Keisti ASA IPsec partnerio adresą nesulaužant tunelio
Partnerio adreso perkėlimas paliečia kandidatų sąrašą, profilio atitikimą, pagrindinį tinklą ir aktyvias sesijas. Atlikite kontrolinį sąrašą iš eilės.
Partnerio adreso pakeitimas atrodo kaip viena eilutė, bet elgiasi kaip migracija. Iš tikrųjų juda objektų rinkinys: kandidatų partnerių sąrašas crypto map žemėlapyje, profilis arba autentifikacijos susiejimas, identifikuojantis tolimąjį galą,pagrindinis tinklas, kuris jį pasiekia, ir aktyvios asociacijos, sukurtos iš senų reikšmių. Konfigūracijos redagavimą laikykite paskutiniu šio rinkinio žingsniu, o ne pirmuoju.
1. Užfiksuokite dabartinę būseną prieš ką nors liesdami
Pradėkite nuo viso atitinkamo crypto-map įrašo kandidatų sąrašo, eilės tvarka, o ne tik nuo adreso, kuris, jūsų manymu, naudojamas. Tvarka svarbi, nes būtent ją įrenginys iš tikrųjų bando.
Užfiksuokite jį naudodamishow run crypto mapir perskaitykite galiojantį įrašą naudodamishow crypto map, tada išsaugokite abi išvestis šalia numatytos naujos reikšmės. Ten pat pasižymėkite, kurį partnerį pasirinko kiekviena esama asociacija.
Tą patį padarykite sesijų sluoksniui, naudodamishow vpn-sessiondb l2lirshow crypto ipsec sa peer <old-address>. Šios dvi išvestys yra jūsų vaizdas prieš pokytį, kai kas nors paklaus, kodėl tunelis nukrito 02:10.
2. Įrodykite, kad naujasis partneris pasiekiamas pagal tą pačią politiką
Įrodykite pasiekiamumą prieš planuodami perjungimą. Paleiskitepacket-traceriš vidinės sąsajos į naujojo partnerio apsaugotą tinklą ir pamatysite, ar maršrutizavimas, NAT išimtis ir prieigos politika sutampa. Tada patvirtinkite transporto kelią, nes IKE ir IPsec reikia UDP 500 ir 4500, kad praeitų bet kurį filtrą tarp šliuzų. Sėkmingas ping pats savaime nieko to neįrodo.
Jei pagrindiniam tinklui reikia maršruto arba vertimo pakeitimo, tai antrasis pakeitimas su sava rizika. Sudėkite jį į tą patį langą arba suplanuokite atskirai, bet nuspręskite, kurį, o ne atraskite tai perjungimo viduryje.
3. Perkelkite profilio susiejimą, o ne tik adresą
Partnerio pasirinkimas ir profilio pasirinkimas yra dvi skirtingos paieškos. LAN-to-LAN ryšio profilis turi bendrus atributus ir gali atitikti pagal adresą, sertifikato tapatybę arba grupės pavadinimą. IP pakeitimas nekeičia, kuris profilis atitinka, kai profilis remiasi sertifikato subjektu.
| Objektas | Pagal ką raktas | Ką paliečia naujas partnerio adresas |
|---|---|---|
| Crypto map kandidatų sąrašas | Sukonfigūruoti partnerio įrašai ir jų tvarka | Kur ASA siunčia pirmuosius paketus |
| Ryšio profilis | Adresas, sertifikato tapatybė arba grupė | Tik adresu pagrįsti profiliai |
| Apsaugoti prefiksai | Vietiniai ir nuotoliniai tinklo objektai | Nieko, nebent juos taip pat pakeisite |
Saugokite kvalifikacijų sutartį nepakitusią. Adreso pakeitimas nėra priežastis susilpninti tapatybės patikras ir nėra priežastis įklijuoti pavyzdinį iš anksto bendrinamą raktą į bilietą.
4. Stebėkite aktyvias sesijas, kol egzistuoja abu kandidatai
Kol abu adresai yra kandidatų sąraše, raštu nuspręskite, ar senasis yra atsarginis, ar likutis. Konfigūracija, kurioje yra abu, galioja ir nieko neįrodo apie tai, kuris partneris perdavė paskutinę sesiją.
Išvalykite pasenusias saugos asociacijas tik savo versijos partnerio apimties forma,clear crypto ipsec sa peer <address>, ir tikėkitės, kad paveikti tuneliai iš naujo derėsis. Visuotinis atstatymas numeta kiekvieną sesiją įrenginyje ir nebus atleistas darbo valandomis.
Tada praleiskite vieną realų programos srautą iš apsaugoto mazgo ir patvirtinkite, kad atsakymas grįžta per numatytą galinį tašką.show vpn-sessiondb l2lturėtų nurodyti naująjį partnerį tai sesijai, o baitų skaitikliai turėtų judėti.
5. Uždarykite arba atsukite atgal
Parašykite atšaukimą prieš pakeitimą: seną kandidatų sąrašą, seną profilio susiejimą ir seną pagrindinio tinklo įrašą. Išlaikykite nepriklausomą valdymo kelią į ASA, nes partnerio adreso redagavimas, kuris taip pat atima prieigą, yra ilgas vakaras. Pašalinkite pasenusį partnerį ir kvalifikacijas tik po priėmimo ir užfiksavus atsarginį sprendimą. Taip pat patvirtinkite, kad apsaugotų tinklų prieigos politika nenukrypo.
Migracija baigta, kai numatytas partneris autentifikuojasi ir pagal išsaugotą politiką perduoda reikiamą paslaugą. Naujas adresas veikiančioje konfigūracijoje yra įvedimo įrodymas, o ne sėkmės.