Een IPsec-peeradres op een ASA wijzigen zonder de tunnel te breken

Een wijziging van een peeradres lijkt op één regel, maar gedraagt zich als een migratie. Wat echt verschuift, is een verzameling objecten: de kandidatenlijst met peers op de crypto map, het profiel of de authenticatietoewijzing die het verre uiteinde identificeert,de underlay die erheen reikt, en de actieve associaties die op de oude waarden zijn gebouwd. Behandel de configuratiewijziging als de laatste stap van die verzameling, niet de eerste.

1. Leg de huidige toestand vast voordat je iets aanraakt

Begin met de volledige kandidatenlijst van de betreffende crypto-map-entry, in volgorde, niet alleen met het adres waarvan je denkt dat het in gebruik is. De volgorde is belangrijk omdat het apparaat precies dat probeert.

Leg die vast metshow run crypto mapen lees de effectieve entry metshow crypto map, en bewaar beide uitvoer naast de beoogde nieuwe waarde. Noteer ook welke peer elke bestaande associatie koos, terwijl je er toch bent.

Doe hetzelfde voor de sessielaag, metshow vpn-sessiondb l2lenshow crypto ipsec sa peer <old-address>. Die twee uitvoer zijn je voorafbeeld als iemand vraagt waarom een tunnel om 02:10 wegviel.

2. Bewijs dat de nieuwe peer bereikbaar is onder hetzelfde beleid

Bewijs de bereikbaarheid voordat je de overgang plant. Een run vanpacket-tracervanaf de interne interface naar het beschermde netwerk van de nieuwe peer laat zien of routing, NAT-uitzondering en toegangsbeleid overeenkomen. Bevestig daarna het transportpad, want IKE en IPsec hebben UDP 500 en 4500 nodig om elk filter tussen de gateways te passeren. Een geslaagde ping bewijst daar niets van.

Als de underlay een route of een vertalingswijziging nodig heeft, is dat een tweede wijziging met een eigen risico. Bundel die in hetzelfde venster of plan die apart, maar beslis welke, in plaats van het midden in de overgang te ontdekken.

3. Verplaats de profieltoewijzing, niet alleen het adres

Peerselectie en profielselectie zijn twee verschillende opzoekingen. Een LAN-to-LAN-verbindingsprofiel bevat algemene attributen en kan overeenkomen op een adres, een certificaatidentiteit of een groepsnaam. Het wijzigen van het IP verandert niet welk profiel overeenkomt wanneer het profiel op een certificaatsubject is gebaseerd.

Houd het credentialcontract intact. Een adreswijziging is geen reden om de identiteitscontroles te verslappen, en geen reden om een voorbeeld-pre-shared key in een ticket te plakken.

4. Houd actieve sessies in de gaten zolang beide kandidaten bestaan

Zolang beide adressen op de kandidatenlijst staan, beslis je schriftelijk of de oude een terugvaloptie of een restant is. Een configuratie met beide is geldig, en ze bewijst niets over welke peer de laatste sessie droeg.

Ruim verouderde security-associaties alleen op met de peer-beperkte vorm voor jouw release,clear crypto ipsec sa peer <address>, en verwacht dat de getroffen tunnels opnieuw onderhandelen. Een globale reset laat elke sessie op het apparaat vallen en wordt tijdens kantooruren niet vergeven.

Laat daarna één echte applicatiestroom van een beschermde host door en bevestig dat het antwoord via het bedoelde eindpunt terugkomt.show vpn-sessiondb l2lmoet de nieuwe peer voor die sessie noemen, en de byte-tellers moeten bewegen.

5. Sluit het af of rol terug

Schrijf de rollback vóór de wijziging: de oude kandidatenlijst, de oude profieltoewijzing en de oude underlay-entry. Houd een onafhankelijk beheerpad naar de ASA aan, want een peeradres-wijziging die je ook de toegang kost, is een lange avond. Verwijder de verouderde peer en de credentials pas na acceptatie en nadat de terugvalbeslissing is vastgelegd. Bevestig ook dat het toegangsbeleid op de beschermde netwerken niet is afgedreven.

De migratie is klaar wanneer de beoogde peer zich authenticeert en de vereiste dienst draagt onder het behouden beleid. Een nieuw adres in de actieve configuratie is bewijs van typen, niet van succes.