Biddel l-indirizz tal-peer IPsec fuq ASA mingħajr ma tkisser it-tunnel
L-imċċaqlaq tal-indirizz tal-peer imiss il-lista tal-kandidati, it-tqabbil tal-profil, l-underlay u s-sessjonijiet attivi. Mexxi l-lista ta' kontroll bl-ordni.
Bidla fl-indirizz tal-peer tidher bħala linja waħda, imma tġib ruħha bħal migrazzjoni. Dak li tabilħaqq jiċċaqlaq huwa sett ta' oġġetti: il-lista tal-kandidati peer fuq il-crypto map, il-profil jew it-tqabbil tal-awtentikazzjoni li jidentifika t-tarf imbiegħed,l-underlay li jasal għalih, u l-assoċjazzjonijiet attivi mibnija mill-valuri l-qodma. Ittratta l-editjar tal-konfigurazzjoni bħala l-aħħar pass ta' dak is-sett, mhux l-ewwel.
1. Irreġistra l-istat attwali qabel ma tmiss xejn
Ibda bil-lista sħiħa tal-kandidati għad-dħul crypto-map rilevanti, bl-ordni, mhux biss bl-indirizz li taħseb li qed jintuża. L-ordni huwa importanti għax dak huwa li l-apparat fil-fatt jipprova.
Irreġistraha permezz ta'show run crypto mapu aqra d-dħul effettiv permezz ta'show crypto map, imbagħad issalva ż-żewġ output ħdejn il-valur il-ġdid ippjanat. Innota wkoll liema peer għażlet kull assoċjazzjoni eżistenti, waqt li tkun hemm.
Agħmel l-istess għas-saff tas-sessjonijiet, billi tużashow vpn-sessiondb l2lushow crypto ipsec sa peer <old-address>. Dawk iż-żewġ output huma l-istampa qabel tiegħek meta xi ħadd jistaqsi għaliex tunnel waqa' fl-02:10.
2. Ipprova li l-peer il-ġdid huwa aċċessibbli taħt l-istess politika
Ipprova l-aċċessabbiltà qabel ma tippjana l-qatgħa. It-tħaddim ta'packet-tracermill-interface ta' ġewwa lejn in-netwerk protett tal-peer il-ġdid juri jekk ir-routing, l-eżenzjoni NAT u l-politika tal-aċċess jaqblux. Imbagħad ikkonferma l-passaġġ tat-trasport, għax IKE u IPsec jeħtieġu UDP 500 u 4500 biex jgħaddu minn kwalunkwe filtru bejn il-gateways. Ping li jirnexxi ma jippruvax xejn minn dan waħdu.
Jekk l-underlay jeħtieġ rotta jew bidla fit-traduzzjoni, dik hija t-tieni bidla bir-riskju tagħha. Igħaqqadha fl-istess tieqa jew ippjanaha separatament, imma iddeċiedi liema, minflok ma tiskopriha f'nofs il-qatgħa.
3. Mexxi l-mapping tal-profil, mhux biss l-indirizz
L-għażla tal-peer u l-għażla tal-profil huma żewġ tfittxijiet differenti. Profil tal-konnessjoni LAN-to-LAN iżomm attributi ġenerali u jista' jaqbel ma' indirizz, identità ta' ċertifikat jew isem ta' grupp. Il-bidla tal-IP ma tbiddilx liema profil jaqbel meta l-profil jiddependi mis-suġġett taċ-ċertifikat.
| Oġġett | Fuq xiex huwa mmiftieħ | X'jimmiss l-indirizz il-ġdid tal-peer |
|---|---|---|
| Lista tal-kandidati crypto map | Dħuliet tal-peer konfigurati u l-ordni tagħhom | Fejn l-ASA jibgħat il-pakketti inizjali tiegħu |
| Profil tal-konnessjoni | Indirizz, identità taċ-ċertifikat jew grupp | Biss il-profili mmiftieħa fuq l-indirizz |
| Prefissi protetti | Oġġetti tan-netwerk lokali u remoti | Xejn, sakemm ma tbiddilhomx int ukoll |
Żomm il-kuntratt tal-kredenzjali intatt. Bidla fl-indirizz mhix raġuni biex tħoll il-kontrolli tal-identità, u mhix raġuni biex tippejstja pre-shared key ta' eżempju f'ticket.
4. Osserva s-sessjonijiet attivi waqt li jkunu jeżistu ż-żewġ kandidati
Waqt li ż-żewġ indirizzi jinsabu fil-lista tal-kandidati, iddeċiedi bil-miktub jekk dak il-qadim huwiex rikors jew fdal. Konfigurazzjoni li fiha t-tnejn hija valida, u ma tippruvax xejn dwar liema peer ġarr l-aħħar sessjoni.
Ippurifika l-assoċjazzjonijiet tas-sigurtà skaduti biss bil-forma limitata għall-peer għar-release tiegħek,clear crypto ipsec sa peer <address>, u stenna li t-tunnels milquta jerġgħu jinnegozjaw. Reset globali jwaqqa' kull sessjoni fuq l-apparat u mhux se jiġi maħfur waqt il-ħin tax-xogħol.
Imbagħad għaddi fluss wieħed reali ta' applikazzjoni minn host protett u kkonferma li r-risposta terġa' lura mill-endpoint maħsub.show vpn-sessiondb l2lgħandu jsemmi l-peer il-ġdid għal dik is-sessjoni, u l-kontaturi tal-bytes għandhom jiċċaqalqu.
5. Agħlaqha jew irreġġa' lura
Ikteb ir-rollback qabel il-bidla: il-lista tal-kandidati l-qadima, il-mapping tal-profil il-qadim u d-dħul tal-underlay il-qadim. Żomm passaġġ ta' ġestjoni indipendenti lejn l-ASA, għax editjar tal-indirizz tal-peer li jisbluk ukoll l-aċċess huwa filgħaxija twila. Neħħi l-peer skadut u l-kredenzjali biss wara l-aċċettazzjoni u wara li d-deċiżjoni tar-rikors tiġi rreġistrata. Ikkonferma wkoll li l-politika tal-aċċess fuq in-netwerks protetti ma ċċaqalqitx.
Il-migrazzjoni titlesta meta l-peer maħsub jawtentika u jġorr is-servizz meħtieġ taħt il-politika ppreservata. Indirizz ġdid fil-konfigurazzjoni li qed taħdem huwa evidenza ta' tipjip, mhux ta' suċċess.