Zmiana adresu peera IPsec na ASA bez zrywania tunelu
Przeniesienie adresu peera dotyka listy kandydatów, dopasowania profilu, underlayu i aktywnych sesji. Przejdź listę kontrolną po kolei.
Zmiana adresu peera wygląda jak jedna linia, ale zachowuje się jak migracja. Naprawdę przemieszcza się zbiór obiektów: lista kandydatów peerów w crypto map, profil lub mapowanie uwierzytelniania identyfikujące drugi koniec,underlay, który do niego dociera, oraz aktywne asocjacje zbudowane na starych wartościach. Traktuj edycję konfiguracji jako ostatni krok tego zbioru, a nie pierwszy.
1. Zapisz stan bieżący, zanim czegokolwiek dotkniesz
Zacznij od całej listy kandydatów dla odpowiedniego wpisu crypto-map, w kolejności, nie tylko od adresu, który uważasz za używany. Kolejność ma znaczenie, bo właśnie ją urządzenie naprawdę próbuje.
Zapisz ją poleceniemshow run crypto mapi odczytaj efektywny wpis poleceniemshow crypto map, a następnie zachowaj oba wyniki obok planowanej nowej wartości. Zanotuj też, którego peera wybrała każda istniejąca asocjacja, póki tam jesteś.
Zrób to samo dla warstwy sesji, używającshow vpn-sessiondb l2lishow crypto ipsec sa peer <old-address>. Te dwa wyniki to twój obraz przed zmianą, gdy ktoś zapyta, dlaczego tunel padł o 02:10.
2. Udowodnij, że nowy peer jest osiągalny w ramach tej samej polityki
Udowodnij osiągalność, zanim zaplanujesz przełączenie. Uruchomieniepacket-tracerz interfejsu wewnętrznego w stronę chronionej sieci nowego peera pokazuje, czy routing, wyjątek NAT i polityka dostępu są zgodne. Następnie potwierdź ścieżkę transportową, bo IKE i IPsec potrzebują UDP 500 i 4500, aby przejść przez dowolny filtr między bramami. Udany ping sam z siebie niczego z tego nie dowodzi.
Jeśli underlay potrzebuje trasy albo zmiany translacji, to druga zmiana z własnym ryzykiem. Połącz ją w tym samym oknie albo zaplanuj osobno, ale zdecyduj którą, zamiast odkrywać to w środku przełączenia.
3. Przenieś mapowanie profilu, nie tylko adres
Wybór peera i wybór profilu to dwa różne wyszukiwania. Profil połączenia LAN-to-LAN trzyma ogólne atrybuty i może pasować po adresie, tożsamości certyfikatu lub nazwie grupy. Zmiana IP nie zmienia tego, który profil pasuje, gdy profil opiera się na podmiocie certyfikatu.
| Obiekt | Na czym jest oparty | Czego dotyka nowy adres peera |
|---|---|---|
| Lista kandydatów crypto map | Skonfigurowane wpisy peerów i ich kolejność | Dokąd ASA wysyła swoje pierwsze pakiety |
| Profil połączenia | Adres, tożsamość certyfikatu lub grupa | Tylko profile oparte na adresie |
| Chronione prefiksy | Lokalne i zdalne obiekty sieciowe | Nic, o ile też ich nie zmienisz |
Zachowaj umowę poświadczeń nietkniętą. Zmiana adresu nie jest powodem do poluzowania kontroli tożsamości ani do wklejenia przykładowego pre-shared key do zgłoszenia.
4. Obserwuj aktywne sesje, dopóki istnieją obaj kandydaci
Dopóki oba adresy są na liście kandydatów, zdecyduj na piśmie, czy stary jest zapasem, czy pozostałością. Konfiguracja zawierająca oba jest poprawna i niczego nie dowodzi co do tego, który peer niósł ostatnią sesję.
Czyść nieaktualne asocjacje bezpieczeństwa tylko formą ograniczoną do peera dla twojego wydania,clear crypto ipsec sa peer <address>, i spodziewaj się, że dotknięte tunele ponownie wynegocjują. Globalny reset zrzuca każdą sesję na urządzeniu i nie będzie wybaczony w godzinach pracy.
Potem przepuść jeden rzeczywisty przepływ aplikacji z chronionego hosta i potwierdź, że odpowiedź wraca przez zamierzony punkt końcowy.show vpn-sessiondb l2lpowinien wskazać nowego peera dla tej sesji, a liczniki bajtów powinny się ruszać.
5. Zamknij albo wycofaj
Napisz wycofanie przed zmianą: starą listę kandydatów, stare mapowanie profilu i stary wpis underlayu. Utrzymuj niezależną ścieżkę zarządzania do ASA, bo edycja adresu peera, która odbiera też dostęp, to długi wieczór. Usuń nieaktualnego peera i poświadczenia dopiero po akceptacji i po zapisaniu decyzji o zapasie. Potwierdź też, że polityka dostępu w chronionych sieciach nie dryfowała.
Migracja jest gotowa, gdy zamierzony peer uwierzytelni się i niesie wymaganą usługę w ramach zachowanej polityki. Nowy adres w działającej konfiguracji jest dowodem wpisania, a nie sukcesu.