टनेल नतोडी ASA मा IPsec पीयर ठेगाना परिवर्तन गर्ने
पीयर ठेगाना सार्दा उम्मेदवार सूची, प्रोफाइल मिलान, अन्डरले र सक्रिय सत्रहरूमा असर पर्छ। जाँचसूची क्रमैसँग पूरा गर्नुहोस्।
पीयर ठेगाना परिवर्तन एक लाइनको काम जस्तो देखिन्छ, तर माइग्रेसनजस्तै व्यवहार गर्छ। वास्तवमा सर्ने कुरा वस्तुहरूको समूह हो: crypto map मा रहेको उम्मेदवार पीयर सूची, टाढाको छेउ पहिचान गर्ने प्रोफाइल वा प्रमाणीकरण म्यापिङ,त्यहाँ पुग्ने अन्डरले, र पुराना मानबाट बनेका सक्रिय सम्बन्धहरू। कन्फिगरेसन सम्पादनलाई यो समूहको पहिलो होइन, अन्तिम चरण मान्नुहोस्।
1. केही छुनुअघि वर्तमान अवस्था रेकर्ड गर्नुहोस्
सम्बन्धित crypto-map प्रविष्टिको पूरै उम्मेदवार सूचीबाट सुरु गर्नुहोस्, क्रममा, प्रयोगमा छ भन्ने ठानिएको ठेगानाबाट मात्र होइन। क्रम महत्त्वपूर्ण छ किनभने यन्त्रले वास्तवमा त्यही प्रयास गर्छ।
यसलाईshow run crypto mapप्रयोग गरी रेकर्ड गर्नुहोस् र प्रभावकारी प्रविष्टिshow crypto mapप्रयोग गरी पढ्नुहोस्, त्यसपछि दुवै आउटपुट योजना गरिएको नयाँ मानको छेउमा सुरक्षित गर्नुहोस्। त्यहीँ हुँदा प्रत्येक विद्यमान सम्बन्धले कुन पीयर छान्यो भन्ने पनि टिप्नुहोस्।
सत्र तहका लागि पनि त्यही गर्नुहोस्,show vpn-sessiondb l2lरshow crypto ipsec sa peer <old-address>प्रयोग गरेर। ती दुई आउटपुट 02:10 मा किन टनेल खस्यो भनी कसैले सोध्दा तपाईंको पहिलेको चित्र हुन्।
2. नयाँ पीयर एउटै नीतिअन्तर्गत पुग्न सकिने प्रमाणित गर्नुहोस्
कटको तालिका बनाउनुअघि पहुँचयोग्यता प्रमाणित गर्नुहोस्। भित्री इन्टरफेसबाट नयाँ पीयरको संरक्षित नेटवर्कतर्फpacket-tracerचलाउँदा राउटिङ, NAT अपवाद र पहुँच नीति मिल्छन् कि मिल्दैनन् देखिन्छ। त्यसपछि यातायात मार्ग पुष्टि गर्नुहोस्, किनभने गेटवेबीचको कुनै पनि फिल्टर पार गर्न IKE र IPsec लाई UDP 500 र 4500 चाहिन्छ। सफल ping ले आफैंमा यीमध्ये केही पनि प्रमाणित गर्दैन।
अन्डरलेलाई मार्ग वा अनुवाद परिवर्तन चाहिएमा त्यो आफ्नै जोखिम भएको दोस्रो परिवर्तन हो। यसलाई एउटै विन्डोमा समावेश गर्नुहोस् वा अलग तालिका बनाउनुहोस्, तर कटको बीचमा पत्ता लगाउनुको सट्टा कुन हो भन्ने पहिले नै निर्णय गर्नुहोस्।
3. ठेगाना मात्र होइन, प्रोफाइल म्यापिङ पनि सार्नुहोस्
पीयर छनोट र प्रोफाइल छनोट दुई फरक खोज हुन्। LAN-to-LAN जडान प्रोफाइलले सामान्य विशेषता राख्छ र ठेगाना, प्रमाणपत्र पहिचान वा समूह नाममा मिल्न सक्छ। प्रोफाइल प्रमाणपत्रको विषयमा आधारित हुँदा IP फेर्दा कुन प्रोफाइल मिल्छ भन्ने फेरिँदैन।
| वस्तु | केमा कुञ्जी गरिएको छ | नयाँ पीयर ठेगानाले केलाई छुन्छ |
|---|---|---|
| crypto map उम्मेदवार सूची | कन्फिगर गरिएका पीयर प्रविष्टि र तिनको क्रम | ASA ले आफ्ना पहिलो प्याकेट कहाँ पठाउँछ |
| जडान प्रोफाइल | ठेगाना, प्रमाणपत्र पहिचान वा समूह | ठेगानामा कुञ्जी गरिएका प्रोफाइल मात्र |
| संरक्षित उपसर्गहरू | स्थानीय र टाढाका नेटवर्क वस्तुहरू | तपाईंले पनि नबदलेसम्म केही पनि होइन |
प्रमाण-पत्र सम्झौता जस्ताको तस्तै राख्नुहोस्। ठेगाना परिवर्तन पहिचान जाँच खुकुलो बनाउने कारण होइन, र नमुना pre-shared key टिकटमा टाँस्ने कारण पनि होइन।
4. दुवै उम्मेदवार रहँदा सक्रिय सत्रहरू हेर्नुहोस्
दुवै ठेगाना उम्मेदवार सूचीमा रहँदा पुरानो विकल्प हो कि अवशेष भन्ने लिखित रूपमा निर्णय गर्नुहोस्। दुवै समेटिएको कन्फिगरेसन मान्य छ, र अन्तिम सत्र कुन पीयरले बोक्यो भन्ने कुरामा यसले केही प्रमाणित गर्दैन।
पुराना सुरक्षा सम्बन्धहरू तपाईंको रिलिजका लागि पीयर-सीमित ढाँचाबाट मात्र हटाउनुहोस्,clear crypto ipsec sa peer <address>, र असर परेका टनेलहरू पुनः वार्ता गर्ने अपेक्षा गर्नुहोस्। ग्लोबल रिसेटले यन्त्रका सबै सत्र खसाल्छ र कार्य समयमा क्षमा गरिँदैन।
त्यसपछि संरक्षित होस्टबाट एउटा वास्तविक अनुप्रयोग प्रवाह पार गराउनुहोस् र जवाफ इच्छित अन्त्यबिन्दुबाट फर्केको पुष्टि गर्नुहोस्।show vpn-sessiondb l2lले त्यो सत्रका लागि नयाँ पीयर नाम दिनुपर्छ, र बाइट काउन्टर सर्नुपर्छ।
5. टुंग्याउनुहोस् वा फर्काउनुहोस्
परिवर्तनअघि रोलब्याक लेख्नुहोस्: पुरानो उम्मेदवार सूची, पुरानो प्रोफाइल म्यापिङ र पुरानो अन्डरले प्रविष्टि। ASA सम्म स्वतन्त्र व्यवस्थापन मार्ग राख्नुहोस्, किनभने पहुँच पनि खोस्ने पीयर ठेगाना सम्पादन लामो साँझ हो। पुरानो पीयर र प्रमाण-पत्र स्वीकृतिपछि र वैकल्पिक निर्णय रेकर्ड भएपछि मात्र हटाउनुहोस्। संरक्षित नेटवर्कहरूको पहुँच नीति नसरेको पनि पुष्टि गर्नुहोस्।
इच्छित पीयरले प्रमाणीकरण पास गरी जोगाइएको नीतिअन्तर्गत आवश्यक सेवा बोकेपछि माइग्रेसन पूरा हुन्छ। चालु कन्फिगरेसनमा नयाँ ठेगाना हुनु टाइप गरेको प्रमाण हो, सफलताको होइन।