Migração de VPN de IOS para ASA: traduza o acordo, não a CLI

Uma configuração IOS que chega como referência para uma migração para ASA descreve um acordo embrulhado na sintaxe de uma plataforma. Endereços de par, identidades e intervalos protegidos são o acordo. A cadeia de key ring, perfil e crypto map é como o IOS o exprime, enquanto o ASA exprime a mesma intenção através de tunnel groups e dos seus atributos. Copiar a segunda parte nunca funciona, e copiar apenas a primeira deixa o trabalho a meio.

Percorra os cinco passos abaixo por ordem, e pare onde as duas plataformas descrevem coisas diferentes em vez de palavras diferentes.

Passo 1: separe o acordo da sintaxe

Escreva a entrega como requisitos em que ambos os administradores concordam. Quatro linhas cobrem quase tudo: onde está o par e que lado inicia, como cada lado prova a sua identidade, que proteção é aceitável, e que aplicações têm de sobreviver ao túnel. Nenhuma dessas linhas menciona um comando.

Guarde o texto original como evidência e não como instruções. Uma linha que existe numa plataforma e não na outra é uma diferença de sintaxe até verificar se o mesmo requisito pode ser satisfeito de outra forma.

Passo 2: nomeie os objetos em cada plataforma

No IOS XE um key ring IKEv2 alimenta um perfil IKEv2, e esse perfil é ligado através de um crypto map ou de um perfil IPsec. No ASA um tunnel group contém o perfil de ligação e os seus atributos IPsec, e o crypto map aponta para ele, tal como o guia do perfil de ligação descreve. São grafos de objetos diferentes com heranças diferentes, e é por isso que um mapeamento linha a linha produz uma configuração que analisa e não liga.

Construa os objetos de destino a partir das linhas de requisitos e não das linhas de origem. Se as linhas estiverem completas, a configuração de destino é uma decisão de desenho. Se não estiverem, nenhuma tradução de comandos fornecerá a intenção em falta.

Passo 3: transporte a identidade, não apenas os endereços

A identidade é a parte que se rompe em silêncio. Um par que autentica por endereço comporta-se de forma diferente de um que autentica por sujeito de certificado ou FQDN, e as duas plataformas registam essa expectativa em locais diferentes. Preserve a identidade e a cadeia de confiança pretendidas em vez de substituir por um segredo partilhado por ser mais fácil de testar.

Mantenha o segredo pré-partilhado fora das notas de comparação e dos tickets. Registe quem é o dono e como ele circula por um canal aprovado, e lembre-se de que um marcador de exemplo de documentação não é a credencial do cliente.

Passo 4: acorde a proteção antes do cutover

Não transporte definições criptográficas antigas só porque aparecem no texto fornecido. Acorde uma interseção de suites que ambos os pares implementados suportem hoje, e confirme-a com o outro administrador antes da janela de mudança. Se essa interseção diferir do que o par existente espera, é uma mudança coordenada e não uma edição local.

Escreva o conjunto acordado. Dois administradores com memórias diferentes de uma chamada telefónica é como um cutover produz um desencontro na fase dois.

Passo 5: verifique o serviço, não a sintaxe

Verifique primeiro os objetos efetivos do destino, depois a associação aceite, depois um fluxo real de aplicação e a sua resposta. Introduzir um comando sem erro prova sintaxe e mais nada. Um túnel que sobe e não transporta tráfego significa normalmente que os intervalos protegidos ou a rota de retorno discordam do outro lado, o que é um problema de linha de requisitos e não de comando. Compare os intervalos protegidos dos dois lados antes de voltar a tocar no crypto map.

Registe o que verificou, com que endereços, de que lado. Esse registo transforma uma afirmação ambígua de que a VPN está de pé em algo que o outro administrador pode confirmar de forma independente.

O que devolver

Envie a matriz de requisitos, um resumo da configuração de destino e os resultados da verificação. Declare explicitamente que definições de origem não transportou e porquê. Essa lista é mais útil do que a configuração traduzida, porque é onde o próximo desacordo vai começar.

Guarde também o texto de origem com o ticket. Ele documenta o que foi pedido, enquanto a matriz documenta o que foi acordado.