टनेल न तोडता ASA वर IPsec पीअर पत्ता बदलणे

पीअर पत्ता बदलणे एका ओळीचे काम वाटते, पण ते स्थलांतरासारखे वागते. प्रत्यक्षात हलणारी गोष्ट म्हणजे वस्तूंचा संच: crypto map वरील उमेदवार पीअर यादी, दूरचे टोक ओळखणारे प्रोफाइल किंवा प्रमाणीकरण मॅपिंग,तेथपर्यंत पोहोचणारे अंडरले, आणि जुन्या मूल्यांवरून तयार झालेल्या सक्रिय संलग्नता. कॉन्फिगरेशन संपादन हे या संचाचे पहिले नव्हे तर शेवटचे पाऊल माना.

1. काहीही हात लावण्यापूर्वी सध्याची स्थिती नोंदवा

संबंधित crypto-map नोंदीच्या संपूर्ण उमेदवार यादीपासून सुरुवात करा, क्रमाने, वापरात आहे असे वाटणाऱ्या पत्त्यापासूनच नव्हे. क्रम महत्त्वाचा आहे कारण उपकरण प्रत्यक्षात तोच प्रयत्न करते.

तीshow run crypto mapने नोंदवा आणि प्रभावी नोंदshow crypto mapने वाचा, नंतर दोन्ही आउटपुट नियोजित नव्या मूल्याजवळ ठेवा. तिथे असताना प्रत्येक विद्यमान संलग्नतेने कोणता पीअर निवडला तेही लिहून ठेवा.

सत्र स्तरासाठीही तेच करा,show vpn-sessiondb l2lआणिshow crypto ipsec sa peer <old-address>वापरून. ती दोन आउटपुट म्हणजे 02:10 ला टनेल का पडला असे कोणी विचारल्यावर तुमचे आधीचे चित्र.

2. नवीन पीअर त्याच धोरणाखाली पोहोचण्यायोग्य आहे हे सिद्ध करा

कटचे नियोजन करण्यापूर्वी पोहोचक्षमता सिद्ध करा. आतील इंटरफेसवरून नवीन पीअरच्या संरक्षित नेटवर्ककडेpacket-tracerचालवल्यास राउटिंग, NAT अपवाद आणि प्रवेश धोरण जुळतात का ते दिसते. नंतर वाहतूक मार्ग निश्चित करा, कारण गेटवेमधील कोणताही फिल्टर ओलांडण्यासाठी IKE आणि IPsec ला UDP 500 आणि 4500 लागतात. यशस्वी ping स्वतःहून यातले काहीही सिद्ध करत नाही.

अंडरलेला मार्ग किंवा भाषांतर बदल हवा असेल तर तो स्वतःच्या जोखमीचा दुसरा बदल आहे. तो त्याच खिडकीत एकत्र करा किंवा वेगळा नियोजित करा, पण कटच्या मध्ये शोधण्याऐवजी कोणता हे आधीच ठरवा.

3. केवळ पत्ता नाही, प्रोफाइल मॅपिंग हलवा

पीअर निवड आणि प्रोफाइल निवड या दोन वेगळ्या शोधण्या आहेत. LAN-to-LAN कनेक्शन प्रोफाइल सामान्य गुणधर्म ठेवते आणि पत्ता, प्रमाणपत्र ओळख किंवा गटनावाने जुळू शकते. प्रोफाइल प्रमाणपत्राच्या विषयावर आधारित असेल तर IP बदलल्याने कोणते प्रोफाइल जुळते हे बदलत नाही.

ओळखपत्र करार तसाच ठेवा. पत्ता बदलणे हे ओळख तपासण्या सैल करण्याचे कारण नाही आणि नमुना pre-shared key तिकिटात चिकटवण्याचे कारण नाही.

4. दोन्ही उमेदवार अस्तित्वात असताना सक्रिय सत्रे पाहा

दोन्ही पत्ते उमेदवार यादीत असताना, जुना पर्याय आहे की शिल्लक हे लिखित स्वरूपात ठरवा. दोन्ही असलेले कॉन्फिगरेशन वैध आहे आणि शेवटचे सत्र कोणत्या पीअरने वाहिले याबद्दल ते काहीही सिद्ध करत नाही.

जुन्या सुरक्षा संलग्नता केवळ तुमच्या आवृत्तीसाठीच्या पीअर-मर्यादित स्वरूपाने साफ करा,clear crypto ipsec sa peer <address>, आणि बाधित टनेल पुन्हा वाटाघाटी करतील अशी अपेक्षा ठेवा. जागतिक रीसेट उपकरणावरील प्रत्येक सत्र खाली आणते आणि कामाच्या वेळेत ते क्षम्य होणार नाही.

नंतर संरक्षित होस्टवरून एक खरा अनुप्रयोग प्रवाह जाऊ द्या आणि प्रतिसाद इच्छित अंतबिंदूमधून परत येतो हे निश्चित करा.show vpn-sessiondb l2lने त्या सत्रासाठी नवीन पीअर नाव द्यायला हवे, आणि बाइट काउंटर हलायला हवेत.

5. संपवा किंवा मागे फिरवा

बदलापूर्वी रोलबॅक लिहा: जुनी उमेदवार यादी, जुने प्रोफाइल मॅपिंग आणि जुनी अंडरले नोंद. ASA पर्यंत स्वतंत्र व्यवस्थापन मार्ग ठेवा, कारण प्रवेशही घेऊन जाणारे पीअर पत्ता संपादन म्हणजे लांब संध्याकाळ. जुना पीअर आणि ओळखपत्रे स्वीकृतीनंतर आणि पर्यायी निर्णय नोंदवल्यानंतरच काढा. संरक्षित नेटवर्कवरील प्रवेश धोरण सरकले नाही याचीही खात्री करा.

इच्छित पीअर प्रमाणीकरण पास होऊन जतन केलेल्या धोरणाखाली आवश्यक सेवा वाहतो तेव्हा स्थलांतर पूर्ण होते. चालू कॉन्फिगरेशनमध्ये नवीन पत्ता असणे हे टाइप केल्याचा पुरावा आहे, यशाचा नाही.