Endre ei IPsec-peeradresse på ein ASA utan å bryte tunnelen
Å flytte ei peeradresse rører kandidatlista, profilmatchen, underlaget og aktive sesjonar. Gå gjennom sjekklista i rekkefølgje.
Ei endring av peeradresse ser ut som éi linje, men oppfører seg som ein migrasjon. Det som faktisk flyttar seg, er eit sett med objekt: kandidatlista for peerar på crypto map, profilen eller autentiseringsmappinga som identifiserer den fjerne enden,underlaget som når han, og dei aktive assosiasjonane som er bygde på dei gamle verdiane. Handsame konfigurasjonsendringa som det siste trinnet i dette settet, ikkje det første.
1. Registrer dagens tilstand før du rører noko
Start med heile kandidatlista for den aktuelle crypto-map-oppføringa, i rekkefølgje, ikkje berre adressa du trur er i bruk. Rekkefølgja har noko å seie fordi det er ho eininga faktisk prøver.
Ta ho opp medshow run crypto mapog les den effektive oppføringa medshow crypto map, og lagre begge utskriftene ved sida av den planlagde nye verdien. Noter òg kva peer kvar eksisterande assosiasjon valde, medan du er der.
Gjer det same for sesjonslaget, medshow vpn-sessiondb l2logshow crypto ipsec sa peer <old-address>. Dei to utskriftene er førbiletet ditt når nokon spør kvifor ein tunnel fall klokka 02:10.
2. Bevis at den nye peeren er nåbar under same policy
Bevis nåbarheita før du planlegg kuttet. Ei køyring avpacket-tracerfrå det indre grensesnittet mot det beskytta nettverket til den nye peeren viser om ruting, NAT-unntak og tilgangspolicy er samde. Stadfest deretter transportvegen, fordi IKE og IPsec treng UDP 500 og 4500 for å passere ein kvar filter mellom gatewayane. Ein ping som lukkast beviser ingenting av dette åleine.
Viss underlaget treng ei rute eller ei omsetjingsendring, er det ei anna endring med sin eigen risiko. Slå ho saman i same vindauge eller planlegg ho separat, men avgjer kva i staden for å oppdage det midt i kuttet.
3. Flytt profilmapninga, ikkje berre adressa
Peerval og profilval er to ulike oppslag. Ein LAN-to-LAN-tilkoplingsprofil held generelle attributtar og kan matche på ei adresse, ein sertifikatidentitet eller eit gruppenamn. Å endre IP-en endrar ikkje kva profil som matchar når profilen er basert på eit sertifikatsubjekt.
| Objekt | Kva han er nøkla på | Kva ei ny peeradresse rører |
|---|---|---|
| Kandidatliste for crypto map | Konfigurerte peer-oppføringar og rekkefølgja deira | Kvar ASA-en sender dei første pakkane sine |
| Tilkoplingsprofil | Adresse, sertifikatidentitet eller gruppe | Berre profilane som er nøkla på adresse |
| Beskytta prefiks | Lokale og eksterne nettverksobjekt | Ingenting, med mindre du endrar dei òg |
Hald legitimasjonskontrakten intakt. Ei adresseendring er ikkje grunn til å lempe på identitetskontrollane, og ikkje grunn til å lime ein eksempel-førehandsdel nøkkel inn i ei sak.
4. Overvak aktive sesjonar medan begge kandidatane finst
Medan begge adressene står på kandidatlista, avgjer skriftleg om den gamle er ein reserve eller ein rest. Ein konfigurasjon som inneheld begge er gyldig, og han beviser ingenting om kva peer som bar den siste sesjonen.
Fjern utdaterte tryggingsassosiasjonar berre med den peer-avgrensa forma for din versjon,clear crypto ipsec sa peer <address>, og rekn med at dei råka tunnelane forhandlar på nytt. Ein global reset slår ned kvar sesjon på eininga og blir ikkje tilgitt i arbeidstida.
Slepp deretter éin reell applikasjonsflyt frå ein beskytta vert og stadfest at svaret kjem tilbake gjennom det tiltenkte endepunktet.show vpn-sessiondb l2lskal namngje den nye peeren for den sesjonen, og bytteteljarane skal bevege seg.
5. Avslutt eller rull tilbake
Skriv tilbakerullinga før endringa: den gamle kandidatlista, den gamle profilmapninga og den gamle underlagsoppføringa. Hald ein uavhengig administrasjonsveg til ASA-en, fordi ei peeradresse-endring som òg kostar deg tilgangen er ein lang kveld. Fjern den utdaterte peeren og legitimasjonen først etter aksept og etter at reserveavgjerda er registrert. Stadfest òg at tilgangspolicyen på dei beskytta netta ikkje har dreve.
Migreringa er ferdig når den tiltenkte peeren autentiserer seg og ber tenesta som krevst under den bevarte policyen. Ei ny adresse i den køyrande konfigurasjonen er bevis på skriving, ikkje på suksess.