ASA дээр IPsec peer хаягийг туннелийг таслахгүйгээр өөрчлөх
Peer хаягийг зөөх нь нэр дэвшигчийн жагсаалт, профайлын тохирол, суурь сүлжээ, идэвхтэй сессүүдэд хүрнэ. Хяналтын жагсаалтыг дарааллаар гүйцэтгэнэ үү.
Peer хаягийг өөрчлөх нь нэг мөр шиг харагдах боловч шилжилт шиг ажилладаг. Үнэндээ хөдөлж байгаа зүйл бол объектуудын багц: crypto map дээрх нэр дэвшигч peer жагсаалт, алсын төгсгөлийг тодорхойлох профайл эсвэл баталгаажуулалтын зураглал,түүнд хүрэх суурь сүлжээ, мөн хуучин утгуудаас бүрдсэн идэвхтэй холбоосууд. Конфигурацийн засварыг энэ багцын эхний биш, сүүлийн алхам гэж үзээрэй.
1. Ямар ч зүйлд хүрэхээс өмнө одоогийн төлвийг тэмдэглэ
Холбогдох crypto-map бичлэгийн бүх нэр дэвшигчийн жагсаалтаас эхэл, дарааллаар нь, зөвхөн ашиглагдаж байна гэж бодож буй хаягаас биш. Дараалал чухал, учир нь төхөөрөмж үнэндээ түүнийг л туршиж үздэг.
Үүнийгshow run crypto mapашиглан тэмдэглэж, үр дүнтэй бичлэгийгshow crypto mapашиглан уншаад, дараа нь хоёр гаралтыг төлөвлөсөн шинэ утгын хажууд хадгал. Тэнд байхдаа одоо байгаа холбоо бүр аль peer-ийг сонгосныг ч тэмдэглэ.
Сессийн түвшинд мөн адил хий,show vpn-sessiondb l2lболонshow crypto ipsec sa peer <old-address>ашиглан. Эдгээр хоёр гаралт нь 02:10-д туннель яагаад унасныг хэн нэгэн асуухад таны өмнөх зураг.
2. Шинэ peer ижил бодлогын дор хүрч болохыг батал
Шилжилтийг товлохоос өмнө хүртээмжийг батал. Дотоод интерфейсээс шинэ peer-ийн хамгаалагдсан сүлжээ рүүpacket-tracerажиллуулах нь чиглүүлэлт, NAT үл хамаарах байдал, хандалтын бодлого зэрэг нийцэж байгаа эсэхийг харуулна. Дараа нь тээврийн замыг батал, учир нь IKE болон IPsec нь гарцуудын хоорондох ямар ч шүүлтүүрийг давахад UDP 500 болон 4500 шаарддаг. Амжилттай ping өөрөө үүнийг батлахгүй.
Хэрэв суурь сүлжээнд чиглүүлэлт эсвэл орчуулгын өөрчлөлт хэрэгтэй бол тэр нь өөрийн эрсдэлтэй хоёр дахь өөрчлөлт юм. Үүнийг ижил цонхонд оруул эсвэл тусад нь товло, гэхдээ шилжилтийн дунд илрүүлэхийн оронд алийг нь хийхээ урьдчилан шийд.
3. Зөвхөн хаягийг биш, профайлын зураглалыг зөө
Peer сонголт ба профайл сонголт нь хоёр өөр хайлт юм. LAN-to-LAN холболтын профайл ерөнхий шинж чанаруудыг хадгалдаг бөгөөд хаяг, гэрчилгээний таних тэмдэг эсвэл бүлгийн нэрээр тохирч болно. Профайл нь гэрчилгээний субъект дээр тулгуурладаг бол IP-г өөрчлөх нь аль профайл тохирохыг өөрчлөхгүй.
| Объект | Юунд түлхүүрлэгдсэн | Шинэ peer хаяг юунд хүрнэ |
|---|---|---|
| crypto map нэр дэвшигчийн жагсаалт | Тохируулсан peer бичлэгүүд ба тэдгээрийн дараалал | ASA анхны пакетуудаа хаашаа илгээдэг |
| Холболтын профайл | Хаяг, гэрчилгээний таних тэмдэг эсвэл бүлэг | Зөвхөн хаягаар түлхүүрлэгдсэн профайлууд |
| Хамгаалагдсан префиксүүд | Дотоод ба алсын сүлжээний объектууд | Та бас өөрчлөхгүй бол юу ч биш |
Итгэмжлэлийн гэрээг хэвээр хадгал. Хаяг өөрчлөх нь таних тэмдгийн шалгалтыг сулруулах шалтгаан биш, мөн жишээ pre-shared key-г тасалбарт наах шалтгаан биш.
4. Хоёр нэр дэвшигч зэрэг байх үед идэвхтэй сессүүдийг ажигла
Хоёр хаяг нэр дэвшигчийн жагсаалтад байх үед хуучин нь нөөц эсвэл үлдэгдэл эсэхийг бичгээр шийд. Хоёуланг нь агуулсан конфигураци хүчинтэй бөгөөд сүүлийн сессийг аль peer зөөснийг энэ нь юу ч батлахгүй.
Хуучирсан аюулгүй байдлын холбоог зөвхөн таны хувилбарт тохирох peer-ээр хязгаарласан хэлбэрээр цэвэрлэ,clear crypto ipsec sa peer <address>, нөлөөлөлд өртсөн туннелүүд дахин хэлэлцээ хийхийг хүлээ. Глобал reset төхөөрөмж дээрх бүх сессийг унагах бөгөөд ажлын цагаар хүлээцгүй.
Дараа нь хамгаалагдсан хостноос нэг бодит аппликейшн урсгал дамжуулж, хариу нь төлөвлөсөн төгсгөлийн цэгээр буцаж ирэхыг батал.show vpn-sessiondb l2lтэр сессийн шинэ peer-ийг нэрлэх ёстой, байт тоолуурууд хөдлөх ёстой.
5. Хаа эсвэл буцаа
Өөрчлөлтөөс өмнө буцаалтыг бич: хуучин нэр дэвшигчийн жагсаалт, хуучин профайлын зураглал, хуучин суурь сүлжээний бичлэг. ASA руу хараат бус удирдлагын зам хадгал, учир нь хандалтыг ч тань булаах peer хаягийн засвар бол урт үдэш. Хуучирсан peer болон итгэмжлэлийг зөвхөн хүлээн авсны дараа, нөөцийн шийдвэрийг тэмдэглэсний дараа л устга. Хамгаалагдсан сүлжээнүүдийн хандалтын бодлого гулсангүй гэдгийг ч батал.
Төлөвлөсөн peer баталгаажуулалт давж, хадгалагдсан бодлогын дор шаардлагатай үйлчилгээг зөөхөд шилжилт дуусна. Ажиллаж буй конфигурацид шинэ хаяг байх нь бичсэний баталгаа, амжилтын биш.