Migrazzjoni tal-VPN minn IOS għal ASA: ittraduċi l-ftehim, mhux il-kmandi
Mappa kripto mhijiex grupp ta' tunnel tal-ASA. Liema partijiet tal-ftehim jiġu trasferiti, liema jridu jinbnew mill-ġdid, u liema verifiki juru li s-servizz jaħdem.
Konfigurazzjoni tal-IOS li tasal bħala referenza għal migrazzjoni għall-ASA tiddeskrivi ftehim imgeżwer fis-sintassi ta' pjattaforma waħda. L-indirizzi tal-pari, l-identitajiet u l-firxiet protetti huma l-ftehim. Iċ-ċirku tal-keys, il-profil u l-katina tal-mappe kripto huma kif l-IOS jesprimih, filwaqt li l-ASA tesprimi l-istess intenzjoni permezz ta' gruppi ta' tunnel u l-attributi tagħhom. L-ikkupjar tat-tieni parti qatt ma jaħdem, u l-ikkupjar tal-ewwel waħda biss iħalli x-xogħol nofsu.
Għaddi mill-ħames passi hawn taħt fl-ordni, u waqaf kull fejn iż-żewġ pjattaformi jiddeskrivu affarijiet differenti u mhux kliem differenti.
Pass 1: ifred il-ftehim mis-sintassi
Ikteb il-konsenja bħala rekwiżiti li jaqblu dwarhom iż-żewġ amministraturi. Erba' ringieli jkopru kważi kollox: fejn jinsab il-pari u liema naħa tibda, kif kull naħa tipprova l-identità tagħha, liema protezzjoni hija aċċettabbli, u liema applikazzjonijiet iridu jgħaddu mit-tunnel. L-ebda waħda minn dawn ir-ringieli ma ssemmi kmand.
Żomm it-test oriġinali bħala prova u mhux bħala struzzjonijiet. Ringiela li teżisti fuq pjattaforma u mhux fuq oħra hija differenza fis-sintassi sakemm tkun iċċekkja jekk l-istess rekwiżit jistax jiġi ssodisfat b'mod ieħor.
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
Pass 2: semmi l-oġġetti fuq kull pjattaforma
Fuq l-IOS XE ċirku tal-keys IKEv2 jitma' profil IKEv2, u dak il-profil jiġi mwaħħal permezz ta' mappa kripto jew profil IPsec. Fuq l-ASA grupp ta' tunnel iżomm il-profil tal-konnessjoni u l-attributi IPsec tiegħu, u l-mappa kripto tindika lejh, kif jiddeskrivi il-gwida tal-profil tal-konnessjoni. Dawn huma grafi ta' oġġetti differenti b'wirt differenti, u għalhekk immappjar ringiela b'ringiela jagħti konfigurazzjoni li tiġi pparsjata u li ma tqabbilx.
Ibni l-oġġetti fil-mira mir-ringieli tar-rekwiżiti u mhux mir-ringieli tas-sors. Jekk ir-ringieli huma sħaħ, il-konfigurazzjoni fil-mira hija deċiżjoni tad-disinn. Jekk mhumiex, l-ebda ammont ta' traduzzjoni tal-kmandi ma jipprovdi l-intenzjoni neqsin.
Pass 3: ġorr l-identità, mhux biss l-indirizzi
L-identità hija l-parti li tinkiser bil-kwiet. Pari li jawtentika bl-indirizz iġib ruħu b'mod differenti minn dak li jawtentika bis-suġġett taċ-ċertifikat jew bl-FQDN, u ż-żewġ pjattaformi jirreġistraw dik l-aspettattiva f'postijiet differenti. Ippreserva l-identità maħsuba u l-katina tal-fiduċja minflok tissostitwixxi sigriet maqsum għax huwa eħfef biex jiġi ttestjat.
Żomm is-sigriet maqsum bil-quddiem 'il barra min-noti tal-paragun u mill-biljetti. Irreġistra min jipposjedih u kif jiċċaqlaq permezz ta' kanal approvat, u ftakar li l-postholder minn eżempju fid-dokumentazzjoni mhuwiex il-kredenzjali tal-klijent.
Pass 4: ftiehem dwar il-protezzjoni qabel il-bidla
Tittrasferixxix settings kriptografiċi qodma biss għax jidhru fit-test ipprovdut. Ftiehem dwar intersezzjoni ta' settijiet li ż-żewġ pari skjerati attwalment jappoġġjaw, u kkonfermaha mal-amministratur l-ieħor qabel it-tieqa tal-bidla. Jekk dik l-intersezzjoni tvarja minn dak li jistenna l-pari eżistenti, hija bidla kkoordinata u mhux editjar lokali.
Ikteb is-sett miftiehem. Żewġ amministraturi b'memorji differenti ta' telefonata hija l-mod kif bidla tipproduċi nuqqas ta' qbil fit-tieni fażi.
Pass 5: ivverifika s-servizz, mhux is-sintassi
Iċċekkja l-ewwel l-oġġetti effettivi tal-mira, imbagħad l-assoċjazzjoni aċċettata, imbagħad fluss reali tal-applikazzjoni u t-tweġiba tiegħu. Id-dħul ta' kmand mingħajr żball jipprova s-sintassi u xejn aktar. Tunnel li jitla' u ma jġorrx traffiku normalment ifisser li l-firxiet protetti jew ir-rotta tar-ritorn ma jaqblux man-naħa l-oħra, u dan huwa problema tar-ringiela tar-rekwiżiti u mhux tal-kmand. Qabbel il-firxiet protetti fuq iż-żewġ naħat qabel ma terġa' tmiss il-mappa kripto.
Irreġistra x'ivverifikajt, b'liema indirizzi, minn liema naħa. Dik ir-reġistrazzjoni tibdel pretensjoni ambigwa li l-VPN qed taħdem f'xi ħaġa li l-amministratur l-ieħor jista' jiċċekkja b'mod indipendenti.
X'għandu jiġi rritornat
Ibgħat il-matriċi tar-rekwiżiti, sommarju tal-konfigurazzjoni fil-mira u r-riżultati tal-verifika. Iddikjara b'mod espliċitu liema settings tas-sors ma ġarrejtx u għaliex. Dik il-lista hija aktar utli mill-konfigurazzjoni tradotta, għax hemm se tibda n-nuqqas ta' qbil li jmiss.
Żomm it-test tas-sors mat-ticket ukoll. Jiddokumenta x'ġie mitlub, filwaqt li l-matriċi tiddokumenta x'ġie miftiehem.