Menukar alamat peer IPsec pada ASA tanpa memutuskan tunnel
Memindahkan alamat peer menyentuh senarai calon, padanan profil, underlay dan sesi aktif. Ikut senarai semak mengikut urutan.
Perubahan alamat peer kelihatan seperti satu baris, tetapi berkelakuan seperti migrasi. Apa yang sebenarnya bergerak ialah satu set objek: senarai calon peer pada crypto map, profil atau pemetaan pengesahan yang mengenal pasti hujung jauh,underlay yang mencapainya, dan persatuan aktif yang dibina daripada nilai lama. Anggap suntingan konfigurasi sebagai langkah terakhir set itu, bukan yang pertama.
1. Rakam keadaan semasa sebelum menyentuh apa-apa
Mulakan dengan keseluruhan senarai calon bagi entri crypto-map berkenaan, mengikut urutan, bukan hanya alamat yang anda fikir sedang digunakan. Urutan penting kerana itulah yang sebenarnya dicuba oleh peranti.
Rakam denganshow run crypto mapdan baca entri berkesan denganshow crypto map, kemudian simpan kedua-dua output di sebelah nilai baharu yang dirancang. Catat juga peer mana yang dipilih oleh setiap persatuan sedia ada, semasa anda berada di sana.
Lakukan perkara sama untuk lapisan sesi, denganshow vpn-sessiondb l2ldanshow crypto ipsec sa peer <old-address>. Kedua-dua output itu ialah gambaran sebelum anda apabila seseorang bertanya mengapa tunnel gugur pada 02:10.
2. Buktikan peer baharu boleh dicapai di bawah dasar yang sama
Buktikan ketercapaian sebelum menjadualkan pemotongan. Menjalankanpacket-tracerdari antara muka dalaman ke arah rangkaian terlindung peer baharu menunjukkan sama ada penghalaan, pengecualian NAT dan dasar akses bersetuju. Kemudian sahkan laluan pengangkutan, kerana IKE dan IPsec memerlukan UDP 500 dan 4500 untuk melepasi mana-mana penapis antara gateway. Ping yang berjaya tidak membuktikan apa-apa daripada itu dengan sendirinya.
Jika underlay memerlukan laluan atau perubahan terjemahan, itu perubahan kedua dengan risikonya sendiri. Gabungkan dalam tetingkap yang sama atau jadualkan berasingan, tetapi putuskan yang mana, bukan menemukannya di tengah-tengah pemotongan.
3. Pindahkan pemetaan profil, bukan hanya alamat
Pemilihan peer dan pemilihan profil ialah dua carian berbeza. Profil sambungan LAN-to-LAN menyimpan atribut umum dan boleh sepadan dengan alamat, identiti sijil atau nama kumpulan. Menukar IP tidak mengubah profil mana yang sepadan apabila profil berasaskan subjek sijil.
| Objek | Apa yang menjadi kuncinya | Apa yang disentuh alamat peer baharu |
|---|---|---|
| Senarai calon crypto map | Entri peer yang dikonfigurasikan dan urutannya | Ke mana ASA menghantar paket awalnya |
| Profil sambungan | Alamat, identiti sijil atau kumpulan | Hanya profil yang dikunci pada alamat |
| Awalan terlindung | Objek rangkaian setempat dan jauh | Tiada apa, kecuali anda juga mengubahnya |
Kekalkan kontrak kelayakan tanpa diubah. Perubahan alamat bukan alasan untuk melonggarkan pemeriksaan identiti, dan bukan alasan untuk menampal pre-shared key contoh ke dalam tiket.
4. Perhatikan sesi aktif selagi kedua-dua calon wujud
Selagi kedua-dua alamat berada dalam senarai calon, putuskan secara bertulis sama ada yang lama itu sandaran atau sisa. Konfigurasi yang mengandungi kedua-duanya sah, dan ia tidak membuktikan apa-apa tentang peer mana yang membawa sesi terakhir.
Kosongkan persatuan keselamatan yang lapuk hanya dengan bentuk terhad peer untuk keluaran anda,clear crypto ipsec sa peer <address>, dan jangkakan tunnel terjejas berunding semula. Tetapan semula global menjatuhkan setiap sesi pada perkakas dan tidak akan dimaafkan pada waktu bekerja.
Kemudian lepaskan satu aliran aplikasi sebenar dari hos terlindung dan sahkan balasan kembali melalui titik akhir yang dimaksudkan.show vpn-sessiondb l2lsepatutnya menamakan peer baharu untuk sesi itu, dan pembilang bait sepatutnya bergerak.
5. Tutup atau gulung balik
Tulis gulung balik sebelum perubahan: senarai calon lama, pemetaan profil lama dan entri underlay lama. Kekalkan laluan pengurusan bebas ke ASA, kerana suntingan alamat peer yang juga meragut akses anda ialah malam yang panjang. Buang peer lapuk dan kelayakan hanya selepas penerimaan dan selepas keputusan sandaran direkodkan. Sahkan juga bahawa dasar akses pada rangkaian terlindung tidak hanyut.
Migrasi selesai apabila peer yang dimaksudkan mengesahkan dirinya dan membawa perkhidmatan yang diperlukan di bawah dasar yang dikekalkan. Alamat baharu dalam konfigurasi berjalan ialah bukti menaip, bukan bukti kejayaan.