Alterar um endereço de peer IPsec em um ASA sem quebrar o túnel

Uma mudança de endereço de peer parece uma linha, mas se comporta como uma migração. O que realmente se move é um conjunto de objetos: a lista de peers candidatos no crypto map, o perfil ou mapeamento de autenticação que identifica a ponta remota,a underlay que a alcança, e as associações ativas construídas com os valores antigos. Trate a edição de configuração como o último passo desse conjunto, não o primeiro.

1. Registre o estado atual antes de tocar em qualquer coisa

Comece pela lista completa de candidatos da entrada de crypto-map relevante, em ordem, não apenas pelo endereço que você acha que está em uso. A ordem importa porque é o que o dispositivo realmente tenta.

Registre-a comshow run crypto mape leia a entrada efetiva comshow crypto map, depois salve as duas saídas ao lado do novo valor pretendido. Anote também qual peer cada associação existente escolheu, enquanto estiver aí.

Faça o mesmo para a camada de sessões, comshow vpn-sessiondb l2leshow crypto ipsec sa peer <old-address>. Essas duas saídas são sua imagem de antes quando alguém perguntar por que um túnel caiu às 02:10.

2. Prove que o novo peer é alcançável sob a mesma política

Prove a alcançabilidade antes de agendar o corte. Executar opacket-tracera partir da interface interna em direção à rede protegida do novo peer mostra se roteamento, exceção de NAT e política de acesso concordam. Depois confirme o caminho de transporte, porque IKE e IPsec precisam de UDP 500 e 4500 para passar por qualquer filtro entre os gateways. Um ping bem-sucedido não prova nada disso sozinho.

Se a underlay precisar de uma rota ou de uma mudança de tradução, essa é uma segunda mudança com risco próprio. Agrupe-a na mesma janela ou agende-a separadamente, mas decida qual, em vez de descobrir no meio do corte.

3. Mova o mapeamento de perfil, não apenas o endereço

A seleção de peer e a seleção de perfil são duas consultas diferentes. Um perfil de conexão LAN-to-LAN guarda atributos gerais e pode corresponder a um endereço, a uma identidade de certificado ou a um nome de grupo. Mudar o IP não altera qual perfil corresponde quando o perfil se baseia no assunto de um certificado.

Mantenha o contrato de credenciais intacto. Uma mudança de endereço não é motivo para afrouxar as verificações de identidade, nem para colar uma chave pré-compartilhada de exemplo em um ticket.

4. Observe as sessões ativas enquanto os dois candidatos existem

Enquanto os dois endereços estiverem na lista de candidatos, decida por escrito se o antigo é um fallback ou um resíduo. Uma configuração que contém ambos é válida, e não prova nada sobre qual peer carregou a última sessão.

Limpe associações de segurança obsoletas apenas com a forma limitada ao peer da sua versão,clear crypto ipsec sa peer <address>, e espere que os túneis afetados renegociem. Um reset global derruba todas as sessões do equipamento e não será perdoado no horário comercial.

Depois passe um fluxo real de aplicação a partir de um host protegido e confirme que a resposta volta pelo endpoint pretendido.show vpn-sessiondb l2ldeve nomear o novo peer para essa sessão, e os contadores de bytes devem se mover.

5. Encerre ou reverte

Escreva o rollback antes da mudança: a lista de candidatos antiga, o mapeamento de perfil antigo e a entrada de underlay antiga. Mantenha um caminho de gestão independente até o ASA, porque uma edição de endereço de peer que também custa o acesso é uma noite longa. Remova o peer obsoleto e as credenciais só depois da aceitação e depois de registrar a decisão de fallback. Confirme também que a política de acesso nas redes protegidas não derivou.

A migração termina quando o peer pretendido se autentica e transporta o serviço exigido sob a política preservada. Um novo endereço na configuração em execução é evidência de digitação, não de sucesso.