mapping, deen de wäiten Enn identifizéiert,den Underlay, deen et erreecht, an d'aktiv Associatiounen, déi aus den ale Wäerter gebaut sinn. Betruecht d'Konfiguratiounseditioun als de leschte Schrëtt vun där Rei, net als den éischten.
1. Halt den aktuelle Stand fest, ier Dir eppes beréiert
Fänkt mat der ganzer Kandidatelëscht vum betreffenden crypto-map-Antrag un, an der Rei, net nëmmen mat der Adress, déi Dir mengt, déi am Gebrauch ass. D'Rei ass wichteg, well dat ass, wat den Apparat tatsächlech probéiert.
Halt se fest matshow run crypto mapa liest den effektiven Antrag matshow crypto map, dann späichert béid Ausgaben nieft dem geplangte neie Wäert. Notéiert och, wéi ee Peer all existent Associatioun gewielt huet, während Dir do sidd.
Maacht datselwecht fir d'Sessiounsschicht, matshow vpn-sessiondb l2lanshow crypto ipsec sa peer <old-address>. Dës zwou Ausgaben sinn Äert Bild virdrun, wann een freet, firwat en Tunnel um 02:10 erofgefall ass.
2. Beweist, datt deen neie Peer ënner der selwechter Politik erreechbar ass
Beweist d'Erreechbarkeet, ier Dir de Schnitt plangt. Eng Ausféierung vunpacket-tracervum banneschten Interface aus Richtung dem geschützte Netzwierk vum neie Peer weist, ob Routing, NAT-Ausnam an Zougangspolitik sech eens sinn. Bestätegt duerno den Transportwee, well IKE an IPsec UDP 500 an 4500 brauchen, fir all Filter tëscht de Gateways ze passéieren. E Ping, deen erfollegräich ass, beweist dovun näischt eleng.
Wann den Underlay eng Route oder eng Iwwersetzungsännerung brauch, ass dat eng zweet Ännerung mat hirem eegene Risiko. Bündelt se an déiselwecht Fënster oder plangt se getrennt, awer entscheet wéi eng, amplaz se mëttem Schnitt ze entdecken.
3. Verréckelt d'Profil-Mapping, net nëmmen d'Adress
D'Peer-Auswiel an d'Profil-Auswiel sinn zwou verschidde Lookups. E LAN-to-LAN-Verbindungsprofil hält allgemeng Attributer a ka mat enger Adress, enger Zertifikatsidentitéit oder engem Gruppennumm iwwereneenkommen. D'IP z'änneren ännert net, wéi ee Profil passt, wann de Profil op engem Zertifikatssujet baséiert.
| Objet | Worop et geschlësselt ass | Wat eng nei Peer-Adress beréiert |
|---|---|---|
| Crypto-map-Kandidatelëscht | Konfiguréiert Peer-Anträg an hir Rei | Wouhin den ASA seng éischt Pakete schéckt |
| Verbindungsprofil | Adress, Zertifikatsidentitéit oder Grupp | Nëmmen d'Profilen, déi op d'Adress geschlësselt sinn |
| Geschützte Prefixen | Lokal an remote Netzwierkobjeten | Näischt, ausser Dir ännert se och |
Halt de Kredentialkontrakt intakt. Eng Adressännerung ass kee Grond, d'Identitéitsprüfunge ze läschen, an och kee Grond, e Beispill vun engem Pre-shared Key an en Ticket ze paste.
4. Observéiert aktiv Sessiounen, während béid Kandidaten existéieren
Während béid Adressen op der Kandidatelëscht stinn, entscheet schrëftlech, ob déi al eng Emfallsleeschtung oder Reschter ass. Eng Konfiguratioun mat béiden ass valabel, an et beweist näischt doriwwer, wéi ee Peer déi lescht Sessioun gedroen huet.
Läscht verouderte Sécherheetsassociatiounen nëmmen mat der peer-begrenzter Form fir Är Release,clear crypto ipsec sa peer <address>, a rechent domat, datt déi betraffe Tunnelen nei verhandelen. En globale Reset léisst all Sessioun op dem Apparat erof an gëtt während de Geschäftsstonnen net verzeien.
Da loosst ee richtege Applikatiounsfloss vun engem geschützten Host duerch an bestätegt, datt d'Äntwert iwwer den intendéierten Endpunkt zréckkënnt.show vpn-sessiondb l2lsoll deen neie Peer fir déi Sessioun nennen, an d'Byte-Zähler sollten sech beweegen.
5. Maacht et zou oder rollt zréck
Schreift de Rollback virun der Ännerung: déi al Kandidatelëscht, d'al Profil-Mapping an den alen Underlay-Antrag. Halt ee onofhängege Managementwee op den ASA, well eng Peer-Adress-Editioun, déi Iech och den Zougang kascht, ass en laangen Owend. Entfernt de verouderte Peer an d'Kredentialer eréischt no der Akzeptanz an nodeems d'Emfallsentscheedung festgehalen ass. Bestätegt och, datt d'Zougangspolitik op de geschützte Netzwierker net gedriwwe kënnt.
D'Migratioun ass fäerdeg, wann den intendéierte Peer sech authentifizéiert an de erfuerderleche Service ënner der conservéierter Politik dréit. Eng nei Adress an der lafender Konfiguratioun ass e Beweis vum Tippen, net vum Succès.