Миграција на VPN од IOS кон ASA: преведете го договорот, а не командите
Крипто картата не е ASA тунелска група. Кои делови од договорот се пренесуваат, кои треба повторно да се изградат и кои проверки докажуваат дека услугата работи.
Конфигурацијата на IOS што пристигнува како референца за миграција кон ASA опишува договор спакуван во синтаксата на една платформа. Адресите на партнерите, идентитетите и заштитените опсези се договорот. Прстенот со клучеви, профилот и синџирот крипто карти се начинот на кој IOS го изразува тоа, додека ASA ја изразува истата намера преку тунелски групи и нивните атрибути. Копирањето на вториот дел никогаш не работи, а копирањето само на првиот го остава работата на половина.
Поминете ги петте чекори подолу по редослед и застанете каде што двете платформи опишуваат различни работи, а не различни зборови.
Чекор 1: одвојте го договорот од синтаксата
Напишете го предавањето како барања со кои се согласуваат двајцата администратори. Четири реда покриваат речиси сѐ: каде е партнерот и која страна започнува, како секоја страна го докажува својот идентитет, каква заштита е прифатлива и кои апликации треба да преживеат низ тунелот. Ниту еден од тие редови не спомнува команда.
Чувајте го оригиналниот текст како доказ, а не како инструкции. Редот што постои на една платформа, а не на другата, е синтаксна разлика додека сѐ уште не сте провериле дали истото барање може да се исполни на друг начин.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Чекор 2: именувајте ги објектите на секоја платформа
На IOS XE прстенот со клучеви IKEv2 го храни профилот IKEv2, и тој профил се прикачува преку крипто карта или IPsec профил. На ASA тунелската група го држи профилот за поврзување и неговите IPsec атрибути, а крипто картата покажува кон неа, како што опишува водичот за профилот за поврзување. Тоа се различни графици на објекти со различно наследство, затоа мапирањето ред по ред дава конфигурација што се парсира и не се поврзува.
Градете ги целните објекти од редовите со барања, а не од изворните редови. Ако редовите се целосни, целната конфигурација е дизајнерска одлука. Ако не се, никаква количина на превод на команди нема да ја обезбеди намерата што недостасува.
Чекор 3: пренесете идентитет, не само адреси
Идентитетот е делот што тивко се крши. Партнер што се автентификува со адреса се однесува поинаку од оној што се автентификува со субјект на сертификат или FQDN, и двете платформи го запишуваат тоа очекување на различни места. Зачувајте го предвидениот идентитет и синџирот на доверба наместо да замените заедничка тајна затоа што е полесно да се тестира.
Држете ја однапред споделената тајна надвор од белешките за споредба и тикетите. Запишете кому и припаѓа и како се движи низ одобрен канал, и запомнете дека заменскиот текст од пример во документацијата не се акредитивите на клиентот.
Чекор 4: договорете ја заштитата пред преминот
Не пренесувајте стари криптографски поставки само затоа што се појавуваат во доставениот текст. Договорете пресек од множества што и двајцата распоредени партнери моментално ги поддржуваат, и потврдете го со другиот администратор пред прозорецот за промена. Ако тој пресек се разликува од она што го очекува постоечкиот партнер, тоа е координирана промена, а не локално уредување.
Запишете го договореното множество. Двајца администратори со различни сеќавања за телефонски разговор се причината зошто преминот создава несовпаѓање во втората фаза.
Чекор 5: проверете ја услугата, а не синтаксата
Прво проверете ги ефективните објекти на целта, потоа прифатената асоцијација, потоа вистински тек на апликација и неговиот одговор. Внесувањето команда без грешка ја докажува синтаксата и ништо друго. Тунел што се крева и не пренесува сообраќај обично значи дека заштитените опсези или повратната рута не се совпаѓаат со другата страна, што е проблем на редот со барања, а не на командата. Споредете ги заштитените опсези на двете страни пред повторно да ја допрете крипто картата.
Запишете што сте провериле, со кои адреси и од која страна. Тој запис го претвора нејасното тврдење дека VPN работи во нешто што другиот администратор може самостојно да го провери.
Што да вратите
Испратете ја матрицата со барања, резимето на целната конфигурација и резултатите од проверката. Јасно наведете кои изворни поставки не сте ги пренеле и зошто. Таа листа е покорисна од преведената конфигурација, бидејќи токму таму ќе започне следното несогласување.
Чувајте го и изворниот текст со тикетот. Тој документира што било побарано, а матрицата што било договорено.