VPN migracija iš IOS į ASA: verskite susitarimą, o ne komandas
Šifravimo žemėlapis nėra ASA tunelio grupė. Kurios susitarimo dalys perkeliamos, kurias reikia perstatyti ir kokie patikrinimai įrodo, kad paslauga veikia.
IOS konfigūracija, kuri atkeliauja kaip ASA migracijos pavyzdys, aprašo susitarimą, įvyniotą į vienos platformos sintaksę. Partnerių adresai, tapatybės ir saugomi diapazonai yra susitarimas. Raktų žiedas, profilis ir šifravimo žemėlapių grandinė yra tai, kaip IOS jį išreiškia, o ASA tą pačią intenciją išreiškia tunelio grupėmis ir jų atributais. Antrosios dalies kopijavimas niekada neveikia, o vien pirmosios kopijavimas palieka darbą pusėje.
Atlikite penkis toliau pateiktus veiksmus iš eilės ir sustokite visur, kur abi platformos aprašo skirtingus dalykus, o ne skirtingus žodžius.
1 veiksmas: atskirkite susitarimą nuo sintaksės
Užrašykite perdavimą kaip reikalavimus, dėl kurių sutaria abu administratoriai. Keturioms eilutėms tenka beveik viskas: kur yra partneris ir kuri pusė pradeda, kaip kiekviena pusė įrodo savo tapatybę, kokia apsauga priimtina ir kurios programos turi išlikti per tunelį. Nė vienoje iš šių eilučių nėra komandos.
Saugokite originalų tekstą kaip įrodymą, o ne kaip instrukcijas. Eilutė, kuri yra vienoje platformoje ir nėra kitoje, yra sintaksės skirtumas, kol nepatikrinote, ar tą patį reikalavimą galima įvykdyti kitaip.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
2 veiksmas: įvardykite objektus kiekvienoje platformoje
IOS XE IKEv2 raktų žiedas maitina IKEv2 profilį, o tas profilis prijungiamas per šifravimo žemėlapį arba IPsec profilį. ASA tunelio grupė laiko ryšio profilį ir jo IPsec atributus, o šifravimo žemėlapis nurodo į ją, kaip aprašo ryšio profilio vadovas. Tai skirtingi objektų grafikai su skirtingu paveldėjimu, todėl eilutė po eilutės atitikimas duoda konfigūraciją, kuri išanalizuojama, bet neprisijungia.
Kurkite tikslinius objektus iš reikalavimų eilučių, o ne iš šaltinio eilučių. Jei eilutės išsamios, tikslinė konfigūracija yra projektinis sprendimas. Jei ne, joks komandų vertimo kiekis nesuteiks trūkstamos intencijos.
3 veiksmas: perkelkite tapatybę, o ne tik adresus
Tapatybė yra ta dalis, kuri tyliai lūžta. Partneris, kuris autentifikuojasi adresu, elgiasi kitaip nei tas, kuris autentifikuojasi sertifikato subjektu arba FQDN, ir abi platformos tą lūkestį fiksuoja skirtingose vietose. Išsaugokite numatytą tapatybę ir pasitikėjimo grandinę, o ne pakeiskite bendrą paslaptį todėl, kad ją lengviau išbandyti.
Laikykite iš anksto bendrinamą paslaptį atokiau nuo palyginimo užrašų ir bilietų. Užrašykite, kam ji priklauso ir kaip ji juda patvirtintu kanalu, ir atminkite, kad dokumentacijos pavyzdžio vietos žymeklis nėra kliento prisijungimo duomenys.
4 veiksmas: suderinkite apsaugą prieš perjungimą
Neperkelkite senų kriptografinių nustatymų vien todėl, kad jie yra pateiktame tekste. Suderinkite rinkinių sankirtą, kurią abu įdiegti partneriai šiuo metu palaiko, ir patvirtinkite ją su kitu administratoriumi prieš pakeitimo langą. Jei ta sankirta skiriasi nuo to, ko tikisi esamas partneris, tai suderintas pakeitimas, o ne vietinis redagavimas.
Užrašykite suderintą rinkinį. Du administratoriai, skirtingai prisimenantys telefono skambutį, yra priežastis, dėl kurios perjungimas sukuria antros fazės neatitikimą.
5 veiksmas: tikrinkite paslaugą, o ne sintaksę
Pirmiausia patikrinkite tikslo veiksmingus objektus, tada priimtą asociaciją, tada tikrą programos srautą ir jo atsakymą. Komandos įvedimas be klaidos įrodo sintaksę ir nieko daugiau. Tunelis, kuris pakyla ir neperduoda srauto, paprastai reiškia, kad saugomi diapazonai arba grįžimo maršrutas nesutampa su kita puse, o tai yra reikalavimų eilutės, o ne komandos problema. Palyginkite saugomus diapazonus abiejose pusėse prieš vėl liedami šifravimo žemėlapį.
Užrašykite, ką patikrinote, su kokiais adresais ir iš kurios pusės. Šis įrašas neaiškų teiginį, kad VPN veikia, paverčia tuo, ką kitas administratorius gali patikrinti savarankiškai.
Ką grąžinti
Atsiųskite reikalavimų matricą, tikslinės konfigūracijos santrauką ir patikrinimo rezultatus. Aiškiai nurodykite, kurių šaltinio nustatymų neperkėlėte ir kodėl. Šis sąrašas naudingesnis už išverstą konfigūraciją, nes nuo jo prasidės kitas nesutarimas.
Saugokite ir šaltinio tekstą kartu su bilietu. Jis dokumentuoja, ko buvo prašoma, o matrica – dėl ko susitarta.