VPN migrācija no IOS uz ASA: tulkojiet vienošanos, ne komandas

IOS konfigurācija, kas pienāk kā ASA migrācijas atsauce, apraksta vienošanos, kas ietīta vienas platformas sintaksē. Dalībnieku adreses, identitātes un aizsargātie diapazoni ir vienošanās. Atslēgu gredzens, profils un šifrēšanas karšu ķēde ir veids, kā IOS to izsaka, bet ASA to pašu nodomu izsaka ar tuneļu grupām un to atribūtiem. Otrās daļas kopēšana nekad neizdodas, un tikai pirmās kopēšana atstāj darbu pusceļā.

Izejiet piecus tālāk minētos soļus secībā un apstājieties visur, kur abas platformas apraksta dažādas lietas, nevis dažādus vārdus.

1. solis: atdaliet vienošanos no sintakses

Uzrakstiet nodošanu kā prasības, par kurām vienojas abi administratori. Četras rindas aptver gandrīz visu: kur atrodas dalībnieks un kura puse sāk, kā katra puse pierāda savu identitāti, kāda aizsardzība ir pieņemama un kuras lietojumprogrammas jāiztur caur tuneli. Neviena no šīm rindām nemin komandu.

Saglabājiet oriģinālo tekstu kā pierādījumu, nevis kā norādes. Rinda, kas ir vienā platformā un nav otrā, ir sintakses atšķirība, līdz esat pārbaudījis, vai to pašu prasību var izpildīt citādi.

2. solis: nosauciet objektus katrā platformā

IOS XE IKEv2 atslēgu gredzens baro IKEv2 profilu, un šis profils tiek pievienots ar šifrēšanas karti vai IPsec profilu. ASA tuneļa grupa satur savienojuma profilu un tā IPsec atribūtus, un šifrēšanas karte uz to norāda, kā apraksta savienojuma profila rokasgrāmata. Tie ir dažādi objektu grafiki ar atšķirīgu mantošanu, tāpēc rindu pa rindai atbilstība dod konfigurāciju, kas tiek parsēta un neizveido savienojumu.

Veidojiet mērķa objektus no prasību rindām, nevis no avota rindām. Ja rindas ir pilnīgas, mērķa konfigurācija ir dizaina lēmums. Ja nav, nekāds komandu tulkošanas apjoms nepiegādās trūkstošo nodomu.

3. solis: pārnesiet identitāti, ne tikai adreses

Identitāte ir tā daļa, kas klusi salūzt. Dalībnieks, kas autentificējas ar adresi, uzvedas citādi nekā tas, kas autentificējas ar sertifikāta subjektu vai FQDN, un abas platformas šo gaidu reģistrē dažādās vietās. Saglabājiet paredzēto identitāti un uzticības ķēdi, tā vietā lai aizstātu kopīgu noslēpumu tāpēc, ka to ir vieglāk pārbaudīt.

Turiet iepriekš kopīgo noslēpumu ārpus salīdzināšanas piezīmēm un biļetēm. Pierakstiet, kam tas pieder un kā tas pārvietojas apstiprinātā kanālā, un atcerieties, ka dokumentācijas piemēra vietturis nav klienta akreditācijas dati.

4. solis: vienojieties par aizsardzību pirms pārslēgšanas

Nepārnesiet vecos kriptogrāfiskos iestatījumus tikai tāpēc, ka tie parādās piegādātajā tekstā. Vienojieties par to komplektu krustpunktu, kurus pašlaik atbalsta abi izvietotie dalībnieki, un apstipriniet to ar otru administratoru pirms izmaiņu loga. Ja šis krustpunkts atšķiras no tā, ko gaida esošais dalībnieks, tas ir saskaņota izmaiņa, nevis vietēja rediģēšana.

Pierakstiet panākto kopu. Divi administratori ar atšķirīgām atmiņām par telefona sarunu ir iemesls, kāpēc pārslēgšana rada otrās fāzes neatbilstību.

5. solis: pārbaudiet pakalpojumu, nevis sintaksi

Vispirms pārbaudiet mērķa efektīvos objektus, tad pieņemto asociāciju, tad reālu lietojumprogrammas plūsmu un tās atbildi. Komandas ievadīšana bez kļūdas pierāda sintaksi un neko citu. Tunelis, kas paceļas un nepārvada satiksmi, parasti nozīmē, ka aizsargātie diapazoni vai atgriešanās maršruts nesakrīt ar otru pusi, un tā ir prasību rindas, nevis komandas problēma. Salīdziniet aizsargātos diapazonus abās pusēs pirms atkal aiztiecat šifrēšanas karti.

Pierakstiet, ko pārbaudījāt, ar kādām adresēm un no kuras puses. Šis ieraksts ne skaidru apgalvojumu, ka VPN darbojas, pārvērš kaut ko tādu, ko otrs administrators var pārbaudīt patstāvīgi.

Ko atdot

Nosūtiet prasību matricu, mērķa konfigurācijas kopsavilkumu un pārbaudes rezultātus. Skaidri norādiet, kurus avota iestatījumus neesat pārnesis un kāpēc. Šis saraksts ir noderīgāks par tulkoto konfigurāciju, jo tur sāksies nākamā domstarpība.

Glabājiet arī avota tekstu kopā ar biļeti. Tas dokumentē, ko lūdza, bet matrica – par ko vienojās.