Schimbarea unei adrese de peer IPsec pe un ASA fără a rupe tunelul

O schimbare de adresă de peer pare o singură linie, dar se comportă ca o migrare. Ce se mută de fapt este un set de obiecte: lista de candidați peer din crypto map, profilul sau maparea de autentificare care identifică capătul îndepărtat,underlay-ul care ajunge la el, și asocierile active construite din valorile vechi. Tratați editarea configurației ca ultimul pas al acestui set, nu primul.

1. Înregistrați starea actuală înainte de a atinge ceva

Începeți cu întreaga listă de candidați pentru intrarea crypto-map relevantă, în ordine, nu doar cu adresa pe care credeți că este folosită. Ordinea contează pentru că ea este ceea ce încearcă de fapt dispozitivul.

Înregistrați-o cushow run crypto mapși citiți intrarea efectivă cushow crypto map, apoi salvați ambele ieșiri lângă valoarea nouă intenționată. Notați și ce peer a ales fiecare asociere existentă, cât timp sunteți acolo.

Faceți la fel pentru stratul de sesiuni, cushow vpn-sessiondb l2lșishow crypto ipsec sa peer <old-address>. Acele două ieșiri sunt imaginea de dinainte când cineva întreabă de ce a căzut un tunel la 02:10.

2. Dovediți că noul peer este accesibil sub aceeași politică

Dovediți accesibilitatea înainte de a programa comutarea. O rularepacket-tracerde pe interfața internă către rețeaua protejată a noului peer arată dacă rutarea, excepția NAT și politica de acces sunt de acord. Apoi confirmați calea de transport, pentru că IKE și IPsec au nevoie de UDP 500 și 4500 ca să treacă de orice filtru dintre gateway-uri. Un ping reușit nu dovedește nimic din toate acestea de unul singur.

Dacă underlay-ul are nevoie de o rută sau de o modificare de traducere, aceea este o a doua schimbare cu riscul ei. Grupați-o în aceeași fereastră sau programați-o separat, dar decideți care, în loc să o descoperiți la mijlocul comutării.

3. Mutați maparea profilului, nu doar adresa

Selectarea peer-ului și selectarea profilului sunt două căutări diferite. Un profil de conexiune LAN-to-LAN păstrează atribute generale și poate potrivi o adresă, o identitate de certificat sau un nume de grup. Schimbarea IP-ului nu schimbă ce profil potrivește atunci când profilul se bazează pe subiectul unui certificat.

Păstrați contractul de acreditări intact. O schimbare de adresă nu este motiv să relaxați verificările de identitate și nici să lipiți o cheie pre-partajată de exemplu într-un tichet.

4. Urmăriți sesiunile active cât timp există ambii candidați

Cât timp ambele adrese stau în lista de candidați, decideți în scris dacă cea veche este rezervă sau rest. O configurație care le conține pe amândouă este validă și nu dovedește nimic despre ce peer a dus ultima sesiune.

Curățați asocierile de securitate învechite doar cu forma limitată la peer pentru versiunea dumneavoastră,clear crypto ipsec sa peer <address>, și așteptați-vă ca tunelurile afectate să renegocieze. O resetare globală doboară fiecare sesiune de pe echipament și nu va fi iertată în timpul programului de lucru.

Apoi lăsați să treacă un flux real de aplicație dintr-o gazdă protejată și confirmați că răspunsul se întoarce prin punctul final prevăzut.show vpn-sessiondb l2lar trebui să numească noul peer pentru acea sesiune, iar contoarele de octeți ar trebui să se miște.

5. Închideți sau reveniți

Scrieți revenirea înainte de schimbare: lista veche de candidați, vechea mapare de profil și vechea intrare underlay. Păstrați o cale de administrare independentă către ASA, pentru că o editare a adresei de peer care vă costă și accesul este o seară lungă. Îndepărtați peer-ul învechit și acreditările doar după acceptare și după ce decizia de rezervă este înregistrată. Confirmați și că politica de acces pe rețelele protejate nu a derivat.

Migrarea este gata când peer-ul intenționat se autentifică și duce serviciul cerut sub politica păstrată. O adresă nouă în configurația curentă este dovada tastării, nu a succesului.