Migrasi VPN daripada IOS ke ASA: terjemah perjanjian, bukan arahan
Peta kripto bukan kumpulan terowong ASA. Bahagian perjanjian mana yang dipindahkan, mana yang perlu dibina semula, dan pemeriksaan yang membuktikan perkhidmatan berfungsi.
Konfigurasi IOS yang tiba sebagai rujukan untuk migrasi ke ASA menerangkan perjanjian yang dibalut dalam sintaks satu platform. Alamat rakan, identiti dan julat terlindung ialah perjanjian itu. Gelang kunci, profil dan rantaian peta kripto ialah cara IOS menyatakannya, manakala ASA menyatakan niat yang sama melalui kumpulan terowong dan atributnya. Menyalin bahagian kedua tidak pernah berkesan, dan menyalin hanya bahagian pertama meninggalkan kerja separuh siap.
Lalui lima langkah di bawah mengikut urutan, dan berhenti di mana-mana dua platform menerangkan perkara berbeza dan bukan perkataan berbeza.
Langkah 1: asingkan perjanjian daripada sintaks
Tulis penyerahan sebagai keperluan yang dipersetujui kedua-dua pentadbir. Empat baris meliputi hampir semuanya: di mana rakan berada dan sisi mana bermula, bagaimana setiap sisi membuktikan identitinya, perlindungan apa yang boleh diterima, dan aplikasi apa yang mesti bertahan melalui terowong. Tiada satu pun baris ini menyebut arahan.
Simpan teks asal sebagai bukti dan bukan arahan. Baris yang ada pada satu platform dan tiada pada platform lain ialah perbezaan sintaks sehingga anda memeriksa sama ada keperluan yang sama boleh dipenuhi dengan cara lain.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Langkah 2: namakan objek pada setiap platform
Pada IOS XE gelang kunci IKEv2 menyuap profil IKEv2, dan profil itu dilampirkan melalui peta kripto atau profil IPsec. Pada ASA kumpulan terowong menyimpan profil sambungan dan atribut IPsec-nya, dan peta kripto menunjuk kepadanya, seperti yang diterangkan panduan profil sambungan. Ini ialah graf objek berbeza dengan pewarisan berbeza, sebab itu pemetaan baris demi baris menghasilkan konfigurasi yang dihuraikan tetapi tidak bersambung.
Bina objek sasaran daripada baris keperluan dan bukan daripada baris sumber. Jika baris itu lengkap, konfigurasi sasaran ialah keputusan reka bentuk. Jika tidak, tiada jumlah terjemahan arahan akan membekalkan niat yang hilang.
Langkah 3: bawa identiti, bukan hanya alamat
Identiti ialah bahagian yang rosak secara senyap. Rakan yang mengesahkan melalui alamat berkelakuan berbeza daripada yang mengesahkan melalui subjek sijil atau FQDN, dan kedua-dua platform merekodkan jangkaan itu di tempat berbeza. Kekalkan identiti yang dimaksudkan dan rantaian kepercayaan daripada menggantikan rahsia dikongsi kerana lebih mudah diuji.
Jauhkan rahsia yang dikongsi awal daripada nota perbandingan dan tiket. Catat siapa pemiliknya dan bagaimana ia bergerak melalui saluran yang diluluskan, dan ingat bahawa pemegang tempat daripada contoh dokumentasi bukan kelayakan pelanggan.
Langkah 4: sepakati perlindungan sebelum peralihan
Jangan pindahkan tetapan kriptografi lama hanya kerana ia muncul dalam teks yang dibekalkan. Sepakati persilangan suite yang kedua-dua rakan yang digunakan kini menyokong, dan sahkan dengan pentadbir lain sebelum tetingkap perubahan. Jika persilangan itu berbeza daripada apa yang dijangka oleh rakan sedia ada, ia perubahan terkoordinasi dan bukan suntingan tempatan.
Tulis set yang dipersetujui. Dua pentadbir dengan ingatan berbeza tentang satu panggilan telefon ialah cara peralihan menghasilkan ketidakpadanan fasa dua.
Langkah 5: sahkan perkhidmatan, bukan sintaks
Periksa dahulu objek berkesan sasaran, kemudian persatuan yang diterima, kemudian aliran aplikasi sebenar dan balasannya. Memasukkan arahan tanpa ralat membuktikan sintaks dan tiada yang lain. Terowong yang naik dan tidak membawa trafik biasanya bermaksud julat terlindung atau laluan balik tidak sepadan dengan sisi lain, iaitu masalah baris keperluan dan bukan masalah arahan. Bandingkan julat terlindung pada kedua-dua sisi sebelum anda menyentuh peta kripto lagi.
Catat apa yang anda sahkan, dengan alamat mana, dari sisi mana. Rekod itu menukar dakwaan kabur bahawa VPN hidup kepada sesuatu yang boleh diperiksa pentadbir lain secara bebas.
Apa yang perlu dipulangkan
Hantar matriks keperluan, ringkasan konfigurasi sasaran dan keputusan pengesahan. Nyatakan dengan jelas tetapan sumber mana yang tidak anda pindahkan dan mengapa. Senarai itu lebih berguna daripada konfigurasi terjemahan, kerana di situlah perselisihan seterusnya akan bermula.
Simpan teks sumber bersama tiket juga. Ia mendokumentasikan apa yang diminta, manakala matriks mendokumentasikan apa yang dipersetujui.