Endre en IPsec-peeradresse på en ASA uten å bryte tunnelen
Å flytte en peeradresse berører kandidatlisten, profilmatchen, underlaget og aktive sesjoner. Gå gjennom sjekklisten i rekkefølge.
En endring av peeradresse ser ut som én linje, men oppfører seg som en migrering. Det som faktisk flytter seg, er et sett med objekter: kandidatlisten for peers på crypto map, profilen eller autentiseringsmappingen som identifiserer den fjerne enden,underlaget som når den, og de aktive assosiasjonene som er bygget på de gamle verdiene. Behandle konfigurasjonsendringen som det siste trinnet i dette settet, ikke det første.
1. Registrer dagens tilstand før du rører noe
Start med hele kandidatlisten for den aktuelle crypto-map-oppføringen, i rekkefølge, ikke bare adressen du tror er i bruk. Rekkefølgen betyr noe fordi det er den enheten faktisk prøver.
Ta den opp medshow run crypto mapog les den effektive oppføringen medshow crypto map, og lagre begge utskriftene ved siden av den planlagte nye verdien. Noter også hvilken peer hver eksisterende assosiasjon valgte, mens du er der.
Gjør det samme for sesjonslaget, medshow vpn-sessiondb l2logshow crypto ipsec sa peer <old-address>. De to utskriftene er ditt førbilde når noen spør hvorfor en tunnel falt klokken 02:10.
2. Bevis at den nye peeren er nåbar under samme policy
Bevis nåbarheten før du planlegger kuttet. En kjøring avpacket-tracerfra det indre grensesnittet mot det nye peerens beskyttede nettverk viser om ruting, NAT-unntak og tilgangspolicy er enige. Bekreft deretter transportveien, fordi IKE og IPsec trenger UDP 500 og 4500 for å passere et hvilket som helst filter mellom gatewayene. En ping som lykkes beviser ingenting av dette alene.
Hvis underlaget trenger en rute eller en oversettelsesendring, er det en annen endring med sin egen risiko. Slå den sammen i samme vindu eller planlegg den separat, men bestem hvilken i stedet for å oppdage det midt i kuttet.
3. Flytt profilmapningen, ikke bare adressen
Peervalg og profilvalg er to forskjellige oppslag. En LAN-to-LAN-tilkoblingsprofil holder generelle attributter og kan matche på en adresse, en sertifikatidentitet eller et gruppenavn. Å endre IP-en endrer ikke hvilken profil som matcher når profilen er basert på et sertifikatsubjekt.
| Objekt | Hva den er nøklet på | Hva en ny peeradresse berører |
|---|---|---|
| Kandidatliste for crypto map | Konfigurerte peer-oppføringer og deres rekkefølge | Hvor ASA-en sender sine første pakker |
| Tilkoblingsprofil | Adresse, sertifikatidentitet eller gruppe | Bare profilene som er nøklet på adresse |
| Beskyttede prefikser | Lokale og eksterne nettverksobjekter | Ingenting, med mindre du endrer dem også |
Hold legitimasjonskontrakten intakt. En adresseendring er ikke grunn til å lempe på identitetskontrollene, og ikke grunn til å lime en eksempel-forhåndsdelt nøkkel inn i en sak.
4. Overvåk aktive sesjoner mens begge kandidatene finnes
Mens begge adressene står på kandidatlisten, avgjør skriftlig om den gamle er en reserve eller en rest. En konfigurasjon som inneholder begge er gyldig, og den beviser ingenting om hvilken peer som bar den siste sesjonen.
Fjern utdaterte sikkerhetsassosiasjoner bare med den peer-begrensede formen for din versjon,clear crypto ipsec sa peer <address>, og forvent at de berørte tunnelene forhandler på nytt. En global reset slår ned hver sesjon på enheten og blir ikke tilgitt i arbeidstiden.
Slipp deretter én reell applikasjonsflyt fra en beskyttet vert og bekreft at svaret kommer tilbake gjennom det tiltenkte endepunktet.show vpn-sessiondb l2lskal navngi den nye peeren for den sesjonen, og bytetellerne skal bevege seg.
5. Avslutt eller rull tilbake
Skriv tilbakerullingen før endringen: den gamle kandidatlisten, den gamle profilmapningen og den gamle underlagsoppføringen. Hold en uavhengig administrasjonsvei til ASA-en, fordi en peeradresse-endring som også koster deg tilgangen er en lang kveld. Fjern den utdaterte peeren og legitimasjonen først etter aksept og etter at reserveavgjørelsen er registrert. Bekreft også at tilgangspolicyen på de beskyttede nettene ikke har drevet.
Migreringen er ferdig når den tiltenkte peeren autentiserer seg og bærer tjenesten som kreves under den bevarede policyen. En ny adresse i den kjørende konfigurasjonen er bevis på skriving, ikke på suksess.