ਟਨਲ ਤੋੜੇ ਬਿਨਾਂ ASA 'ਤੇ IPsec ਪੀਅਰ ਪਤਾ ਬਦਲਣਾ
ਪੀਅਰ ਪਤਾ ਹਿਲਾਉਣ ਨਾਲ ਉਮੀਦਵਾਰ ਸੂਚੀ, ਪਰੋਫਾਈਲ ਮੇਲ, ਅੰਡਰਲੇ ਅਤੇ ਸਰਗਰਮ ਸੈਸ਼ਨਾਂ 'ਤੇ ਅਸਰ ਪੈਂਦਾ ਹੈ। ਚੈੱਕਲਿਸਟ ਕ੍ਰਮ ਨਾਲ ਪੂਰੀ ਕਰੋ।
ਪੀਅਰ ਪਤਾ ਬਦਲਣਾ ਇੱਕ ਲਾਈਨ ਦਾ ਕੰਮ ਲੱਗਦਾ ਹੈ, ਪਰ ਮਾਈਗ੍ਰੇਸ਼ਨ ਵਾਂਗ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ। ਅਸਲ ਵਿੱਚ ਹਿਲਣ ਵਾਲੀ ਚੀਜ਼ ਵਸਤੂਆਂ ਦਾ ਸਮੂਹ ਹੈ: crypto map ਉੱਤੇ ਉਮੀਦਵਾਰ ਪੀਅਰ ਸੂਚੀ, ਦੂਰਲੇ ਸਿਰੇ ਦੀ ਪਛਾਣ ਕਰਨ ਵਾਲਾ ਪਰੋਫਾਈਲ ਜਾਂ ਪ੍ਰਮਾਣੀਕਰਨ ਮੈਪਿੰਗ,ਉੱਥੇ ਪਹੁੰਚਣ ਵਾਲਾ ਅੰਡਰਲੇ, ਅਤੇ ਪੁਰਾਣੇ ਮੁੱਲਾਂ ਤੋਂ ਬਣੇ ਸਰਗਰਮ ਸੰਬੰਧ। ਕਨਫਿਗਰੇਸ਼ਨ ਸੋਧ ਨੂੰ ਇਸ ਸਮੂਹ ਦਾ ਪਹਿਲਾ ਨਹੀਂ, ਆਖਰੀ ਕਦਮ ਮੰਨੋ।
1. ਕੁਝ ਵੀ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਮੌਜੂਦਾ ਹਾਲਤ ਦਰਜ ਕਰੋ
ਸੰਬੰਧਿਤ crypto-map ਐਂਟਰੀ ਦੀ ਪੂਰੀ ਉਮੀਦਵਾਰ ਸੂਚੀ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ, ਕ੍ਰਮ ਵਿੱਚ, ਸਿਰਫ਼ ਉਸ ਪਤੇ ਤੋਂ ਨਹੀਂ ਜੋ ਤੁਸੀਂ ਵਰਤੋਂ ਵਿੱਚ ਸਮਝਦੇ ਹੋ। ਕ੍ਰਮ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿਉਂਕਿ ਡਿਵਾਈਸ ਅਸਲ ਵਿੱਚ ਉਹੀ ਅਜ਼ਮਾਉਂਦੀ ਹੈ।
ਇਸਨੂੰshow run crypto mapਨਾਲ ਦਰਜ ਕਰੋ ਅਤੇ ਪ੍ਰਭਾਵੀ ਐਂਟਰੀshow crypto mapਨਾਲ ਪੜ੍ਹੋ, ਫਿਰ ਦੋਵੇਂ ਆਉਟਪੁੱਟ ਯੋਜਨਾਬੱਧ ਨਵੇਂ ਮੁੱਲ ਦੇ ਕੋਲ ਰੱਖੋ। ਉੱਥੇ ਹੁੰਦਿਆਂ ਹਰ ਮੌਜੂਦਾ ਸੰਬੰਧ ਨੇ ਕਿਹੜਾ ਪੀਅਰ ਚੁਣਿਆ, ਇਹ ਵੀ ਲਿਖੋ।
ਸੈਸ਼ਨ ਪਰਤ ਲਈ ਵੀ ਇਹੀ ਕਰੋ,show vpn-sessiondb l2lਅਤੇshow crypto ipsec sa peer <old-address>ਵਰਤ ਕੇ। ਉਹ ਦੋ ਆਉਟਪੁੱਟ ਤੁਹਾਡੀ ਪਹਿਲਾਂ ਦੀ ਤਸਵੀਰ ਹਨ ਜਦੋਂ ਕੋਈ ਪੁੱਛੇ ਕਿ 02:10 ਵਜੇ ਟਨਲ ਕਿਉਂ ਡਿੱਗਿਆ।
2. ਸਾਬਤ ਕਰੋ ਕਿ ਨਵਾਂ ਪੀਅਰ ਉਸੇ ਨੀਤੀ ਹੇਠ ਪਹੁੰਚਯੋਗ ਹੈ
ਕਟ ਦੀ ਯੋਜਨਾ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ ਪਹੁੰਚਯੋਗਤਾ ਸਾਬਤ ਕਰੋ। ਅੰਦਰੂਨੀ ਇੰਟਰਫੇਸ ਤੋਂ ਨਵੇਂ ਪੀਅਰ ਦੇ ਸੁਰੱਖਿਅਤ ਨੈੱਟਵਰਕ ਵੱਲpacket-tracerਚਲਾਉਣ ਨਾਲ ਦਿਸਦਾ ਹੈ ਕਿ ਰਾਊਟਿੰਗ, NAT ਛੋਟ ਅਤੇ ਪਹੁੰਚ ਨੀਤੀ ਮੇਲ ਖਾਂਦੇ ਹਨ ਜਾਂ ਨਹੀਂ। ਫਿਰ ਟਰਾਂਸਪੋਰਟ ਮਾਰਗ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, ਕਿਉਂਕਿ ਗੇਟਵੇ ਵਿਚਕਾਰ ਕਿਸੇ ਵੀ ਫਿਲਟਰ ਨੂੰ ਪਾਰ ਕਰਨ ਲਈ IKE ਅਤੇ IPsec ਨੂੰ UDP 500 ਅਤੇ 4500 ਚਾਹੀਦੇ ਹਨ। ਸਫਲ ping ਆਪਣੇ ਆਪ ਵਿੱਚ ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ।
ਜੇ ਅੰਡਰਲੇ ਨੂੰ ਰੂਟ ਜਾਂ ਅਨੁਵਾਦ ਬਦਲਾਅ ਚਾਹੀਦਾ ਹੈ, ਤਾਂ ਉਹ ਆਪਣੇ ਜੋਖਮ ਵਾਲਾ ਦੂਜਾ ਬਦਲਾਅ ਹੈ। ਇਸਨੂੰ ਉਸੇ ਵਿੰਡੋ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ ਜਾਂ ਵੱਖਰਾ ਤਹਿ ਕਰੋ, ਪਰ ਕਟ ਦੇ ਵਿਚਕਾਰ ਖੋਜਣ ਦੀ ਥਾਂ ਪਹਿਲਾਂ ਹੀ ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜਾ।
3. ਸਿਰਫ਼ ਪਤਾ ਨਹੀਂ, ਪਰੋਫਾਈਲ ਮੈਪਿੰਗ ਵੀ ਹਿਲਾਓ
ਪੀਅਰ ਚੋਣ ਅਤੇ ਪਰੋਫਾਈਲ ਚੋਣ ਦੋ ਵੱਖਰੀਆਂ ਖੋਜਾਂ ਹਨ। LAN-to-LAN ਕਨੈਕਸ਼ਨ ਪਰੋਫਾਈਲ ਆਮ ਗੁਣ ਰੱਖਦਾ ਹੈ ਅਤੇ ਪਤੇ, ਸਰਟੀਫਿਕੇਟ ਪਛਾਣ ਜਾਂ ਗਰੁੱਪ ਨਾਂ ਨਾਲ ਮੇਲ ਖਾ ਸਕਦਾ ਹੈ। ਜਦੋਂ ਪਰੋਫਾਈਲ ਸਰਟੀਫਿਕੇਟ ਵਿਸ਼ੇ 'ਤੇ ਆਧਾਰਿਤ ਹੋਵੇ, IP ਬਦਲਣ ਨਾਲ ਇਹ ਨਹੀਂ ਬਦਲਦਾ ਕਿ ਕਿਹੜਾ ਪਰੋਫਾਈਲ ਮੇਲ ਖਾਂਦਾ ਹੈ।
| ਵਸਤੂ | ਕਿਸ 'ਤੇ ਕੁੰਜੀਬੱਧ ਹੈ | ਨਵਾਂ ਪੀਅਰ ਪਤਾ ਕਿਸਨੂੰ ਛੂਹਦਾ ਹੈ |
|---|---|---|
| crypto map ਉਮੀਦਵਾਰ ਸੂਚੀ | ਕਨਫਿਗਰ ਕੀਤੀਆਂ ਪੀਅਰ ਐਂਟਰੀਆਂ ਅਤੇ ਉਨ੍ਹਾਂ ਦਾ ਕ੍ਰਮ | ASA ਆਪਣੇ ਪਹਿਲੇ ਪੈਕੇਟ ਕਿੱਥੇ ਭੇਜਦਾ ਹੈ |
| ਕਨੈਕਸ਼ਨ ਪਰੋਫਾਈਲ | ਪਤਾ, ਸਰਟੀਫਿਕੇਟ ਪਛਾਣ ਜਾਂ ਗਰੁੱਪ | ਸਿਰਫ਼ ਪਤੇ 'ਤੇ ਕੁੰਜੀਬੱਧ ਪਰੋਫਾਈਲ |
| ਸੁਰੱਖਿਅਤ ਅਗੇਤਰ | ਸਥਾਨਕ ਅਤੇ ਦੂਰਲੀਆਂ ਨੈੱਟਵਰਕ ਵਸਤੂਆਂ | ਕੁਝ ਨਹੀਂ, ਜਦੋਂ ਤੱਕ ਤੁਸੀਂ ਵੀ ਨਾ ਬਦਲੋ |
ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਮਝੌਤਾ ਜਿਉਂ ਦਾ ਤਿਉਂ ਰੱਖੋ। ਪਤਾ ਬਦਲਣਾ ਪਛਾਣ ਜਾਂਚਾਂ ਨੂੰ ਢਿੱਲਾ ਕਰਨ ਦਾ ਕਾਰਨ ਨਹੀਂ, ਅਤੇ ਨਮੂਨਾ pre-shared key ਟਿਕਟ ਵਿੱਚ ਚਿਪਕਾਉਣ ਦਾ ਕਾਰਨ ਨਹੀਂ।
4. ਦੋਵੇਂ ਉਮੀਦਵਾਰ ਮੌਜੂਦ ਹੁੰਦਿਆਂ ਸਰਗਰਮ ਸੈਸ਼ਨ ਵੇਖੋ
ਜਦੋਂ ਤੱਕ ਦੋਵੇਂ ਪਤੇ ਉਮੀਦਵਾਰ ਸੂਚੀ ਵਿੱਚ ਹਨ, ਲਿਖਤੀ ਰੂਪ ਵਿੱਚ ਤੈਅ ਕਰੋ ਕਿ ਪੁਰਾਣਾ ਬੈਕਅੱਪ ਹੈ ਜਾਂ ਬਚਿਆ ਹੋਇਆ। ਦੋਵੇਂ ਵਾਲੀ ਕਨਫਿਗਰੇਸ਼ਨ ਵੈਧ ਹੈ, ਅਤੇ ਇਹ ਨਹੀਂ ਸਾਬਤ ਕਰਦੀ ਕਿ ਆਖਰੀ ਸੈਸ਼ਨ ਕਿਹੜੇ ਪੀਅਰ ਨੇ ਢੋਇਆ।
ਪੁਰਾਣੇ ਸੁਰੱਖਿਆ ਸੰਬੰਧ ਸਿਰਫ਼ ਤੁਹਾਡੀ ਰਿਲੀਜ਼ ਲਈ ਪੀਅਰ-ਸੀਮਤ ਰੂਪ ਨਾਲ ਸਾਫ਼ ਕਰੋ,clear crypto ipsec sa peer <address>, ਅਤੇ ਉਮੀਦ ਰੱਖੋ ਕਿ ਪ੍ਰਭਾਵਿਤ ਟਨਲ ਮੁੜ ਗੱਲਬਾਤ ਕਰਨਗੇ। ਗਲੋਬਲ ਰੀਸੈੱਟ ਡਿਵਾਈਸ ਦੇ ਹਰ ਸੈਸ਼ਨ ਨੂੰ ਡੇਗਦਾ ਹੈ ਅਤੇ ਕੰਮਕਾਜੀ ਸਮੇਂ ਵਿੱਚ ਮਾਫ਼ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ।
ਫਿਰ ਸੁਰੱਖਿਅਤ ਹੋਸਟ ਤੋਂ ਇੱਕ ਅਸਲੀ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰਵਾਹ ਲੰਘਾਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਜਵਾਬ ਇੱਛਤ ਅੰਤ-ਬਿੰਦੂ ਰਾਹੀਂ ਵਾਪਸ ਆਉਂਦਾ ਹੈ।show vpn-sessiondb l2lਨੂੰ ਉਸ ਸੈਸ਼ਨ ਲਈ ਨਵੇਂ ਪੀਅਰ ਦਾ ਨਾਂ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਬਾਈਟ ਕਾਊਂਟਰ ਹਿਲਣੇ ਚਾਹੀਦੇ ਹਨ।
5. ਮੁਕਾਓ ਜਾਂ ਵਾਪਸ ਰੋਲ ਕਰੋ
ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਰੋਲਬੈਕ ਲਿਖੋ: ਪੁਰਾਣੀ ਉਮੀਦਵਾਰ ਸੂਚੀ, ਪੁਰਾਣੀ ਪਰੋਫਾਈਲ ਮੈਪਿੰਗ ਅਤੇ ਪੁਰਾਣੀ ਅੰਡਰਲੇ ਐਂਟਰੀ। ASA ਤੱਕ ਸੁਤੰਤਰ ਪ੍ਰਬੰਧਨ ਮਾਰਗ ਰੱਖੋ, ਕਿਉਂਕਿ ਪਹੁੰਚ ਵੀ ਖੋਹਣ ਵਾਲੀ ਪੀਅਰ ਪਤਾ ਸੋਧ ਲੰਮੀ ਸ਼ਾਮ ਹੈ। ਪੁਰਾਣਾ ਪੀਅਰ ਅਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਸਵੀਕ੍ਰਿਤੀ ਤੋਂ ਬਾਅਦ ਅਤੇ ਬੈਕਅੱਪ ਫੈਸਲਾ ਦਰਜ ਹੋਣ ਤੋਂ ਬਾਅਦ ਹੀ ਹਟਾਓ। ਇਹ ਵੀ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸੁਰੱਖਿਅਤ ਨੈੱਟਵਰਕਾਂ ਦੀ ਪਹੁੰਚ ਨੀਤੀ ਨਹੀਂ ਖਿਸਕੀ।
ਇੱਛਤ ਪੀਅਰ ਪ੍ਰਮਾਣੀਕਰਨ ਪਾਸ ਕਰਕੇ ਸੰਭਾਲੀ ਨੀਤੀ ਹੇਠ ਲੋੜੀਂਦੀ ਸੇਵਾ ਢੋਵੇ ਤਾਂ ਮਾਈਗ੍ਰੇਸ਼ਨ ਪੂਰੀ ਹੁੰਦੀ ਹੈ। ਚੱਲ ਰਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਨਵਾਂ ਪਤਾ ਹੋਣਾ ਟਾਈਪ ਕਰਨ ਦਾ ਸਬੂਤ ਹੈ, ਸਫਲਤਾ ਦਾ ਨਹੀਂ।