Mainīt ASA IPsec partnera adresi, nesalaužot tuneli
Partnera adreses pārvietošana skar kandidātu sarakstu, profila atbilstību, apakšējo tīklu un aktīvās sesijas. Izpildiet kontrolsarakstu secībā.
Partnera adreses maiņa izskatās kā viena rinda, bet uzvedas kā migrācija. Patiesībā pārvietojas objektu kopums: kandidātu partneru saraksts crypto map kartē, profils vai autentifikācijas kartējums, kas identificē tālo galu,apakšējais tīkls, kas to sasniedz, un aktīvās asociācijas, kas veidotas no vecajām vērtībām. Konfigurācijas labojumu uzskatiet par šīs kopas pēdējo soli, nevis pirmo.
1. Reģistrējiet pašreizējo stāvokli pirms kaut kam pieskaraties
Sāciet ar visu attiecīgā crypto-map ieraksta kandidātu sarakstu, secībā, nevis tikai ar adresi, kuru, jūsuprāt, izmanto. Secība ir svarīga, jo tieši to ierīce faktiski izmēģina.
Reģistrējiet to arshow run crypto mapun nolasiet faktisko ierakstu arshow crypto map, pēc tam saglabājiet abas izvades blakus paredzētajai jaunajai vērtībai. Turpat atzīmējiet, kuru partneri izvēlējās katra esošā asociācija.
Dariet to pašu sesiju slānim, izmantojotshow vpn-sessiondb l2lunshow crypto ipsec sa peer <old-address>. Šīs divas izvades ir jūsu pirms-attēls, kad kāds jautā, kāpēc tunelis nokrita 02:10.
2. Pierādiet, ka jaunais partneris ir sasniedzams saskaņā ar to pašu politiku
Pierādiet sasniedzamību pirms pārslēgšanas plānošanas. Palaidietpacket-tracerno iekšējās saskarnes uz jaunā partnera aizsargāto tīklu, lai redzētu, vai maršrutēšana, NAT izņēmums un piekļuves politika saskan. Pēc tam apstipriniet transporta ceļu, jo IKE un IPsec nepieciešams UDP 500 un 4500, lai izietu cauri jebkuram filtram starp vārtejām. Veiksmīgs ping pats par sevi neko no tā nepierāda.
Ja apakšējam tīklam nepieciešams maršruts vai tulkošanas izmaiņa, tas ir otrs lēmums ar savu risku. Apvienojiet to tajā pašā logā vai plānojiet atsevišķi, bet izlemiet, kuru, nevis atklājiet to pārslēgšanas vidū.
3. Pārvietojiet profila kartējumu, ne tikai adresi
Partnera izvēle un profila izvēle ir divas dažādas meklēšanas. LAN-to-LAN savienojuma profils satur vispārīgus atribūtus un var atbilst pēc adreses, sertifikāta identitātes vai grupas nosaukuma. IP maiņa nemaina to, kurš profils atbilst, ja profils balstās uz sertifikāta subjektu.
| Objekts | Pēc kā tas ir atslēgts | Ko skar jaunā partnera adrese |
|---|---|---|
| Crypto map kandidātu saraksts | Konfigurētie partnera ieraksti un to secība | Kur ASA sūta savus sākotnējos paketes |
| Savienojuma profils | Adrese, sertifikāta identitāte vai grupa | Tikai ar adresi atslēgtie profili |
| Aizsargātie prefiksi | Vietējie un attālinātie tīkla objekti | Nekas, ja vien jūs tos arī nemaināt |
Saglabājiet akreditācijas datu līgumu neskartu. Adreses maiņa nav iemesls vājināt identitātes pārbaudes, un tā nav iemesls ielīmēt parauga iepriekš koplietotu atslēgu biļetenā.
4. Vērojiet aktīvās sesijas, kamēr pastāv abi kandidāti
Kamēr abas adreses ir kandidātu sarakstā, rakstiski izlemiet, vai vecā ir rezerves variants vai atlikums. Konfigurācija, kurā ir abas, ir derīga, un tā neko nepierāda par to, kurš partneris nesa pēdējo sesiju.
Notīriet novecojušās drošības asociācijas tikai ar jūsu laidiena partnera tvēruma formu,clear crypto ipsec sa peer <address>, un gaidiet, ka skartie tuneļi pārrunās no jauna. Globālā atiestatīšana nomet katru sesiju ierīcē, un darba laikā tā netiks piedota.
Pēc tam laidiet vienu reālu lietojumprogrammas plūsmu no aizsargātā resursdatora un apstipriniet, ka atbilde atgriežas pa paredzēto galapunktu.show vpn-sessiondb l2ljānosauc jaunais partneris šai sesijai, un baitu skaitītājiem jākustas.
5. Pabeidziet vai atritiniet atpakaļ
Pirms izmaiņām uzrakstiet atritināšanu: vecais kandidātu saraksts, vecais profila kartējums un vecais apakšējā tīkla ieraksts. Saglabājiet neatkarīgu pārvaldības ceļu uz ASA, jo partnera adreses labojums, kas atņem arī piekļuvi, ir garš vakars. Noņemiet novecojušo partneri un akreditācijas datus tikai pēc pieņemšanas un pēc rezerves lēmuma reģistrēšanas. Apstipriniet arī, ka piekļuves politika aizsargātajos tīklos nav novirzījusies.
Migrācija ir pabeigta, kad paredzētais partneris autentificējas un saskaņā ar saglabāto politiku pārvadā nepieciešamo pakalpojumu. Jauna adrese darbojošā konfigurācijā ir rakstīšanas pierādījums, nevis veiksmes.