Промена на IPsec peer адреса на ASA без прекин на тунелот
Преместувањето на peer адресата ги допира списокот кандидати, совпаѓањето на профилот, основниот слој и активните сесии. Поминете ја контролната листа по ред.
Промената на peer адресата изгледа како еден ред, но се однесува како миграција. Она што навистина се движи е збир од објекти: списокот кандидати за peer на crypto map, профилот или мапирањето за автентикација што го идентификува далечниот крај,основниот слој што го достигнува, и активните асоцијации изградени од старите вредности. Уредувањето на конфигурацијата третирајте го како последен чекор од тој збир, а не прв.
1. Запишете ја тековната состојба пред да допрете нешто
Започнете со целиот список кандидати за соодветниот crypto-map запис, по ред, не само со адресата за која мислите дека е во употреба. Редоследот е важен бидејќи токму тоа уредот го обидува.
Снимете го соshow run crypto mapи прочитајте го ефективниот запис соshow crypto map, потоа зачувајте ги двете излези покрај предвидената нова вредност. Забележете и кој peer го избрала секоја постоечка асоцијација, додека сте таму.
Истото направете го и за слојот на сесии, соshow vpn-sessiondb l2lиshow crypto ipsec sa peer <old-address>. Тие две излези се вашата слика пред промената кога некој ќе праша зошто тунел паднал во 02:10.
2. Докажете дека новиот peer е достапен под истата политика
Докажете ја достапноста пред да го закажете прекинот. Извршувањето наpacket-tracerод внатрешниот интерфејс кон заштитената мрежа на новиот peer покажува дали рутирањето, NAT исклучокот и пристапната политика се согласуваат. Потоа потврдете ја транспортната патека, бидејќи IKE и IPsec бараат UDP 500 и 4500 за да поминат низ кој било филтер меѓу портите. Успешен ping сам по себе ништо од тоа не докажува.
Ако на основниот слој му треба рута или промена на преводот, тоа е второ менување со сопствен ризик. Групирајте го во истиот прозорец или закажете го одделно, но одлучете кое, наместо да го откриете среде прекинот.
3. Преместете го мапирањето на профилот, не само адресата
Изборот на peer и изборот на профил се две различни пребарувања. Профилот за LAN-to-LAN врска држи општи атрибути и може да се совпадне по адреса, идентитет на сертификат или име на група. Менувањето на IP не менува кој профил се совпаѓа кога профилот се потпира на субјект на сертификат.
| Објект | Врз што е клучен | Што допира новата peer адреса |
|---|---|---|
| Список кандидати на crypto map | Конфигурирани peer записи и нивниот ред | Каде ASA ги праќа првите пакети |
| Профил на врска | Адреса, идентитет на сертификат или група | Само профилите клучени на адреса |
| Заштитени префикси | Локални и далечни мрежни објекти | Ништо, освен ако и вие не ги смените |
Зачувајте го договорот за акредитиви недопрен. Промената на адреса не е причина да се олабават проверките на идентитетот, ниту причина да залепите примерен pre-shared key во тикет.
4. Набљудувајте ги активните сесии додека постојат двата кандидати
Додека двете адреси стојат на списокот кандидати, писмено одлучете дали старата е резерва или остаток. Конфигурацијата што ги содржи двете е валидна и ништо не докажува за тоа кој peer ја носел последната сесија.
Исчистете ги застарените безбедносни асоцијации само со формата ограничена на peer за вашето издание,clear crypto ipsec sa peer <address>, и очекувајте погодените тунели повторно да преговараат. Глобалното ресетирање ги соборува сите сесии на уредот и нема да биде простено во работно време.
Потоа пропуштете еден вистински апликациски тек од заштитен хост и потврдете дека одговорот се враќа низ предвидената крајна точка.show vpn-sessiondb l2lтреба да го наведе новиот peer за таа сесија, а бројачите на бајти треба да се движат.
5. Затворете го или вратете го
Напишете го враќањето пред промената: стариот список кандидати, старото мапирање на профилот и стариот запис на основниот слој. Одржувајте независна патека за управување до ASA, бидејќи уредување на peer адреса што ви го одзема и пристапот е долга вечер. Отстранете го застарениот peer и акредитивите само по прифаќањето и откако одлуката за резерва е запишана. Потврдете и дека пристапната политика на заштитените мрежи не се поместила.
Миграцијата е завршена кога предвидениот peer ќе се автентицира и ќе го носи бараниот сервис под зачуваната политика. Новата адреса во тековната конфигурација е доказ за впишување, не за успех.